보안

닥터 아파트 사이트, 악성코드 3종세트 유포...이사철 조심

편집부 | CIO 2013.03.20
닥터 아파트 사이트, 악성코드 3종세트 유포...이사철 조심
 
회원수 90만 명, 하루 페이지뷰 1,200만 건, 평균 방문자 수 12만 명, 동호회 3,300개인 대규모 부동산 중개 사이트인 닥터아파트가 악성코드를 유포하고 있다. 

3월 9일 오후 9시경 닥터 아파트 악성코드 유포
 
빛스캔 측은 특히 닥터아파트 사이트의 경우 2012년 5월부터 현재까지 약 40여 차례 이상 악성코드를 유포한 적이 있어 웹사이트의 보안이 허술하다고 추정할 수 있으며, 지속적으로 문제에 노출된 사이트의 경우 대부분 개인정보인 DB 유출까지 의심해봐야 하는 상황이라고 밝혔다. 
 
이번에 발견된 닥터아파트는 멜넷(MalwareNet)의 전형적인 사례로, 이 사이트와 함께 지난주에 멜넷으로 확인된 사이트는 언론매체인 전남일보, 파일공유업체인 아이러브디스크 등이 있다. 사용자들이 이 세 개 사이트를 방문하면 악성코드 3종 세트를 다운로드받게 된다. 빛스캔은 해킹당한 이 세 개 사이트가 모두 동일한 악성코드인 것으로 봐서는 공격자들이 조직적으로 행동하고 있다고 파악했다.
 
특히 닥터아파트 사이트는 지난해 5월부터 40여 차례 이상 악성링크가 삽입되고 변경됐으며, 공격자들은 사이트 IT 관리자들이 휴식을 취하는 매주 금요일 밤부터 월요일 새벽무렵까지 공격을 진행했는데, 이는 악성코드 유포 방법 또한 지능적으로 진화한다는 것을 증빙한다. 
 
악성코드 3종 세트, 파밍, 게임계정탈취, DDoS
사이트에 방문해서 최종 설치되는 악성코드는 파밍, 게임 계정 탈취, DDoS 공격 기능을 가진 악성코드로 분석된 상황이다. 처음 공격 성공한 이후에 다운로드 받아지는 악성코드는 백신의 실시간 업데이트를 방해하고 그 이후 공격자들은 파밍, 게임계정탈취, DDoS 등 3종 세트를 사용자 PC에 설치하도록 구성되어 있다.

파밍은 기존에는 호스트 파일 변조가 주를 이뤘으나 파밍캅이나 각종 백신 등에서 호스트 파일 변조하는 악성코드를 잡아내면서부터 공격자들은 호스트 파일 변조를 하지 않는 기법을 사용하고 있다. 
 
IE에 등록되는 플러그인인 BHO(Browser Helper Object)를 이용하여 은행 사이트 주소가 입력될 때마다 공격자가 지정한 파밍 사이트로 연결되도록 하고 있다. 메모리나 호스트 파일이 아닌 특정 파일에 파밍 사이트 주소를 유지한 상태에서 사용자의 URL 입력이나 특정 도메인 (주로 은행) 요청이 올 경우에 자동으로 공격자가 만들어둔 주소로 이동을 시키는 형태다. 기존 호스트 파일 변조만을 통해서는 탐지가 어려운 유형이다.
 
악성코드 3종 세트 가운데 하나인 게임계정 탈취를 위한 악성코드로 유명 게임 리니지를 테스트한 결과, 아이디와 패스워드가 공격자에게 유출되고 있는 것이 확인됐으며, 다른 유명한 게임들도 공격자들의 공격 대상이 되어 있는 상태이기 때문에 금융기관 이외에 국내 온라인 게임업체들의 주의가 필요하다. 
 
감염된 좀비 PC는 지속적으로 C&C 서버로 접속 신호를 보내고 있으며, 빛스캔 측이 분석 당시에는 해당 C&C 서버 연결이 끊어진 상태라 추가적인 행동을 관찰할 수는 없었다고 전했다. 빛스캔은 감염된 PC들은 주기적으로 계속 연결을 시도하고 있는 상태라서 C&C 서버의 주소가 활성화된다면 직접적인 통제가 가능하므로 다양한 공격과 피해가 발생될 수 있는 상황이라고 말했다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.