악성코드 유포 온라인뱅킹 계정정보 탈취
스팸메일ㆍPDF파일 다운로드 유도 주요 API 후킹
서버ㆍ악성호스트 추적 '제우스 트래커' 공격 대비
제우스(ZeuS)는 사용자의 온라인 뱅킹 계정 정보를 탈취하기 위해 개발된 상용 크라임웨어(범죄용 소프트웨어)패키지입니다. 2007년 러시아에서 개발된 것으로 추정되는 제우스는 꾸준히 업데이트가 이뤄지고 있으며, 현재 언더그라운드 포럼 및 암시장에서 판매되고 있는 제우스킷 버전 1.3.4.x는 3000∼4000달러 선에서 판매된다고 합니다.
제우스 제작자는 공식 보안 패치가 나오기 전에 해커들이 공격하는 `제로데이'취약점을 찾아서 판매하고, 발견된 취약점을 악용해 웹 기반으로 악성코드를 배포합니다. 그리고 악성코드에 감염된 좀비 PC를 제어할 수 있는 봇넷을 판매하고, 봇넷에서 탈취된 계정 정보를 별도로 판매하는 형태로 활용되고 있습니다.
지난달 트렌드마이크로는 보안 리포트를 통해 하루 평균 300개 이상의 제우스 샘플이 발견되고, 1월 한 달에만 1만 3000개 이상의 샘플이 수집되는 등 제우스 봇 공격이 증가하고 있다고 밝혔는데요.
지피지기면 백전백승이겠죠? 제우스 봇이 어떤 경로를 통해 전파되고, 이에 관한 각종 통계와 악성 호스트 정보를 제공하는 제우스 트래커 사이트에 대해서도 알아보겠습니다.
제우스 봇은 어떻게 우리 컴퓨터에 들어올까요? 일반적으로 스팸 메일, 제로데이 취약점 등 악성코드가 전파되는 경로를 통해 감염됩니다. 지난해 12월 1일 발견된 신종 인플루엔자 관련 스팸 메일이 제우스 전파의 대표적 사례인데요. 겨울이 되면서 신종플루가 기승을 부리자 온라인에서도 이를 미끼로 악성코드를 유포한 것입니다.
우선, 공격자는 인터넷 사용자를 피싱 사이트로 유도하기 위해 백신 예방 접종 개인 프로파일 생성을 요청하는 스팸메일을 발송합니다. 이러한 스팸 메일은 다양한 제목으로 주로 영어권 사용자에게 전달되는데요. 스팸 본문의 `create personal profile'링크를 클릭하면, 개인 프로파일과 관련된 피싱 사이트에 접속하게 되고, 해당 사이트는 악성코드를 다운받도록 유도합니다. 그리고 사용자들이 이러한 악성코드를 무의식중에 다운받아 실행하면서 악성코드에 감염되는 것입니다.
사용자가 해당 파일을 수동으로 다운로드받지 않을 경우를 대비해 공격자는 악의적인 PDF파일을 삽입해 놓습니다. 이에 따라 취약한 버전의 어도비리더(Adobe reader)나 아크로뱃리더(Acrobat reader)를 사용하는 PC는 자동으로 악성코드를 다운받아 실행하게 됩니다.
그렇다면 이렇게 실행된 파일들을 통해 어떻게 개인의 온라인 뱅킹 정보들이 탈취되는 것일까요?
최근 제우스 봇의 변종이 다양하게 등장하고 있는데요. 그 중 하나의 정보 탈취 과정에 대해 살펴보겠습니다. 우선 제우스 봇은 정보 탈취 및 탐지 우회를 위해 주요 API(응용프로그램환경)를 후킹합니다. 그리고 계정정보 탈취 대상이 되는 웹 사이트 목록을 다운로드해서 로컬 설정 파일로 저장하고 후킹된 API의 경로를 이용해 계정정보를 탈취합니다. 여기다가 일반적인 페이지 개인식별번호(PIN)와 같은 중요한 정보를 입력하도록 입력 폼을 삽입해, 사용자가 의심 없이 입력할 경우 해당 정보를 가로채 유출하게 되는 거죠. 마지막으로 특정 자료전송 프로그램(FTP)클라이언트 프로그램들의 설정파일에서 FTP 계정정보를 탈취하고, 탈취된 정보는 로컬 파일로 저장했다가 외부로 유출하게 됩니다.
이렇게 개인 정보를 가로채는 악성 코드를 미리 찾아 대비하기 위해 제우스 트래커가 등장했습니다. 제우스 트래커는 제우스 봇의 좀비PC를 직접 제어하는 C&C(Command & Control)서버와 감염파일을 호스팅하는 악성호스트들을 추적하는 시스템인데요. 제우스 서버 차단목록, 제우스 호스트 모니터링 정보, 관련 통계 정보들을 제공해줍니다. 제우스 트래커는 지난해 2월 첫 서비스를 시작한 이후 2800개 이상의 제우스 C&C서버를 탐지했고, 이렇게 수집한 정보를 분석해 결과를 블로그에 포스팅하거나, 구글 맵과 연동해 전 세계 제우스 C&C분포를 제공해주고 있습니다.
지금까지 발견된 제우스 악성코드는 영어로 작성된 스팸메일을 기반으로 유포되고 있고, 공격의 주요 목표도 해외은행의 인터넷 뱅킹 계정을 탈취하기 위한 것이라서 국내 위협은 상대적으로 적었다고 할 수 있습니다. 하지만 한국인터넷정보진흥원(KISA) 인터넷침해대응센터는 얼마 전 제우스 봇 분석 보고서를 내고 앞으로도 이러한 보안 위협은 계속 발생할 것이라 예상된다며 예방 방법을 제시했습니다.
인터넷침해대응센터는 사용자들이 평소 MS 및 아도비 보안업데이트를 항상 최신으로 적용하고, 파일공유 기능 등을 사용하지 않을 경우 개인방화벽을 반드시 활용하기를 권장하고 있습니다. 또, 백신프로그램을 최신버전으로 업데이트하고, 신뢰성 없는 웹사이트 방문을 자제해야 한다고 말했습니다. 특히, 인터넷침해대응센터는 출처가 불분명한 이메일의 링크를 클릭하거나 첨부파일을 열어보지 말고, 웹 하드나 P2P 등을 통해 다운받은 파일은 악성코드에 감염돼 있거나 악성코드일 수 있기 때문에 주의해야 한다고 강조했습니다.
김지선기자 dubs45@
자료제공=한국인터넷진흥원
서버ㆍ악성호스트 추적 '제우스 트래커' 공격 대비
제우스(ZeuS)는 사용자의 온라인 뱅킹 계정 정보를 탈취하기 위해 개발된 상용 크라임웨어(범죄용 소프트웨어)패키지입니다. 2007년 러시아에서 개발된 것으로 추정되는 제우스는 꾸준히 업데이트가 이뤄지고 있으며, 현재 언더그라운드 포럼 및 암시장에서 판매되고 있는 제우스킷 버전 1.3.4.x는 3000∼4000달러 선에서 판매된다고 합니다.
제우스 제작자는 공식 보안 패치가 나오기 전에 해커들이 공격하는 `제로데이'취약점을 찾아서 판매하고, 발견된 취약점을 악용해 웹 기반으로 악성코드를 배포합니다. 그리고 악성코드에 감염된 좀비 PC를 제어할 수 있는 봇넷을 판매하고, 봇넷에서 탈취된 계정 정보를 별도로 판매하는 형태로 활용되고 있습니다.
지난달 트렌드마이크로는 보안 리포트를 통해 하루 평균 300개 이상의 제우스 샘플이 발견되고, 1월 한 달에만 1만 3000개 이상의 샘플이 수집되는 등 제우스 봇 공격이 증가하고 있다고 밝혔는데요.
지피지기면 백전백승이겠죠? 제우스 봇이 어떤 경로를 통해 전파되고, 이에 관한 각종 통계와 악성 호스트 정보를 제공하는 제우스 트래커 사이트에 대해서도 알아보겠습니다.
제우스 봇은 어떻게 우리 컴퓨터에 들어올까요? 일반적으로 스팸 메일, 제로데이 취약점 등 악성코드가 전파되는 경로를 통해 감염됩니다. 지난해 12월 1일 발견된 신종 인플루엔자 관련 스팸 메일이 제우스 전파의 대표적 사례인데요. 겨울이 되면서 신종플루가 기승을 부리자 온라인에서도 이를 미끼로 악성코드를 유포한 것입니다.
우선, 공격자는 인터넷 사용자를 피싱 사이트로 유도하기 위해 백신 예방 접종 개인 프로파일 생성을 요청하는 스팸메일을 발송합니다. 이러한 스팸 메일은 다양한 제목으로 주로 영어권 사용자에게 전달되는데요. 스팸 본문의 `create personal profile'링크를 클릭하면, 개인 프로파일과 관련된 피싱 사이트에 접속하게 되고, 해당 사이트는 악성코드를 다운받도록 유도합니다. 그리고 사용자들이 이러한 악성코드를 무의식중에 다운받아 실행하면서 악성코드에 감염되는 것입니다.
사용자가 해당 파일을 수동으로 다운로드받지 않을 경우를 대비해 공격자는 악의적인 PDF파일을 삽입해 놓습니다. 이에 따라 취약한 버전의 어도비리더(Adobe reader)나 아크로뱃리더(Acrobat reader)를 사용하는 PC는 자동으로 악성코드를 다운받아 실행하게 됩니다.
그렇다면 이렇게 실행된 파일들을 통해 어떻게 개인의 온라인 뱅킹 정보들이 탈취되는 것일까요?
최근 제우스 봇의 변종이 다양하게 등장하고 있는데요. 그 중 하나의 정보 탈취 과정에 대해 살펴보겠습니다. 우선 제우스 봇은 정보 탈취 및 탐지 우회를 위해 주요 API(응용프로그램환경)를 후킹합니다. 그리고 계정정보 탈취 대상이 되는 웹 사이트 목록을 다운로드해서 로컬 설정 파일로 저장하고 후킹된 API의 경로를 이용해 계정정보를 탈취합니다. 여기다가 일반적인 페이지 개인식별번호(PIN)와 같은 중요한 정보를 입력하도록 입력 폼을 삽입해, 사용자가 의심 없이 입력할 경우 해당 정보를 가로채 유출하게 되는 거죠. 마지막으로 특정 자료전송 프로그램(FTP)클라이언트 프로그램들의 설정파일에서 FTP 계정정보를 탈취하고, 탈취된 정보는 로컬 파일로 저장했다가 외부로 유출하게 됩니다.
이렇게 개인 정보를 가로채는 악성 코드를 미리 찾아 대비하기 위해 제우스 트래커가 등장했습니다. 제우스 트래커는 제우스 봇의 좀비PC를 직접 제어하는 C&C(Command & Control)서버와 감염파일을 호스팅하는 악성호스트들을 추적하는 시스템인데요. 제우스 서버 차단목록, 제우스 호스트 모니터링 정보, 관련 통계 정보들을 제공해줍니다. 제우스 트래커는 지난해 2월 첫 서비스를 시작한 이후 2800개 이상의 제우스 C&C서버를 탐지했고, 이렇게 수집한 정보를 분석해 결과를 블로그에 포스팅하거나, 구글 맵과 연동해 전 세계 제우스 C&C분포를 제공해주고 있습니다.
지금까지 발견된 제우스 악성코드는 영어로 작성된 스팸메일을 기반으로 유포되고 있고, 공격의 주요 목표도 해외은행의 인터넷 뱅킹 계정을 탈취하기 위한 것이라서 국내 위협은 상대적으로 적었다고 할 수 있습니다. 하지만 한국인터넷정보진흥원(KISA) 인터넷침해대응센터는 얼마 전 제우스 봇 분석 보고서를 내고 앞으로도 이러한 보안 위협은 계속 발생할 것이라 예상된다며 예방 방법을 제시했습니다.
인터넷침해대응센터는 사용자들이 평소 MS 및 아도비 보안업데이트를 항상 최신으로 적용하고, 파일공유 기능 등을 사용하지 않을 경우 개인방화벽을 반드시 활용하기를 권장하고 있습니다. 또, 백신프로그램을 최신버전으로 업데이트하고, 신뢰성 없는 웹사이트 방문을 자제해야 한다고 말했습니다. 특히, 인터넷침해대응센터는 출처가 불분명한 이메일의 링크를 클릭하거나 첨부파일을 열어보지 말고, 웹 하드나 P2P 등을 통해 다운받은 파일은 악성코드에 감염돼 있거나 악성코드일 수 있기 때문에 주의해야 한다고 강조했습니다.
김지선기자 dubs45@
자료제공=한국인터넷진흥원
