잉카인터넷 시큐리티대응센터 블로그

1. 하데스라는 특정 도메인에서 국내 인터넷 뱅킹용 악성파일 유포잉카인터넷 대응팀은 2012년 05월 경부터 인기리에 방송됐던 SBS 드라마 "유령"의 주인공 역이었던 하데스(Hades)의 이름을 딴 특정 도메인에서 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종이 유포 중인 것을 발견했다. "유령"은 컴퓨터 범죄 수사대의 애환과 활약을 그렸던 드라마로 사이버상의 보안위협을 사실적으로 묘사하였고, 0 과 1 사이에 숨겨져 있는 다양한 디지털 증거의 중요성과 각종 사이버 범죄의 위험성을 알리는데 긍정적 효과를 거두었다. 그러나 국내 인터넷 뱅킹용 악성파일 유포 조직이 하데스라는 이름의 도메인에서 실제 위협요소로 작용할 수 있는 악성파일을 유포하고 있다는 점에서 이용자 주의가 필요하고, 유사한 도메인을 ..

1. 공인인증서 유출로 인한 피해 주의 잉카인터넷 대응팀은 2013년 02월 01일 해외의 특정 FTP 서버로 국내 이용자들의 공인인증서(NPKI)파일이 다량으로 유출된 정황을 포착하였다. 해당 악성파일(KRBanker)은 국내 IP주소로 할당되어 있는 곳에서 유포되었는데, 도메인은 2013년 1월 21일 중국인으로 추정되는 명의로 생성된 곳이다. 또한, 악성파일은 2013년 01월 25일 잉카인터넷 대응팀을 통해서 공개된 바 있는KRBanker 변종형태로 실제 공인인증서 창의 클래스명(QWidget)을 감시하고 있다가 공인인증서가 활성화되면 조작된 가짜 입력화면을 교묘히 겹쳐서 입력되는 비밀번호를 탈취하게 된다. 기존의 정상적인 전자서명 화면을 이용하고 있다는 점에서 각별한 주의가 필요하다. 특히, 전..

1. 공인인증서 암호를 직접 겨냥한 KRBanker 변종 등장국내 인터넷 뱅킹용 이용자들을 노린 악성파일(KRBanker) 변종이 거의 매일 새롭게 발견되고 있는 가운데, 최근 기존과 다른 형태의 악성파일 유형이 발견되었다. 지금까지 발견된 다양한 형태 중 대다수는 호스트파일(hosts)의 내용을 변경하여 정상적인 금융사이트 주소로 접속을 하더라도 피싱사이트로 연결되도록 조작하는 방식이 주로 이용되고 있다. 그외에 호스트파일(hosts)을 변경하지 않고 악성파일이 사용자의 인터넷 접속 사이트를 모니터링하다가 특정 금융사이트 주소에 접근시 피싱사이트로 웹 페이지를 교묘하게 바꿔치기 하는 수법 등이 존재한다. 이러한 방식은 모두 공통적으로 가짜로 만들어진 공인인증서 전자서명 로그인 화면을 보여주어 사용자가 ..

1. 일회용 비밀번호(One Time Password:OTP) 이벤트로 위장잉카인터넷 대응팀은 국내 인터넷 뱅킹 서비스 이용자들을 겨냥한 악성파일(KRBanker) 변종이 새로운 형태로 활동하기 시작한 정황을 포착하였다. 이번에 발견된 수법은 악성파일(KRBanker)이 특정 웹 사이트에 접속하여 최신 금융 피싱사이트 정보를 가진 호스트파일(hosts)에 접근하고, 실시간으로 피싱 IP주소를 동적으로 연결하는 형태이다. 명령을 주고 받는 C&C(Command and Control) 서버를 집중 모니터링한 결과 시간차에 따라 공격자의 명령이 가변적으로 수행되며, 피싱 IP 주소가 변화되는 것을 직접 확인한 상태이다. 기존에도 국내 웹 사이트를 불법 해킹해서 C&C 서버와의 통신을 이용한 호스트파일의 자체 ..

1. 보안 프로그램처럼 변장한 KRBanker잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자를 겨냥한 피싱용 악성파일(KRBanker) 변종이 마치 안랩(ahnlab) 파일처럼 위장하여 전파 중인 사례를 몇 차례 발견하였다. 해당 악성파일은 종전과 동일하게 인터넷 뱅킹 이용자를 노려 사용자 컴퓨터의 호스트파일(hosts)을 변조하여 정상적인 금융 사이트로 접속을 시도하더라도 피싱 사이트로 연결되도록 하는 기능을 수행한다. 금번 발견된 악성파일의 주요 특징은 윈도우 임시폴더(Temp)에 "ahnlab.exe", "ahnlab.ini" 파일명으로 등록하여, 이용자로 하여금 육안상 정상적인 안랩 보안 모듈처럼 보이도록 사칭한 점이다. 이처럼 전자금융사기용 악성파일이 거의 매일 새로운 형태로 양산되고 있고, 불특정..

1. 보안관련 인증절차와 금융 보안프로그램으로 사칭한 KRBanker잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들의 예금탈취를 노린 악성파일(KRBanker) 변종이 새로운 형태의 내용으로 전자금융 서비스 이용자들을 현혹시키고 있는 정황을 포착하였다. 악성파일은 국내 특정 웹 사이트를 해킹하여 보안이 취약한 접속자로 하여금 웹 사이트 접속만으로 악성파일(KRBanker)에 은밀히 감염되도록 만들어 두었다. 악성파일에 노출되어 감염이 이뤄지면, 사용자 컴퓨터에 존재하는 호스트파일(hosts)을 변조하여 시티은행, 하나은행, 기업은행, 국민은행, 외환은행, 농협, 신한은행, 수협, 스탠다드차타드, 우리은행 등의 도메인 접속 주소를 특정 피싱 IP주소로 몰래 변경시킨다. 이로인해 사용자가 정상적인 금융사 홈페..

1. Java 0-Day 취약점을 통한 악성파일 유포 중 2013년 01월 10일 새로운 Java 취약점이 악용되어 악성파일 유포에 이용되고 있는 사실이 해외에서 공식 보고되었다. 해당 취약점은 Common Vulnerabilities and Exposures ID가 [CVE-2013-0422] 값으로 부여되었으며, 2013년 01월 11일 현재 취약점이 해결된 보안 업데이트가 정식으로 제공되고 있지 않은 Zero-Day 취약점이다. 이 취약점은 악성파일 유포 전문조직들이 사용하는 Blackhole Exploit Kit(BHEK) 외 각종 Exploit Kit 기능에도 이미 공격기능이 탑재된 상태이고, 이미 다수의 웹 사이트를 통해서 유포된 정황이 확인된 상태이므로, 각별한 주의와 대비가 요구된다. Ja..

1. 전자금융사기 방심은 절대금물사자성어 중에 지부작족(知斧斫足)이라는 말이 있다. "믿는 도끼에 발등을 찍힌다"는 뜻으로, 믿었던 것에 배신을 당한다는 것을 비유적으로 표현한 말이다. 2012년부터 수개월간 실제 인터넷 뱅킹 사이트처럼 정교하게 조작된 피싱사이트로 연결시키는 전자금융사기용 악성파일(KRBanker)들이 여전히 기승을 부리고 있는 가운데 보안업체 및 금융권에서는 전자금융사기에 대한 주의 환기를 지속적으로 안내하고 있다. 평소처럼 자신이 믿고 접속했던 인터넷 뱅킹 사이트가 사이버 범죄자들이 만든 피싱 사이트로 교체되고, 신뢰한 후 스스로 입력했던 금융정보가 모두 외부로 무단 유출되었다면 그 만큼 아찔한 순간은 없을 것이다. 최근 전자금융사기 범죄자들은 이러한 분위기를 역이용해서 마치 금융보..

1. 인터넷 익스플로러 Zero-Day 취약점 주의 마이크로 소프트(Microsoft)사에서 개발한 웹 브라우저 인터넷 익스플로러(Internet Explorer)의 몇몇 버전에서 2013년 01월 04일 현재 보안취약점이 해결되지 않은 Zero-Day 취약점(CVE-2012-4792)을 이용한 공격이 증가하고 있다. 해당 취약점은 미국 외교협회(Council on Foreign Relations/CFR) 웹 사이트가 해킹되었다는 소식을 통해서 처음 알려졌다. 이번 취약점은 아직 마이크로 소프트사를 통해서 공식적인 보안업데이트가 제공되고 있지 않기 때문에 해킹된 웹 사이트에 접근하는 것만으로도 악성파일에 감염될 수 있는 상황이므로, 인터넷 익스플로러 이용자들의 각별한 주의가 필요하다. 해당 Zero-Da..

1. 국내 인터넷 뱅킹 이용자를 노린 보안위협 증대잉카인터넷 대응팀은 2012년 중순 경부터 본격적으로 전자금융사기용 악성파일(KRBanker) 경계경보령을 발령한 상태이다. 국내 시중은행의 인터넷 뱅킹 이용자를 겨냥한 악성파일들이 무차별적으로 연일 유포되고 있기 때문이다. 특히, 지난 달에는 일정기간 잠복기를 가지며, 시스템 파일 삭제기능을 탑재한 파괴형까지 등장하면서 연일 전자금융서비스 이용자들의 안전에 적신호가 켜진 상태이다. 국내 금융정보 탈취기반의 악성파일(KRBanker) 제작자들은 이미 전문화된 국제 사이버 범죄조직으로 운영되고 있으며, 정교하게 제작된 악성파일과 피싱(파밍)사이트를 통해서 호시탐탐 국내 인터넷 뱅킹 이용자들의 예금인출을 노리고 있는 형국이다. 공격자들은 국내 유수의 웹 사이..