보안

인터넷 뱅킹용 악성파일, 시한폭탄 장착으로 시스템 파괴...잉카인터넷 '위험' 발령

편집부 | ITWorld 2012.12.28
국내 인터넷 뱅킹 이용자를 노린 악성파일(KRBanker) 변종이 최근 들어 다양한 형태로 진화하고 있다. 
 
잉카인터넷은 2012년 12월 27일 23시경 국내 인터넷 뱅킹용 악성파일이 파괴기능을 탑재함에 따라 보안경보단계 최고단계인 '위험'을 발령했다.
 
이번에 발견된 악성파일은 일본의 특정 도메인에 악성파일이 몰래 숨겨져 있었고, 다수의 국내 사이트들 대상으로 유포됐다. 악성파일은 마치 음악파일인 mp3 파일처럼 확장자를 조작해 추가 변종을 배포 시도하기도 했다. 
 
hxxp://210.(생략).32:2323/qq.exe
hxxp://210.(생략).32/temp/q/m.mp3 등외 다수
 
악성파일인 'qq.exe' 파일이 실행되면 시스템 폴더 하위에 'muis' 이름의 폴더를 생성한다. 그리고 하위에 마침표가 포함된 비정상적인 'tempblogs.' 이름의 폴더를 생성한다. 보통 폴더에는 마침표(.)를 포함할 수 없다. 이 기법은 2010년 LNK 제로데이 공격용 악성파일이 사용했던 수법이며, 일반적인 방법으로는 폴더 내부에 접근할 수 없다.
이 'tempblogs.' 하위 폴더에는 'tempblogs..' 폴더가 하나 더 생성되어 있고, 내부에는 '1216', 'csrsses.exe', 'winlogones.exe' 등의 악성파일이 숨겨져 있다. 악성파일들은 서비스에 다음과 같이 등록해 재부팅시 자동으로 실행되도록 하며, 정상적인 'winlogon.exe', 'calc.exe' 등을 통해 작동된다.
 
숙주 'csrsses.exe'와 'winlogones.exe' 악성파일 명령으로 실행된 'winlogon.exe' 파일과 'calc.exe' 파일은 프로세스가 종료되면 서로 실행해 주는 보호역할을 각각 수행한다. 실행환경에 따라 숙주 악성파일이 보여지는 경우도 있지만, 보통 정상적인 윈로그온(winlogon.exe)과 계산기(calc.exe) 프로세스만 보여, 악성파일이 실행 중인 것을 육안으로 파악하기 쉽지 않다.
 
특히 이 악성파일은 시스템 날짜가 2013년 01월 15일 이후(01월 16일부터)가 되면 C드라이브 루트폴더에 fmatme.bat 파일을 생성해 실행시킨다. 배치파일 내부에는 시스템 폴더의 중요 파일들을 삭제하는 명령어가 삽입되어 있다. 
 
잉카인터넷 측은 "변종에 따라 2012년 12월 04일, 12월 06일, 12월 17일, 12월 25일, 12월 26일 이후 파괴기능이 작동된 악성파일도 확인된 상태"라며, "이미 부팅불가 피해를 입은 사용자가 있을 것으로 예상된다"고 전했다.
 
한 마디로 배치 파일에 시한폭탄을 장착한 것과 같은 것이다. 만약 시스템 파일이 손상되어 부팅이 정상적으로 진행되지 않는다면 보유하고 있는 윈도우OS CD나 복구CD 등을 이용해서 시스템 파일을 복원해야 정상적인 시스템 사용이 가능해진다.
 
악성파일은 추가 변종을 다운로드할 수 있도록 제작되어 있으며, 국내 유명 무료 안티 악성코드 제품들의 실행을 방해(무력화)하고, 안랩(ahnlab.com) 홈페이지에 접속을 시도할 경우 일본의 정치관련 사이트로 리다이렉션시킨다. 
 
안랩 : V3LSvc.exe
네이버 : Nsavsvc.npc
이스트소프트 : AYRTSrv.aye
 
이 악성파일은 보안 서비스를 방해하면서, 국내 인터넷 뱅킹 사이트에 접속시 피싱사이트로 연결되도록 사용자의 인터넷 접속 현황을 감시하게 된다. 감시 대상으로는 농협, 국민은행, 우리은행, 기업은행 등이 포함되어 있다.
 
잉카인터넷 대응팀이 발견한 이번 KRBanker 변종 악성파일의 경우 델파이 프로그램 개발자가 생성하는 라이브러리만을 감염시키는 Induc 바이러스에 중복으로 감염된 채 배포됐다.
 
잉카인터넷 측은 이 점으로 비춰볼 때, 악성파일 제작자는 이미 Induc 바이러스에 감염된 상태에서 악성파일을 제작한 것으로 보이지만, 이미 오래 전에 알려진 바이러스이므로, KRBanker 변종 제작자가 고의적으로 바이러스를 포함했을 가능성은 희박하다고 전했다. 
 
이번 악성파일의 가장 큰 변화와 주목할 점은 시스템 하위 폴더에 비정상적인 폴더를 생성해서 일반 사용자가 쉽게 접근하지 못하도록 해 악성파일 제거 및 대응을 방해하는 방식을 새롭게 도입했다는 점과 특정시점이 되면 시스템을 파괴하는 기능을 추가해 자신의 흔적을 제거하려는 시도를 했다는 점이다. 
 
국내 인터넷 뱅킹용(KRBanker) 악성파일 변종이 꾸준히 증가하고 있고, 기법도 점차 다변화되고 있는 추세다. 인터넷 뱅킹 사용자들은 이런 보안위협에 노출되어 예금인출 사고로 이어지지 않도록 각별한 주의가 필요하다.
 
잉카인터넷은 "최근의 전자금융 피싱사이트들은 실제 인터넷 뱅킹 사이트 디자인을 그대로 모방해 제작하고 있기 때문에 평상시 인터넷 화면만으로 진위여부를 가리기 쉽지 않다는 점을 반드시 명심해야 한다"고 경고했다.
 
또한 "보통의 가짜 인터넷 뱅킹 사이트는 사용자의 개인정보를 과도하게 입력하도록 요구하는 것이 공통점이므로, 평상시와 다르게 요구하는 정보가 많아졌거나, 인터넷 뱅킹 사이트에 오타 등 이상한 문구 등을 발견할 경우 개인정보 입력을 중단하고, 관계 금융기관 등에 문의를 해보는 습관이 필요하다"고 전했다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.