약 7,000명 이상 금융정보를 탈취해 저장한 공격자 서버 발견
모바일은 PUA , 웹은 파밍, 디도스, 랜섬웨어 악성코드 기승

[보안뉴스 김경애] 한 주간 약 7,000명 이상의 금융정보를 탈취해 저장한 공격자 서버가 발견됐으며, 디도스 악성코드와 파밍용 악성코드, 랜섬웨어 유포가 기승을 부렸다.


▲2월 29일 7000여명의 금융정보가 탈취된 공격자 서버 화면(자료제공: 빛스캔)

약 7,000명 이상 금융정보 저장된 공격자 서버 발견
먼저 지난 2월 29일에는 약 7,000명 이상의 금융정보를 탈취해 저장한 공격자의 서버가 발견됐다. 공격자가 만들어놓은 웹 화면에는 날짜, 이름, 주민번호, 전화번호, 은행명, 은행계좌번호, 비밀번호, 대체비밀번호, 메모, 보안수단, IP 등의 정보가 입력되어 있으며, 조회할 수 있다. 이중 공격자가 직접 작성한 것으로 보이는 메모에는 이용자의 계좌에 얼마가 남아있는지 인출 내역의 기록이 포함되어 있다.

이와 관련 빛스캔 측은 “추적된 정보들은 관계 당국에 최초 1월 말경에 6천명의 이용자의 리스트를 전달한 바 있다”며 “하지만 2월말경 다시 발견된 공격에서는 1천여명이 더 늘어난 7천여명 이상의 피해자들이 확인됐다”고 밝혔다.

이는 감염된 PC에 대한 대응이 없는 상황이라 새로 발급된 인증서와 금융정보들이 추가로 유출될 수 있는 문제로, 사후 대응만으로는 한계가 있다는 얘기다.

특히, 웹 서핑만으로도 감염되는 악성코드의 경우, 대부분 PC내의 인증서 유출이 먼저 발생된다. 이후 PC내에서 주요 은행 사이트 및 포털 사이트 방문 시에 공격자가 운영하는 사이트로 연결된다.

악성코드에 의해 감염된 PC에서는 정상 은행사이트를 입력해도, 가짜 은행사이트로 자동 연결되며, 은행 로그온 정보, 계좌이체 비밀번호, 보안카드 번호 등 다양한 정보를 입력하도록 유포해 금융 피해를 일으킨다.

이에 대해 빛스캔 측은 “민간을 포함한 공공영역이 대응하고 있음에도 피해규모는 계속 증가하고 있다”며 “2016년에 탐지된 파밍 피해정보는 지난해 12월 중순부터 수집된 것으로 확인되며, 규모 측면으로는 역대 최대다. 계좌의 모든 정보를 입력한 피해자가 7천명이 넘는 다는 점은 최소한 열 배 이상의 감염 PC를 확보하고 있다는 걸 의미한다”고 밝혔다.

디도스, 랜섬웨어, 파밍 3大 악성코드 기승
3일에는 디도스 악성코드도 발견됐다. 추리소설 관련 사이트에서 디도스 악성코드가 드라이브 바이 다운로드(Drive-By-Download) 방식으로 유포되고 있는 것으로 포착됐다.


▲3일 드라이브 바이 다운로드(Drive-By-Download)형식으로 유포된 디도스 악성코드 화면

한 주간 랜섬웨어도 기승을 부렸다. 지난 2월 29일에는 IP관리/네트워크 접근제어 솔루션을 취급하는 보안전문 업체와 식품의약품안전처가 지정한 의료기기 지정업체에서 랜섬웨어 유포가 포착됐다. 이보다 앞서 지난 26일에는 크립토월(CryptoWall) 랜섬웨어도 발견됐다.

지난 25일 하우리가 발표한 국내 일일 Exploit Kit 유포 현황을 살펴보면 Angler EK가 50%, Magnitude EK가 20%를 차지하고 있으며, 이를 통해 랜섬웨어를 유포하는 것으로 조사됐다.

최근에는 언론사와 다수 P2P 사이트에서 파밍용 악성코드가 발견됐다. 특히, 해당 사이트 방문자의 경우 보안패치가 되어 있지 않다면 접속만으로도 감염되며, PC내에 저장되어 있는 공인인증서를 탈취하여 전달하도록 되어 있어 더욱 주의해야 한다.

모바일 악성코드, PUA 기승
모바일에서는 한 주간 사용자가 원하지 않는 프로그램을 사용자게 제공하는 악성코드 PUA가 기승을 부렸다.


▲최근 2주간 수집된 모바일 악성코드 통계(자료제공:NSHC)

NSHC가 발표한 ‘Droid-X 3.0 모바일 악성코드 동향’에 따르면 PUA(Potentially Unwanted Application)가 애드웨어와 바이러스에 비해 크게 증가한 것으로 나타났다.

최근 2주간 수집된 PUA 집계현황을 살펴보면 지난 2월 17일 1032개, 18일 951개, 20일 934개, 22일 1039개, 23일 1292개, 24일 1424개, 25일 1180개, 26일 1249개, 27일 1396개, 29일 1272개, 3월 1일 1459개가 발견됐다.

서비스 거부 공격, 86.04% 차지
2월 3째주에 발생된 벤더별 취약점은 마이크로소프트 2건 40%, 시스코 1건 20%, 구글 1건 20%, IBM 1건 20% 순으로 나타났다.


▲한 주간 벤더별 취약점 통계(자료제공: SK인포섹 블로그)


▲한 주간 탐지된 공격 유형과 탐지된 패턴(자료제공: SK인포섹 블로그)

지난 한 주간 탐지된 공격 유형은 서비스 거부 공격(Denial Of Service)이 86.04%를 차지했으며, 다음으로 시스템 해킹이 6.17%를 차지했다. 탐지된 패턴은 TLS Malformed Handshake DoS가 1,349,343건(52.66%)으로 가장 많이 탐지됐다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>