사용자 정보 훔치고 PC를 디도스 공격 도구로 악용하는 새 감염형 바이러스 활개
中 보안업체, 피싱 사이트 약 1만 개 탐지...누리꾼 6만명 피해

[보안뉴스 온기홍=중국 베이징] 중국에서는 지난 주(12월 21일~27일) 백그라운드에서 PC를 해커 쪽 웹주소에 연결시킨 뒤 다른 바이러스를 내려 받으며 사용자의 중요한 정보를 훔치고 PC를 해커의 디도스(DDoS) 공격의 도구로 악용하는 새 감염형 바이러스가 누리꾼들을 공격한 것으로 드러났다. 지난 주 중국에서 정보보안업체가 탐지한 피싱 사이트는 약 1만 개에 달했으며, 중국 누리꾼 6만 명이 피싱 사이트의 공격을 받은 것으로 드러났다.

中 12월 넷째 주 주요 PC 바이러스
중국 정보보안 솔루션 회사인 루이싱정보기술은 지난 한 주 보안업계와 누리꾼의 주목을 받은 대표적인 PC 바이러스로 ‘Win32.Drop.DDos.es’를 지목했다. 이 감염형 바이러스는 활동 개시 후 dll를 TEMP 디렉터리에 투입한 다음 시스템 디렉터리에 복사하고 바이러스 dll를 로딩한다. 또 컴퓨터 시작과 함께 자동으로 바이러스 활동을 개시한다. 이어 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시켜 해커의 명령을 받고 중요한 정보를 훔치며 다른 바이러스들을 컴퓨터에 내려 받는다. 특히, 감염 PC는 해커가 디도스 공격을 실시하는 과정에서 도구가 되는 것으로 밝혀졌다. 루이싱정보기술은 ‘Win32.Drop.DDos.es’에 대한 경계 등급으로 별 다섯 개 가운데 네 개를 매겼다.


▲ 12월 21일~27일 중국내 주요 PC 바이러스(출처:중국 루이싱정보기술)

날짜별로 중국 내 PC 사용자들에게 피해를 입힌 대표적인 바이러스를 살펴보면, 먼저 21일에는 ‘Trojan.Win32.Scar.k’가 꼽혔다. 루이싱정보기술의 ‘클라우드 보안시스템’이 연인원 2만8,547명으로부터 신고를 받았다. 이 바이러스는 활동 개시 뒤 레지스트리를 수정해 컴퓨터 시작과 함께 자동으로 활성화하며, 지정 서비스를 개시하고 윈도우 시스템 업데이트 프로그램 안에 주입된다. 이어 감염 PC 안의 정보를 훔쳐서 해커 쪽 서버로 보내며, 해커의 명령에 대기한다. 또한 인터넷 상에서 다른 바이러스를 컴퓨터에 내려 받아 실행한다.

이어 22일 중국에서 널리 퍼진 대표적인 바이러스는 ‘Trojan.Win32.Injector.gd’ 였다. 연 2만8,535명이 신고했다. 이 바이러스가 활동 개시 뒤, 해커는 컴퓨터를 악성 웹주소로 연결시키고 바이러스를 내려 받는 동시에 악성 웹사이트가 트래픽을 늘리는 것을 돕는다. 또한 원격 제어를 개시하고, 사용자의 컴퓨터 조작을 감시하며 사용자의 중요한 정보들을 훔친다.

지난 23일에는 ‘Trojan.Spy.Win32.Zbot.gap’가 중국에서 크게 번졌다. 이 바이러스는 시스템 디렉터리 아래 임의의 5개 영문자모로 된 2개의 디렉터리를 만들고, 2개 무작위명의 디렉터리 안에 하나의 바이러스 파일을 파생시킨다. 동시에 레지스트리를 수정해 컴퓨터 시작과 함께 활동을 개시한다. 이 바이러스는 또 파생된 바이러스 EXE 파일을 전용하고, CMD 명령 행을 전용해 자신의 원래 파일을 삭제한다.

PC 상의 윈도우 계정 정보를 수집해 해커가 지정한 서버에 보내기도 한다. PC가 이 바이러스에 감염되면, 컴퓨터의 조작권한은 해커에 전면 개방되고, 디스크 안의 모든 데이터는 유실, 도난 또는 변조될 위험에 놓이게 된다. 해당 바이러스는 연 2만6,337명이 신고했다.

24일 중국 누리꾼들을 괴롭힌 대표적인 PC 바이러스는 ‘Worm.Win32.Autorun.txy’ 였다. 연 2만6,773명이 신고한 이 웜(worm) 바이러스는 이동형 저장기기를 통해 전파 된다. 대량의 트로이목마형 바이러스를 컴퓨터에 내려 받음으로써 사용자에게 큰 피해를 초래한다.

주말이 든 25일~27일 사흘 간 중국을 휩쓴 대표적인 바이러스는 “Worm.Win32.Gamarue.an. 이 웜 바이러스는 시스템 실행 프로그램에 주입되며 다른 바이러스 프로그램을 실행한다. 이어 시스템 파일 폴더 아래 자신을 복사하고, 레지스트리를 수정해 컴퓨터 시작과 함께 자동으로 활성화한다. 또한 PC를 해커가 지정한 웹주소에 연결시키고 다른 바이러스들을 내려 받으며, 컴퓨터 안의 중요한 정보들을 사용자 몰래 수집해서 해커에게 보내는 것으로 밝혀졌다. 해당 바이러스는 연인원 8만2,436명이 신고했다.

中 12월 넷째 주 피싱 사이트 발생 상황
루이싱은 지난 한 주 동안 보안 시스템을 써서 중국 내에서 9,970개의 피싱 사이트들을 탐지했다고 밝혔다. 한 주 전보다 1,320개 늘었다. 피싱 사이트의 공격을 받은 중국 누리꾼 수는 한 주 전과 비슷한 규모인 6만 명으로 집계됐다. 일자 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 지난 21일에는 연인원 8,543명, 22일 연 9,585명, 23일 1만497명, 24일 9,587명, 25~27일 사흘 동안에는 연 3만2,086명에 달했다. 이와 함께 루이싱이 찾아낸 피싱 웹주소는 지난 21일 1,568개, 22일 2,066개, 23일 2,626개, 24일 2,610개, 25일~27일 5,832개였다.

이런 가운데 지난 주 중국에서는 미국계 온라인 자금 결제 사이트인 페이팔(Paypal)을 가장한 http://www.mallareddy.org/newpp/, 모바일 구매(쇼핑)으로 위장한 http://www.food-shanzhen.com/, 중국 최대 통신서비스업체인 중국이동통신을 사칭한 http://www.ap-10086.com/ 따위의 피싱 사이트들이 누리꾼의 인터넷 뱅킹 계정∙비밀번호와 개인 정보들을 훔쳤다.

날짜 별로 중국에서 활개를 친 피싱 사이트 ‘톱5’를 보면, 먼저 21일에는 △페이스북(Facebook)을 가장한 www.facebook.tophackfree.com/ (사용자를 속이고 전자우편 계정과 비밀번호 훔침) △텅쉰(Tencent)으로 위장한 www.cf1987.com/ (허위 S/W 정보로 사용자의 계정과 비밀번호 편취) △중국이동통신(China Mobile)으로 위장한 www.10086zgh.com/ (적립금의 현금 전환을 미끼로 사용자를 속이고 카드 번호와 비밀번호 빼냄) △중국건설은행을 사칭한 www.ui95533.us/index.asp (사용자 카드번호와 비밀번호 훔침) △야후(Yahoo) 전자우편을 가장한 http://fotobanka-online.cz/wp-content/gallery/babalowo/ya2/ (사용자를 속이고 전자우편 계정과 비밀번호 훔침) 순으로 지목됐다.

이어 22일 피싱 사이트 톱5는 △가짜 페이스북 http://faceb000k.com/login.html △텅쉰으로 위장한 www.dnfkx.com/ △가짜 중국이동통신 http://l0086g3.com/index1.asp △중국건설은행을 사칭한 http://wap.kuzspq.cc/indexS.asp △야후 메일로 위장한 http://crosseventos.com/y/yahoo/ 등 차례였다.

지난 23일에는 △가짜 페이스북 http://dailynewsusa2.ga/ △텅쉰으로 위장한 www.dnf210.com/ △중국이동통신을 가장한 http://l0086wcl.com/wap.asp △중국건설은행을 사치한 www.xj95533.us/index.asp △페이팔 사이트로 위장한 http://ssaua.org/tmp/webapps/cbc527943cf3f3f4dcb4d7d2106d5a89 (사용자를 속이고 전자우편 계정과 비밀번호 훔침) 순으로 피싱 사이트 톱5 안에 들었다.

24일 중국에서 활개를 친 대표적인 피싱 사이트들은 △페이스북으로 가장한 www.facebook.tophackfree.com/ △텅쉰으로 위장한 http://dnf987.com/ △가짜 중국이동통신 www.tio.3gp.fr/ △중국건설은행을 사칭한 www.jsduihuanjifen.com/index.asp △야후 메일로 위장한 www.gafa.com.au/com/ 등이었다.

주말이 들었던 25일~27일 사흘 동안에는 △가짜 페이스북 http://faceb000k.com/login.html △텅쉰을 가장한 http://dnf160.com/ △중국이동통신으로 속인 www.wap-10086mm.com/ △중국건설은행을 사칭한 www.ccbczh.com/index.asp △야후 메일로 위장한 http://youopportunitynetwork.com/yahoosc/yahoosc/files/ 순으로 피싱 사이트 톱5 안에 들었다.

한편, 루이싱의 보안 시스템이 탐지한 트로이목마 투입 웹주소는 지난 21일 3,471개, 22일 3,186개, 23일 2,947개, 24일 2,814개, 25일~27일 사흘 동안에는 6,605개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 21일 연인원 1만1,390명, 22일 8,873명, 23일 7,695명, 24일 8,260명, 25일~27일에는 연 2만1,747명이었다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>