안랩 ASEC에서 2013년 9월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2013 Vol.45을 발간하였다. 


이 번에 발간된 ASEC 리포트는 2013년 9월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다.


1) 악성코드 이슈

ZeroAccess 악성코드의 지속적인 등장

구글 업데이트를 위장한 ZeroAccess 악성코드

IE 실행 시 중국 사이트 접속?!

대형 인터넷 쇼핑몰을 겨냥한 금융 피싱 악성코드 기승

난독화된 스크립트 악성코드 감염 주의

최신 음악 토렌트 파일을 위장한 PUP 유포

홍콩금융관리국 위장 악성 스팸 메일

페이징 파일에 잔존하는 데이터


2) 모바일 악성코드 이슈

한국인터넷진흥원을 사칭한 스미싱 주의!

금융사 피싱 앱 변종 발견

금융 예방 서비스?


3) 보안 이슈

제로데이 IE 취약점, CVE-2013-3893 

어도비사 고객정보 및 소스코드 유출 사건


ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다. 


ASEC 보안 위협 동향 리포트 2013 Vol.45 발간

저작자 표시 비영리 변경 금지
신고
Posted by 비회원

 

안드로이드 폰 사용자들을 타깃으로 금융 관련 정보를 탈취하려는 Bankun 악성 앱의 변종이 발견되었다. 기존에 발견되었던 방식보다 더욱더 진화한 형태로 점점 그 방식이 정교해지고 있어 사용자들의 주의가 필요하다.

 

앱 설치 시에 아래와 같이 아이콘 모양은 'Play 스토어' 아이콘과 같으나 정상 앱 이름의 경우 'Play 스토어' 인 반면 악성 앱은 'Google App Store' 인 것을 확인할 수 있다.

 

[그림 1] 악성 앱 아이콘 모양

 

악성 앱 실행 시에는 설치파일이 손상되었다는 오류와 함께 아래와 같은 팝업 메시지를 보게 된다.

 

[그림 2] 앱 실행 시, 팝업되는 메시지

 

위 그림에서 '확인'이나 '취소' 버튼을 터치 시에 앱의 아이콘은 보이지 않게 되며, 앱이 서비스로 실행되게 된다. 아래 그림은 앱 정보 화면이며, 앱이 삭제된 후에도 서비스로 등록되어 실행되고 있는 것을 확인할 수 있다.

[그림 3] 악성 앱 실행 정보

 

해당 앱은 서비스로 실행되면서, 사용자의 스마트폰에 어떤 뱅킹 앱이 설치가 되어있는지 확인 후, 그 앱에 맞는 악성 앱을 다운로드 한다. 이후 정상 앱을 삭제하고 다운로드된 악성 앱을 설치하도록 시도한다.

 

 [그림 4] 악성 뱅킹 앱을 다운로드 받는 코드 (일부)

 

악성 앱이 다운로드 되어 실행되면 기존에 유포되었던 금융사 피싱 앱과는 달리 V3 mobile PLUS 실행을 가장하고 금융감독원을 사칭한 팝업 메시지를 띄운다.

 


 
[그림 5] 다운로드 된 뱅킹 실행 시, 보이는 화면

 

확인을 터치 시, 아래와 같이 실제로 사용자의 공인증서를 확인할 수 있으며 이는 기존에 발견되었던 피싱 앱과는 달리 정상 앱과 매우 유사한 형태임을 확인할 수 있다.

 

 [그림 6] 공인인증서 암호 요구 화면

 

위 악성 앱 역시 스미싱 형태로 유포되고 있으며, 금융사 피싱 앱은 일반 사용자들이 정상 앱과 구분을 할 수 없을 정도로 정교화되어 가고 있다. 이에 사용자는 문자내용에 포함된 링크가 존재할 경우 접속에 주의해야만 하며, 사전에 V3 모바일 백신과 같은 믿을 수 있는 제품을 사용하여 감염되지 않도록 주의하는 것이 중요하다.

 

해당 악성코드는 V3 Mobile 제품을 통해 진단 및 치료가 가능하다.

 

<V3 제품군의 진단명>

 

Android-Downloader/Bankun

  

신고
Posted by DH, L@@

 

최근 bankun 악성 앱의 변형이 발견되었다. 기존 bankun 앱은 ASEC '금융사 피싱앱 주의(1)'에서 그 분석 정보를 확인할 수 있다. 이번에 발견된 변형의 경우에는 기존 앱보다 지능화되었고 실제 감염된 사례도 보고되고 있어 사용자들의 각별한 주의를 요구한다.

 

과거에 발견된 금융사 피싱앱과 비교하여 변경된 점은 아래와 같다.

 

- 아이콘 및 패키지 변화

[그림 1] 아이콘 및 앱 이름

 

[그림 2] 패키지 및 클래스의 변화

 

기존에는 앱 이름에 패키지 이름이 있었던 반면, 최근 발견된 앱 에서는 앱 이름이 보이지 않는다. 또한, 비교적 간단하게 작성되었던 기존의 클래스들에 비해 최근 발견된 앱에서는 Receiver, services 등의 클래스가 추가됨이 확인된다.

 

- 권한 및 기기 관리자 등록

[그림 3] 앱 실행 시, 나타나는 기기 관리자 등록 화면

 

앱을 실행했을 시, 아이콘은 사라지고 사용자는 위의 화면과 같이 해당 앱을 기기 관리자 등록 여부를 묻는 화면을 볼 수 있다.

 

- 서비스 및 리시버 이용

[그림 4] 악성 앱이 서비스 동작하는 화면

 

[그림 3]에서 사용자가 Activate 버튼을 누르면 악성 앱은 서비스로 동작하기 시작한다. 또한 앱 디컴파일 시, 아래 [그림 5] 와 같이 Receive 코드를 확인할 수 있다. 해당 코드를 확인해 보면 사용자가 문자 수신을 하거나 전원을 On/Off 하는 등의 행위를 했을 시, 피싱앱 추가 설치를 유도한다는 사실도 확인할 수 있다.

 

[그림 5] Receiver 코드

 

- 알림(Notification) 사용

[그림 6] 문자 수신 시, 새로운 업데이트를 알리는 화면

 

리시버에 의해 사용자가 임의의 문자를 수신했을 때는 위 그림과 같이 "새로운 업데이트가 있습니다." 라는 알림이 뜬다. 이는 구글플레이나 다른 앱들이 업데이트되는 방식과 매우 유사하여 사용자가 의심하지 않고 또 다른 악성 피싱앱 설치를 하게 된다.

- 설치된 피싱앱

[그림 7] 파일 생성 정보

 

악성앱이 띄운 알림에 따라 업데이트를 누르면, 사용자는 기존의 앱 삭제 여부를 묻는 팝업창과 피싱앱 설치 화면을 보게 된다. 이 과정에서 사용자는 단순히 앱 업데이트 과정으로 착각할 수 있으며, 설치 과정에서 정상적인 ** 앱이 설치 되어 있는 사용자라면 ** 피싱 앱이 설치가 되고, ##은행 앱이 설치 되어 있을 때는 ##은행 피싱 앱이 설치된다. 다만, 과거에 발견되었던 앱에서는 8개의 금융기업 피싱앱이 존재하였으나 최근 발견된 앱에서는 **은행, **, **은행 피싱 앱만 존재하였다.

 

[그림 8] 악성앱 안에 존재하는 피싱앱

앞에서도 언급했듯이, 최근 감염된 사례들이 접수되고 있고 금융과 관련된 악성 앱인 만큼 그 피해가 커질 수 있어 사용자들의 각별한 주의를 요구한다. 피해를 예방하기 위해 V3 Mobile과 같은 백신으로 주기적으로 검사하는 습관이 필요하며 특히 의심스러운 앱은 다운로드 하지 않도록 하는 것이 무엇보다 중요하다.

<V3 제품군의 진단명>

 

Android-Trojan/Bankun

 

신고
Posted by DH, L@@

 

국내 스마트폰 사용자들을 타깃으로 유포되고 있는 악성앱 들이 점차 증가하고 있는 가운데 금융사를 위장한 피싱앱도 종종 발견된다. 스미싱으로 유포되는 악성 앱들은 휴대폰의 소액결제를 통해 금전적인 이득을 취하려는 목적이 대부분인 반면 금융 피싱앱은 보안카드 및 사용자의 금융관련 정보를 모두 탈취하려는 의도로 그 피해가 커질 수 있어 주의를 요한다.

 

최근 발견된 금융사 피싱앱은 금융사 관련 피싱사이트를 통해 배포되는 것으로 추정되며, 설치 시에는 아래와 같이 Google Play Store 아이콘 모양으로 설치가 된다.

 

[그림 1] 앱 설치 시 아이콘

 

앱 설치 시, 어떠한 퍼미션도 요구하지 않았으며 아래 그림과 같이 AndroidManifest.xml 파일 확인 시, 사용자에게 퍼미션을 요구하지 않는 것으로 확인된다.

 

[그림 2] AndroidManifest.xml 파일 내용

Apk 파일 압축 해제 시에 아래와 같이 assets 폴더에 별도로 8개의 apk가 존재하는 것이 확인된다.

 

[그림 3] 압축 해제 시 /assets 폴더

 

또한 classes.dex 파일을 디컴파일 하여 패키지 구조를 보면 아래와 같다.

 

[그림 4] 패키지 정보

 

앱 제작자가 작성한 com.google.bankun 패키지 안의 MainActivity 클래스를 보면 총 6개의 함수가 확인되며, onCreate 를 제외한 나머지 함수들은 제작자가 작성한 함수로 함수들 각각의 기능은 아래 표와 같다.

 

함수명

기능

onCreate

처음 시작되는 EntryPoint 함수

installZxingApk

Apk 인스톨 기능을 하는 함수

isAvilible

뱅킹앱 설치 여부를 체크하는 함수

chmodApk

권한 변경 기능을 하는 함수

getRootAhth

Root 권한을 확인하기 위한 함수

uninstallApk

Apk 언인스톨 기능을 하는 함수

[표 1] 제작자가 작성한 함수들에 대한 각각의 기능

위 함수들의 흐름은 아래 그림과 같이 뱅킹앱 설치 여부 및 루팅 여부 확인 후, 각 조건에 맞게 assets 폴더 안에 있는 1~8.apk 파일을 설치하는 것으로 확인된다. 설치되는 앱들 중, 8.apk 파일을 살펴보면 금융사 앱을 위장한 앱으로 사용자들에게 이름 및 계좌정보 등을 입력 받는 피싱앱으로 확인된다.

 8.apk 파일 외에 추가로 다른 앱들이 발견 되어도 금융사들의 이름만 다를 뿐 그 기능은 유사한 것으로 확인되며, 각 앱들이 위장하고 있는 금융사들은 아래 표와 같다.

    

APK

은행명

1.apk

**은행

2.apk

**은행

3.apk

**은행

4.apk

**

5.apk

**은행

6.apk

** **은행

7.apk

**은행

8.apk

*****

[표 2] 금융사를 위장한 앱 목록

아래 그림은 1.apk (**은행) 앱의 캡처화면으로 8.apk (*** **) 과 이미지만 다를 뿐 그 방식이 유사하다는 것을 알 수 있다.

 [그림 5] 1.apk 앱

 

위와 같은 피싱앱 외에도 국내에서는 주로 스미싱 메시지를 통해 많은 악성 앱들이 유포되므로 사용자들은 V3 Mobile 과 같은 백신으로 주기적으로 검사해보는 습관이 필요하다.

 

해당 악성코드는 V3 Mobile 제품을 통해 진단 및 치료가 가능하다.

 

<V3 제품군의 진단명>

 

Android-Trojan/Bankun

 

신고
Posted by DH, L@@

-APT 공격 기법 진화, 대상 확대..문서 파일 악용 지능화 

-정치 이슈 이용한 악성코드 유포, 해킹 등 기승 

-모바일 악성코드, 국내 금융사 이용 피싱 사이트 급증


글로벌 정보보안 기업인 안랩[구 안철수연구소, 대표 김홍선, www.ahnlab.com]은28일 올 한 해 동안의 보안 위협의 주요 흐름을 분석해 ‘2012년7대 보안 위협 트렌드’를 발표했다. 이에 따르면 올 한 해 주요 이슈는 ▲APT 기승 ▲소프트웨어의 취약점 악용 지속 증가 ▲정치적 이슈 두드러진 사회공학 공격 기법 ▲모바일 악성코드 급증 ▲악성코드의 고도화 ▲핵티비즘과 기업 정보 탈취 목적 해킹 빈발 ▲국내 피싱 웹사이트 급증 등이었다.


 

1. APT 기승

 

APT[Advanced Persistent Threat; 지능형 타깃 공격]는 전년보다 공격 기법이 진화했으며 공격 대상 역시 광범위해졌다.

 

APT 공격은 그동안 어도비PDF, 마이크로소프트[MS]의 워드 등 문서 파일에 존재하는 취약점을 악용해 왔다. 취약점을 악용해 취약한 전자 문서 파일을 제작한 뒤 공격하고자 하는 대상이나 기관에 이메일로 보내는 것이다. 이 같은 전통적 형태의APT 공격 기법은2012년에도 여전히 기승을 부렸다.

 

이와 동시에 좀더 진화한 형태도 나타났다. 정상 전자문서나 이미지 파일을 악성코드와 함께 압축 파일[RARSfx]로 만들어 이메일에 첨부한 것이 대표적이다. RARSfx 파일은 압축을 풀지 않아도 실행이 되기 때문에, 사용자가 전자문서나 이미지 파일이라 생각하고 실행한 경우 뜻하지 않게 악성코드에 감염될 수 있다. 이 밖에 윈도우의 도움말 파일[HLP]에 악성코드를 삽입해 이메일로 전달하는 형태도 등장했다.


또한 공격 대상이 되는 기관[기업]에서 사용 빈도가 높은 운영체제를 파악한 뒤, 그에 맞는맞춤형 악성코드를 제작하거나 모바일 기기에서 작동하는 악성코드를 제작, 유포하는 형태도 발견됐다. 특히 국내에서는 기업이나 공공기관에서 자주 사용하는 소프트웨어의 업데이트 파일을 악성코드로 변경, 유포한 사례도 있었다.

 

공격 대상의 범위도 다각화했다. 과거에는 첨단 산업 분야에서 각 기업의 내부 기밀 자료를 탈취하고자 하는 목적으로 이뤄졌다. 그러나 이제는 정치적인 사안이나 군사 정보를 확보하기 위한 목적으로 정부 기관과 민간 단체에도 공격이 시도되면서 그 폭이 넓어졌다.

 

2. 소프트웨어의 취약점 악용 지속 증가

 

올해 소프트웨어의 취약점을 악용한 보안 위협은 특정 지역에서 주로 사용되는 소프트웨어를 악용하는 형태가 증가했다.

 

국내에서 가장 눈에 띄는 것은 국산 문서 프로그램을 악용한 공격이다. 특히 올해는 제로데이 취약점이 발견되었으며, 이를 활용한 공공 및 정부기관 내부 직원들 타깃의 공격도 가해져 주목을 끌었다. 이는 해당 문서 프로그램이 국내에서 사용 빈도가 높다는 점에서 국내 타깃 공격이 증대되고 있는 징후로 해석할 수 있다.


이 밖에 세계적으로 사용빈도가 높은 소프트웨어의 취약점을 악용한 보안 위협도 지속적으로 발견됐다. 어도비 플래시를 비롯해 MS사의 소프트웨어에서 윈도우 미디어, XML 코어 서비스, 윈도우 공용 콘트롤 취약점, 인터넷 익스플로러 버전7과8의 취약점을 악용한 위협이 다수 발견됐다. 지난해부터 위협 대상으로 떠오른 자바 역시JRE 7에 존재하는 취약점을 악용한 형태가 등장했다.

 

3. 정치적 이슈 두드러진 사회공학 공격 기법


사회공학적 공격 기법에서는 정치적인 이슈를 악용한 보안 위협이 크게 늘었다. 미국과 한국의 대선 등 올해가 세계적으로정치의 해였기 때문에 세간의 관심과 호기심을 자극할 수 있는 정치 이슈를 악용한 공격이 증대된 것으로 풀이된다.


올해 사회공학적 공격 기법에 악용된 정치 이슈는 한국의4.11 총선과 미국의 대선, 한국의 대선 등을 들 수 있다. 또한 북한 광명성3호 발사 및 핵실험, 2012 서울핵안보정상회의 등이다. 사회적으로 이슈가 된 현안들도 공격에 자주 이용됐다. 세계적인 이목이 집중됐던 런던올림픽과, 국내서 뜨거운 화제가 됐던 한 걸그룹의 멤버왕따 사건도 활용됐다.


이 밖에 유명 패스트푸드 업체에서 제공하는 프리미엄 환불 서비스, 한 보안 업체의 보안 관련 소식, 남성이 주로 읽는 무협지, 자동차 업체가 제공하는 경품 이벤트 등의 주제로 이메일이 발송된 사례 등도 있다.

 

4. 모바일 악성코드 급증

 

모바일 악성코드는 수적 증가뿐 아니라 유포 방식의 다변화, 기능의 지능화, 공격 지역의 국지화를 특징으로 꼽을 수 있다.

 

수적 증가는 악성코드 제작자에게 모바일 환경이 금전 탈취가 가능한 새로운 시장으로 인식됐기 때문으로 보인다.

 

유포 방식은 과거 안드로이드 공식 마켓이나 서드 파티 마켓 중심이었으나, 올해는 유용한 애플리케이션이나 유명한 게임으로 위장해 허위 안드로이드 마켓에서 유포되는 방식이 등장했다. 또한 트위터나SMS[휴대전화 문자]를 통해 단축URL을 유포하는 형태도 등장했다.

 

기능의 지능화는 스마트폰의 하드웨어 정보, 사용자 개인정보는 물론이고 온라인 뱅킹 인증번호를 포함한SMS를 탈취하는 데까지 이르렀다. 모바일 백신으로 위장해 금전적 대가를 요구하는 형태도 등장했다.

 

공격 지역의 국지화는 이스라엘 사용자를 겨냥해 히브리어로 제작한 악성코드, 국내 공공기관을 사칭하거나 스마트폰 청구서로 위장한 악성코드 등에서 나타났다.

 

5. 악성코드의 고도화

 

올해 발견된 악성코드들은 과거보다 자체 보호 기능이 강해진 한편, 부팅 관련 영역까지 감염시킬 정도로 고도화했으며, 금융 정보를 직접 탈취할 정도로 과감해졌다.

 

과거에는 실행 압축과 암호화 기법 등을 사용해 보안 소프트웨어의 탐지를 회피하는 비교적 소극적인 방법을 택했다. 그러나2012년에는 보안 소프트웨어 관련 파일을 직접 삭제하거나, 보안 소프트웨어가 실행되지 않도록 운영체제의 커널[Kernel] 영역에 접근하는 적극적인 방법이 나타났다.

 

부팅 관련 영역인MBR[Master Boot Record]을 감염시키는부트킷[Bootkit] 형태의 악성코드도 올해 지속적으로 발견됐다. MBR은PC가 부팅하는 데 필요한 정보들이 저장된 물리적인 하드 디스크 영역이다. MBR은 구조가 복잡하고 크기도 제한적이라 이를 겨냥한 악성코드를 제작하기가 어렵다. 그만큼 백신 프로그램으로 진단/치료하기도 매우 까다롭다. 그러나 최근 들어 이런 유형의 부트킷 형태의 악성코드가 속속 제작되는 추세이다. 부트킷은 러시아와 중국에서 주로 제작되는 것으로 알려졌으며, 주로 온라인 게임 관련 개인정보 탈취가 목적이다.

 

또한 기존 악성코드는 키보드로 입력되는 개인정보를 이용해 간접적으로 이익을 취했다. 그러나 올해 유포된 뱅키[Banki] 악성코드는 개인 금융 정보를 직접 탈취하는 것이 특징이다. 뱅키[Banki] 트로이목마는PC에 있는 호스트[hosts] 파일을 변조해 가짜 금융권 웹사이트로 사용자를 유도해 개인정보는 물론 공인인증서까지 가로챈다.

 

6. 핵티비즘과 기업 정보 탈취 목적 해킹 빈발

 

2012년에 발생한 해킹 사고들은 크게 두 가지 목적이었다. 정치적인 의사를 표시하기 위해 사용하는 이른바 ‘핵티비즘[Hacktivism]’과, 기업이 가진 내부 정보를 탈취하기 위한 해킹이다.

 

올해4.11 총선과12.19 대선 등 정치 이슈가 많았던 만큼, 각 정당 및 정치단체 홈페이지나 언론사 홈페이지 해킹 등 핵티비즘 성격의 사건이 많았다. 기업 정보를 겨냥한 해킹은 한 방송사의 홈페이지가 해킹돼 회원400만명의 개인정보가 유출된 사고, 대형 통신사가 해킹돼 가입자870만명의 개인정보가 유출된 사고, 문서 프로그램의 업데이트 서버를 통해 악성코드를 유포한 사고 등이 있었다.

 

7. 국내 피싱 웹사이트 급증

 

그동안 해외에서는 흔했지만 국내에서는 거의 없었던 피싱 사이트가 급증했다. 201년에만 국내 대표적 금융사20여 곳이 피싱 사이트에 이용됐다. 피싱 사이트의 유포에는SMS가 주로 활용됐다. 이는 스마트폰 뱅킹의 대중화에 따른 현상으로 보인다. 일부에서는 모바일 브라우저 형태의 피싱 사이트도 등장해 ‘모바일 맞춤형’ 피싱 사이트가 기승을 부리고 있음을 보여주었다.

 

안랩 시큐리티대응센터 이호웅 센터장은"장기간에 걸쳐 지능적인 공격을 하는APT나 각종 악성코드, 해킹, 피싱 등이 노리는 것은 개인정보이다. 개인정보를 이용해 금전적 이익을 취할 수 있기 때문이다. 개인, 기업, 기관 모두 다각적이고 입체적인 대응을 해나가야 한다.”라고 강조했다.

저작자 표시 비영리 변경 금지
신고
Posted by 비회원

- 제우스, 스파이아이 이은 금융정보 탈취형 악성코드 Citadel 분석 발표 

- 강화된 정보 수집 기능으로 인터넷 뱅킹 정보 및 PC 정보 수집 

- 인터넷에서 유상 판매...악성코드의 기업화 양상 


세계적으로 큰 피해를 일으켰던 금융정보 탈취형 악성코드인 제우스[Zeus]와 스파이아이[Spyeye]의 뒤를 잇는 강력한 악성코드가 발견됐다.

 

글로벌 보안 기업 안랩[구 안철수연구소, 대표 김홍선, www.ahnlab.com]은 강력한 기능의 금융정보 탈취형 악성코드인 시타델[Citadel] 악성코드에 대한 분석 결과를 발표하고 사용자 주의를 당부했다.

 

시타델은 ‘시타델 빌더’라 불리는 악성코드 생성기로 만들어진 악성코드로, 과거 제우스 악성코드와 작동 방식이 유사하다. 현재 ‘제우스 빌더’가 더 이상 업데이트되지 않고 소스코드까지 공개된 시점에서 새롭게 대두되기 시작한 악성코드이다.

 

안랩의 분석에 따르면 시타델 악성코드의 기능은 전체적으로 제우스와 유사한 경향을 보인다. 따라서 악성코드에 감염된 PC의 네트워크인 봇넷[Botnet]을 구성하기 위한 기능을 기본으로, 사용자의 인터넷 뱅킹 정보, 웹 브라우저 내 저장 정보, SNS[소셜네트워크서비스] 개인정보 등 다양한 데이터를 탈취하는 기능을 가지고 있다. 또한 공격자용 서버인 C&C 서버로부터 허위백신[사용자의 PC를 사용하지 못하게 만들거나 허위로 악성코드에 감염되었다는 정보로 공포심을 유발한 후 이를 해결하기 위한 대가로 직접적인 송금을 강요하는 부류의 악성코드] 등을 추가적으로 내려 받아 감염된 PC 사용자에게 직접적으로 금전을 요구하기도 한다.

 

반면, 정보 탈취의 기능은 제우스에 비해 비약적으로 강화되었다. 제우스의 경우 뱅킹 인증 정보를 훔치기에 앞서 운영체제 정보, 웹 브라우저 정보, 사용자가 설정한 컴퓨터 이름 등 감염 PC의 기본 정보만 모아 공격자에게 전송한다. 반면 시타델은 기본적인 정보 외에 감염 PC가 소속된 네트워크 정보가 포함되어 APT[Advanced Persistent Threat]까지 고려한 정보수집을 시도한다. 예를 들어 로컬 네트워크의 도메인 정보, 데이터베이스 서버 리스트, 사용자 네트워크 환경을 수집하고 윈도우 사용자 및 그룹 계정 정보, 더 나아가 웹 브라우저에 홈페이지로 설정된 정보까지 수집한다.

 

시타델 악성코드는 ‘시타델 스토어’라는 곳에서 판매되고 있다. 악성코드를 생성하는 빌더와관리자용 패널을 판매하는 한편, 미리 구축된 봇넷에 대한 월별 사용료, 백신을 회피하기 위한 서비스 및 업데이트 사용료 등 세분화한 판매 정책으로 기업화 및 전문화한 최근 악성코드의 경향을 반영하고 있다.

 

안랩의 온라인 거래 보안 솔루션인 AOS[AhnLab Online Security]는 이러한 시타델, 스파이아이, 제우스와 같은 고도화한 타깃형 악성코드에 대응하기 위해 특화 설계된 보안 플랫폼이다. AOS는 시큐어 브라우저[AOS Secure Browser], 안티키로거[AOS Anti-keylogger], 방화벽[AOS Firewall], 백신[AOS Anti-virus/spyware]로 구성되어 악성코드 공격 및 키보드를 통한 정보 탈취, 허가되지 않은 외부 침입 방지 등 다양한 보안 위협을 막아낸다. 또한, 안랩은 AOS의 스마트폰용 버전인 ‘AOS 모바일’을 출시하고, 인텔의 개인정보보호 기술인 인텔 IPT[Intel® IPT]를 AOS에 적용해 더욱 강력해진 사용자 인증 기능을 제공한다. AOS는 현재 국내 다양한 금융사를 비롯해 남미의 배너멕스와 산탄데르, 북미 지역의 코너스톤뱅크 등 해외 금융권에도 적용되고 있다.

 

안랩 시큐리티대응센터 이호웅 센터장은 “이제 악성코드는 대부분 금전적인 목적으로 제작되고 있다고 해도 과언이 아니다. 특히 금융정보를 노린 타깃형 악성코드는 더욱 증가할 것으로 예상된다. 사용자는 PC 백신 업데이트, 수상한 메일의 첨부 파일 및 링크 클릭 자제 등 주의가 필요하고, 기업의 경우 자사 시스템과 고객을 동시에 보호할 수 있는 광범위한 보안 솔루션 도입이 필수적이다.”라고 말했다. 

 

저작자 표시 비영리 변경 금지
신고
Posted by 비회원

금융 정보를 탈취를 목적으로하는 악성코드들은 PC와 안드로이드(Android)까지 다양한 운영체제와 디바이스들을 대상으로 그 범위를 확장해가고 있으며, 최근에는 안드로이드 모바일 운영체제를 대상으로 감염 후 개인 금융 정보 탈취를 목적으로하는 안드로이드 악성코드들이 지속적으로 발견되고 있다.


ASEC에서는 6월에도 이러한 형태의 안드로이드 악성코드인 ZitMo(Zeus in the Mobile)라는 안드로이드 악성코드가 발견되었음을 공개한 바가 있다.


2012년 6월 - Zitmo 변형으로 알려진 안드로이드 악성코드


현지 시각으로 2012년 8월 7일 해외 보안 업체인 캐스퍼스키(Kaspersky)에서는 블로그 "New ZitMo for Android and Blackberry"를 통해 새로운 ZitMo 안드로이드 악성코드 변형이 발견되었음을 공개하였다.


ASEC에서는 해당  새로운 ZitMo 안드로이드 악성코드 변형을 확보하여 자세한 분석을 진행하였다.


이 번에 발견된 ZitMo 안드로이드 악성코드 변형을 안드로이드 스마트폰에 설치하게 되면 아래 이미지와 같이 "SMS(Short Message Service) 송수신 권한"을 설치시 요구하게 된다.



그리고 설치가 완료되면 아래 이미지와 같이 "Zertifikat"라는 명칭을 가지는 아이콘을 안드로이드 스마트폰에 생성하게 된다. 해당 "Zertifikat"는 독일어로 증명서 또는 인증서를 의미한다.



해당 ZitMo 안드로이드 악성코드를 실행하게 되면 아래 이미지와 같은 독일어로 되어 있는 메시지가 나타나게 되며, 이는 "설치 성공, 정품 인증 코드는 7725486193 입니다."를 의미 한다.



설치가 완료되면 해당 ZitMo 안드로이드 악성코드는 안드로이드 스마트폰이 부팅하게 되면 자신의 아이콘을 숨기고, 감염된 안드로이드 스마트폰으로 송수신되는 모든 SMS들을 특정 휴대전화 번호로 전송하게 된다.


이러한 동작 기법으로 미루어 해당 ZitMo 안드로이드 악성코드는 유럽 지역에서 스마트폰을 이용한 뱅킹(Banking) 서비스 이용시에 사용자 인증을 위해 스마트폰과 휴대 전화로 뱅킹 인증 번호를 SMS로 전송한다는 점을 악용하여 감염된 안드로이드 폰에서 송수신한 뱅킹 인증 번호를 다른 휴대전화로 유출하는 것으로 분석 된다.


이번에 발견된 ZitMo 안드로이드 악성코드는 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/Zitmo.M


안드로이드 모바일 기기 사용자들은 인터넷 웹 사이트 등을 통해 안드로이드 앱들을 다운로드 받아 설치하는 것보다 신뢰 할 수 있는 통신사 또는 제조사가 제공하는 앱스토어를 이용해 다운로드 및 설치하는 것이 중요하다.


그리고 안드로이드 모바일 기기에서도 신뢰 할 수 있는 보안 업체가 개발한 보안 제품을 설치하여 주기적으로 검사하는 것이 필요하다.

저작자 표시 비영리 변경 금지
신고
Posted by 비회원

검색 엔진을 개발하는 구글(Google)에서는 사용자들의 편의성을 위해 지메일(Gmail), 구글 리더(Google Reader)와 구글 닥스(Google Docs) 등 여러가지 서비스를 제공해주고 있다.


구글에서 제공하는 서비스들은 인터넷만 연결되어 있다면 언제든지 메일과 웹 사이트 그리고 문서 등을 읽거나 작업할 수 있는 공간을 제공 해주고 있으며, 개발자들의 경우에는 구글 코드(Google Code)라고 하여 프로그램 개발과 관련한 소스코드와 파일등을 개발자들 사이에서 공유 할 수 있는 공간을 제공하고 있다.


이러한 서비스들 모두 24시간 중단되지 않는 가용성을 제공하고 있으며, 구글에서 운영을 하고 있음으로 안정성까지 제공 받을 수 있다는 점을 악용하여 구글 코드에 악성코드를 업로드하여 유포에 악용하는 사례가 7월 23일 발견되었다.


구글 코드를 악성코드 유포에 악용하였던 사례는 이번이 처음은 아니며 7월 18일 발견되었던 개인 금융 정보 탈취 목적의 Banki 트로이목마 역시 구글 코드를 악용하였다.


이 번에 발견된 구글 코드를 악용해 유포되고 있는 악성코드들은 아래 이미지와 같이 총 2개의 파일이며 server.exe (58,368 바이트)와 1.exe (37,772 바이트)이다.



해당 악성코드들의 상관 관계에 대해 ASD(AhnLab Smart Defense)의 데이터베이스를 통해 분석 결과 1.exe (37,772 바이트)는 최초 7월 22일 17시경 유포되었다.


해당 1.exe (37,772 바이트) 파일이 실행되면 윈도우 시스템 폴더에 다음과 같이 자신의 복사본으로 생성하게 된다.


C:\WINDOWS\system32\WinHelp32.exe


그리고 "Windows Help Systemg" 라는 서비스명으로 다음의 레지스트리 키를 생성하여 시스템 재부팅시 자동 실행하도록 구성하였다.


HKLM\SYSTEM\ControlSet001\Services\WinHelp32t\ImagePath

"C:\WINDOWS\system32\WinHelp32.exe"


그리고 중국에 위치한 특정 시스템으로 접속을 시도하게 되나 분석 당시에는 정상적인 접속이 이루어지지 않았다. 그러나 ASD의 데이터베이스를 통해 네트워크 접속 로그를 확인한 결과 7월 22일 23시경에는 다음 파일을 다운로드 하는 명령을 수행하고 있었다.


http://*********.googlecode.com/files/server.exe


1.exe (37,772 바이트)는 별도의 드라이버 파일(.SYS) 파일을 통해 보안 소프트웨어에 의해 후킹(Hooking)되어 있는 SSDT(System Service Dispatch Table)를 강제로 복구하는 기능을 수행하여, 자신이 보안 제품에 의해 탐지 되지 않도록 한다.


그 외에 공격자 의도에 따라 다음의 악의적인 기능들을 수행하게 된다.


파일 다운로드 및 실행

운영 체제 및 하드웨어 정보 수집

DoS(Denial of Service) 공격


1.exe (37,772 바이트)에 의해 다운로드 되는 server.exe (58,368 바이트)가 실행면 윈도우 시스템 폴더에 다음 파일을 생성하게 된다.


C:\WINDOWS\system32\(6자리 임의의 문자).exe   


그리고 "Remote Command Service"라는 서비스명으로 레지스트리 키를 생성하여 시스템 재부팅시 자동 실행하도록 구성하였다.


HKLM\SYSTEM\ControlSet001\Services\rcmdsvc\ImagePath

"C:\WINDOWS\system32\(6자리 임의의 문자).exe"


이와 함께 레지스트리 특정 키값을 수정하여 윈도우 시스템에 내장된 방화벽을 우회 할 수 있도록 설정하게 된다.


server.exe (58,368 바이트) 역시 7월 23일 20시 경에는 중국에 위치한 시스템에 접속을 시도하였으나 분석 당시에는 정상적인 접속이 이루어지지 않았다.


해당 파일 역시 공격자 의도에 따라 다음과 같이 일반적인 백도어(Backdoor)와 유사한 다양한 악의적인 기능들을 수행하게 된다.


파일 다운로드 및 실행

운영 체제 및 하드웨어 정보 수집

키보드 입력 후킹

DoS(Denial of Service) 공격

원격 제어


이 번 구글 코드를 통해 유포된 해당 악성코드들은 V3 제품군에서 다음과 같이 진단한다.


Win-Trojan/Agent.70144.KG

Backdoor/Win32.Yoddos


ASD 데이터베이스의 데이터를 통해 1.exe (37,772 바이트)와 server.exe (58,368 바이트)의 정보들을 분석하는 과정에서 1.exe (37,772 바이트)가 다수의 국내 웹 사이트들에 대한 분산 서비스 거부(Distributed Denial-of-Service) 공격을 수행하였던 데이터들을 확인하였다.


해당 분산 서비스 거부 공격의 대상이 되었던 웹 사이트들은 웹 하드 서비스 업체 웹 사이트와 소규모 의류 쇼핑몰이 주를 이루고 있었다.


이러한 정황들을 미루어 공격자는 중국 언더그라운드에서 공유되는 악성코드 생성기를 통해 생성한 악성코드들을 구글 코드에 업로드 한 후 취약한 웹 사이트 또는 포털 웹 사이트의 카페 등을 통해 유포한 것으로 추정된다.

저작자 표시
신고
Posted by 비회원

ASEC에서는 7월 11일 취약한 웹 사이트를 통해 온라인 뱅킹에 사용되는 개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 유포되었음을 공개하였다.


개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 7월 14일과 15일 주말 사이 사용자가 많은 웹 하드 프로그램 웹 사이트의 설치 파일을 변경하여 유포된 사례가 발견되었다.


이번에 유포된 Banki 트로이목마 변형은 보안 관리가 상대적으로 취약한 웹 하드 프로그램의 웹 사이트에서 배포 중인 설치 파일을 RARSfx로 악성코드와 정상 설치 파일을 압축한 파일을 배포 중인 정상 설치 파일과 변경하여, 사용자로 하여금 악성코드가 포함된 변경된 설치 파일을 다운로드하도록 하였다.



정상 웹 하드 설치 파일을 변경하여 유포된 Banki 트로이목마 변형이 동작하는 전체적인 구조를 도식화 한 이미지는 아래와 같다.



웹 하드 프로그램의 웹 페이지에서 배포 중인 웹 하드 프로그램의 설치 파일은 RARSfx 파일로 압축된 파일로 변경되어 있으며, 변경된 파일 내부에는 아래와 같이 정상 설치 파일과 함께 RARSfx로 압축된 btuua.exe (174,624 바이트)이 포함되어 있다.



해당 변경된 파일을 실행하게 되면 윈도우 폴더의 임시 폴더(temp)에 다음 파일들을 생성하게 된다.


C:\winodws\temp\btuua.exe (174,624 바이트)

C:\winodws\temp\******_Setup.exe (9,918,872 바이트)


그리고 아래 이미지와 같이 정상 웹 하드 프로그램인 ******_Setup.exe의 설치가 진행된다.



그리고 정상 웹 하드 프로그램 설치와 동시에 생성된 RARSfx로 압축된 btuua.exe (174,624 바이트) 파일 내부에는 아래 이미지와 같이 ServiceInstall.exe (69,632 바이트)와 WindowsDirectx.exe (172,032 바이트)가 포함되어 있다.



btuua.exe (174,624 바이트)는 내부에 포함된 파일들을 다음과 같이 윈도우 시스템 폴더에 생성하고 실행하게 된다.


C:\WINDOWS\system32\ServiceInstall.exe (69,632 바이트)

C:\WINDOWS\system32\WindowsDirectx.exe (172,032 바이트)


생성된 ServiceInstall.exe (69,632 바이트)는 WindowsDirectx.exe (172,032 바이트)를 레지스트리 변경을 통해 윈도우 서비스로 등록시켜, 감염된 시스템이 재부팅 하더라도 자동 실행되도록 구성한다.


HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\

ImagePath = C:\windows\system32\WindowsDirectx.exe


그리고 WindowsDirectx.exe (172,032 바이트)가 실행이 되면 일본에 위치한 특정 시스템으로 접속을 시도하여 접속이 성공하게 될 경우에는 RARSfx로 압축된 58.exe (517,112 바이트)를 다운로드하게 된다. 


다운로드된 RARSfx로 압축된 58.exe (517,112 바이트) 파일 내부에는 아래 이미지와 같이 CONFIG.INI (29 바이트), CretClient.exe (708,608 바이트)와 HDSetup.exe (458,752 바이트) 파일들이 포함되어 있다.



58.exe (517,112 바이트) 파일이 실행되면 다음 경로에 내부에 포함된 파일들을 생성하게 된다.


C:\WINDOWS\CretClient.exe (708,608 바이트)

C:\WINDOWS\HDSetup.exe (458,752 바이트)


생성된 파일 HDSetup.exe (458,752 바이트)은 기존 변형들과 동일하게 동일하게 아래 이미지와 같이 hosts 파일을 변조하여 온라인 뱅킹을 위해 금융 기관 웹 사이트에 접속하게 될 경우, 홍콩에 위치한 시스템으로 연결하도록 구성하게 된다.



이 번에 발견된 온라인 뱅킹을 위한 개인 금융 정보 탈취를 노리는 Banki 트로이목마 변형들과 관련 악성코드들 모두 V3 제품군에서 다음과 같이 진단한다.


Dropper/Win32.Banki

Trojan/Win32.Scar

Trojan/Win32.Banki


현재까지 온라인 뱅킹 관련 개인 금융 정보 탈취를 노리는 Banki 트로이목마가 유포되는 방식은 2가지로 나누어 볼 수 있다.


첫 번째는, 취약한 웹 사이트를 통해 기존 온라인 게임 관련 개인 정보를 탈취하던 악성코드와 동일한 기법으로 취약한 일반 어플리케이션의 취약점을 악용해 유포되는 방식으로 사용되었던 취약점들은 다음과 같다.



두 번째로는 이 번과 같이 상대적으로 보안 관리가 취약한 웹 하드 프로그램 배포 웹 사이트를 해킹한 후 웹 하드 프로그램의 설치 파일을 악성코드가 포함되어 있는 파일로 변경하는 것이다.


이러한 두 가지 유포 사례들로 인해 웹 하드 프로그램을 자주 사용하는 사용자들은 배포그램의 자동 업데이트나 설치 파일의 재설치시 각별한 주의가 필요하다.


그리고 이와 동시에 윈도우 시스템과 자주 사용하는 일반 어플리케이션들의 취약점을 제거할 수 있는 보안 패치 설치에 주의를 기울여야 된다.


저작자 표시
신고
Posted by 비회원

ASEC에서는 금일 7월 11일 오전 국내 금융 업체에서 제공하는 온라인 뱅킹에 사용되는 개인 금융 정보의 탈취를 노리는 Banki 트로이목마의 변형을 발견하였다.


이번에 발견된 개인 금융 정보의 탈취를 목적으로한 Banki 트로이 목마의 변형은 기존 다른 변형들과 동일하게 RARSfx 형태로 압축되어 있다.


그리고 해당 파일 내부에는 아래 이미지와 같이 CONFIG.INI (29 바이트), CretClient.exe (704,512 바이트)와 HDSetup.exe (430,080 바이트) 파일 3개를 포함하고 있다.



해당 Banki 트로이목마에 감염되면 해당 RARSfx 파일 내부에 압축되어 있는 파일들을 다음 경로에 생성하게 된다.


C:\WINDOWS\CretClient.exe (704,512 바이트)

C:\WINDOWS\HDSetup.exe (430,080 바이트)


그리고 생성된 HDSetup.exe (430,080 바이트)는  cmd.exe를 실행 백그라운드로 실행 시킨 후 감염된 시스템에 존재하는 hosts 파일에 CONFIG.INI (29 바이트)에 기록되어 있는 특정 IP 주소를 참조하여 다음의 내용으로 덮어 쓰게 된다.


cmd /c echo  59.***.***.55 www.kbstar.com kbstar.com obank.kbstar.com banking.nonghyup.com banking.shinhan.com www.wooribank.com wooribank.com pib.wooribank.com bank.keb.co.kr www.keb.co.kr > C:\WINDOWS\system32\drivers\etc\hosts


아래 이미지와 같이 덮어쓰여진 hosts 파일에는 국내 금융 업체들의 웹 사이트 접속을 시도하게 될 경우에는 홍콩에 위치한 특정 시스템으로 모두 연결하게 된다.



CONFIG.INI (29 바이트)에 기록되어 있는 특정 IP 주소는 홍콩에 위치한 시스템으로 분석 당시에는 정상적으로 연결되지 않았지만, 정상적인 연결이 될 경우에는 허위로 제작된 금융 업체의 피싱(Phishing) 웹 사이트로 연결 될 것으로 추정된다.


정상적으로 허위로 제작된 금융 업체의 피싱 웹 사이트로 연결되게 될 경우에는 기존 변형들과 동일하게 피싱 웹 사이트에서 온라인 뱅킹에 사용되는 보안 카드의 비밀번호를 입력하도록 유도할 것으로 추정된다.


그리고 아래 이미지와 같이 CretClient.exe (704,512 바이트)를 실행시켜 감염된 PC의 사용자가 사용하는 공인 인증서(PKI)를 탈취하게 된다.



이 번에 발견된 국내 온라인 뱅킹에 사용되는 개인 금융 정보 탈취를 목적으로한 Banki 트로이목마 변형들은 모두 7월 8일에 제작 되었으며, 기존 변형들과 동일한 파일명을 사용하고 있다.


이를 미루어 볼 때 해당 악성코드 제작자는 계획적으로 금융 정보 탈취를 목적으로 지속적으로 유포하는 것으로 분석된다.


금일 발견된 Banki 트로이목마 변형들은 모두 V3 제품군에서 다음과 같이 진단한다.


Trojan/Win32.Banki


저작자 표시
신고
Posted by 비회원