신형 나인볼 공격, 4만 개 이상 웹 사이트 감염

Ellen Messmer | Network World 2009.06.18

일명 나인볼 공격으로 알려진 대규모 공격이 4만 개 이상의 웹 사이트를 감염시킨 것으로 밝혀졌다. 이 공격은 악성 프로그램을 웹 페이지에 삽입해 피해자를 트로이목마나 키로거 프로그램을 다운로드하는 사이트로 연결한다.

 

약 10일 동안 나인볼 공격 관련 동향을 추전해 온 웹센스에 따르면, 감염된 웹 사이트는 우선 웹 사이트 방문자의 IP 주소를 식별해 재방문 여부를 확인한다. 그리고 재방문자 중에 있을지도 모르는 보안 연구원이나 조사자의 감시를 피하기 위해 우선은 이들 재방문자를 검색엔진인 Ask.com으로 옮긴다.

 

웹센스의 보안연구 책임자인 스테판 체네트는 “Ask.com에는 악의적인 요소가 전혀 없다. 재방문자를 그냥 이쪽으로 보내는 것 뿐”이라며, 웹 공격에서 이런 방식으로 조사를 피하는 것이 일반화되고 있다고 설명했다.

 

만약 재방문자가 아니라 처음 방문한 사용자라면, 추가적인 리디렉션을 통해 www.nine2rack.in 사이트로 보내진다. 이 사이트는 인도 사이트처럼 보이지만, 우크라이나에 있을 것으로 추정되고 있다. 웹센스는 이 사이트의 주소로 나인볼 공격이라는 이름을 붙였다.

 

피해자가 도착하게 되는 최종 사이트에서는 악성 프로그램이 사용자 브라우저 또는 어도비나 퀵타임 소프트웨어의 취약점을 확인한 후 자동 다운로드 공격이 이뤄진다. 이 과정이 성공하면 아직 많은 안티바이러스 프로그램이 식별하지 못하는 트로이목마 프로그램이 다운로드되는 것이다.

 

체네트는 “이들 트로이목마 프로그램은 매우 낮은 탐지율을 자랑한다. 형태도 다양하며 즉석에서 만들어지기도 한다”고 강조했다.

 

나인볼이 이렇게 많은 웹 사이트를 감염시킬 수 있었던 데는 몇 가지 보안 결함이 도움이 된 것으로 분석된다. 여기에는 취약한 웹 사이트에 대한 SQL 인젝션 공격이나 사용자 패스워드를 훔치는 봇, 웹 사이트 관리자 로긴 등이 포함된다.

 

체네트는 나인볼 공격은 최근 문제가 됐던 벨라덴이나 검블러와는 다른 공격이지만, 이들 공격의 배후 조종자는 동일할 것으로 보고 있다.  emessmer@nww.com

Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.