“PC 사용자 중요 정보 빼내는” 새 악성 광고형 바이러스 활개
中 보안업체, 피싱 사이트 약 9,700개 탐지...中 누리꾼 5만명 공격 받아

[보안뉴스 온기홍=중국 베이징] 중국에서 지난주 시스템 파일로 위장한 채 백그라운드에서 PC를 해커가 지정한 서버에 연결시키고 사용자의 중요한 정보들을 보내는 새 악성 광고형 바이러스가 나타나 컴퓨터 사용자들에게 피해를 입혔다. 또한 지난 한 주 동안 중국에서 정보보안업체가 찾아낸 피싱 사이트는 약 9,700개에 달했으며, 중국 누리꾼 5만 명이 피싱 사이트의 공격에 노출됐던 것으로 드러났다.


▲ 10월 12일~18일 중국내 주요 PC 바이러스 (출처:중국 루이싱정보기술)

中 10월 12일~ 18일 주요 PC 바이러스
중국 정보보안회사인 루이싱정보기술은 지난 12일~18일 한 주 동안 보안업계와 누리꾼의 주목을 받은 대표적인 PC 바이러스는 ‘Malware.FakeFolder@CV!1.6AA9’ 라고 19일 밝혔다. 이 악성 광고형 바이러스는 네트워크 ‘Host’ 파일을 수정하고, 자신의 속성을 숨김으로 설정한다. 또 시스템 파일로 위장하며, 컴퓨터 시작과 함께 자동으로 활동할 수 있게 설정한다. 나아가 백그라운드에서 PC를 해커가 정해 놓은 서버에 연결시켜 컴퓨터 사용자의 정보들을 보내는 것으로 밝혀졌다.

날짜별로 지난주 중국에서 PC 사용자들에게 피해를 입힌 대표적인 바이러스를 보면, 먼저 12일에는 ‘Backdoor.Win32.Bai.a’가 꼽혔다. 루이싱이 연인원 2만2,687명으로부터 신고를 받은 이 백도어(backdoor) 바이러스는 컴퓨터 C 디스크의 ‘Program Files’ 아래 바이러스 파일과 같은 이름의 파일 폴더를 만든 다음, 이 파일 폴더 아래 자신을 복제하고 원 파일을 지운다. 동시에 시스템의 원격 제어 기능을 켜고, 해커에게 PC의 모든 권한을 개방해, 해커가 하드 디스크 안의 데이터를 조회·복사·수정할 수 있게 한다. 이 바이러스는 원격으로 동영상 장치를 열고 동영상을 녹화할 수 있다.

지난 13일에는 ‘Trojan.Script.BAT.StartPage.fp’이 중국에서 활개를 쳤다. 연 2만3,051명이 신고했다. 이 바이러스는 컴퓨터 바탕화면에서 원래의 인터넷 익스플로러(IE) 아이콘과 완전히 같은 아이콘을 만든다. 컴퓨터 사용자가 이 가짜 IE 아이콘을 클릭하면, 해커가 정해 놓은 웹사이트를 방문하게 된다. 이 바이러스는 또 브라우저의 검색 엔진과 여러 제3의 브라우저 S/W를 제어해, 웹사이트 클릭률을 높이려는 목적을 이룬다. 백그라운드에서 맬웨어를 내려 받아 컴퓨터에 설치하기도 한다.

이어 14일 중국에서 PC 사용자들을 공격한 대표적인 바이러스는 ‘Trojan.Script.BAT.Agent.em’. 연 2만3,802명이 신고한 이 트로이목마형 바이러스는 윈도우 OS의 안전성을 떨어뜨리며, 해커가 IPC를 통해 감염된 OS에 들어 올 수 있게 한다. 이어 PC내 방화벽 같은 서비스를 중지시키고, 디스크 공유를 활성화한다. 다른 바이러스의 내용을 바탕으로 관리자 계정을 늘린다. 이로써 PC의 보안성을 떨어뜨리고 해커가 관리자 권한을 손에 넣어 다른 악의적인 조작을 하게 만든다.

지난 15일에는 ‘Trojan.Win32.KillAV.csw’가 널리 번졌다. 연 2만3,023명이 신고한 이 바이러스는 커널 인터페이스를 통해 커널 데이터에 접근하고, 바이러스 백신 S/W를 마비시킨다. 또 악성 프로그램을 PC에 투입하고, 악성 코드를 파일 익스플로러의 실행 프로그램 안에 끼워 넣는다고 루이싱은 설명했다.

이와 함께 백그라운드에서 각종 악성 SW를 PC에 내려 받고, PC를 원격 서버에 연결시켜 해커의 후속 명령에 대기한다. 이 바이러스의 공격을 받은 PC 사용자는 하드 디스크 안의 데이터가 분실되고 중요한 정보들이 도난 당하는 위험에 놓이게 된다.

주말이 포함된 16일~18일 사흘 동안 중국에서 활개를 친 대표적인 바이러스는 ‘Trojan.Win32.Generic.16E9B581’. 연 2만3,776명이 신고한 이 바이러스는 시스템 파일 폴더를 위장해 PC 사용자를 꾀어 클릭하게 한다. 이 바이러스는 활동 개시 뒤 시스템 자원을 대량 소모시키고 네트워크 대역을 점용해, 컴퓨터 작동 속도와 인터넷 접속 속도가 크게 떨어지게 만든다고 루이싱은 설명했다. 시스템 마비까지 초래한다.

이 바이러스는 또 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시킨 다음, 다른 바이러스들을 PC에 내려 받는다. 이어 PC 사용자의 인터넷 뱅킹 계정과 비밀번호를 훔치고, 사용자의 여러 인터넷 사이트 계정과 비밀번호 정보를 수집한다.

中, 10월 12일~18일 피싱 사이트 발생 동향
루이싱은 지난 한주 동안 보안 시스템을 통해 중국에서 9,699개의 피싱 사이트를 탐지했다고 밝혔다. 한 주 전에 비해 5,800여개 줄었다. 피싱 사이트의 공격을 받은 중국 누리꾼은 5만 명으로, 한 주 전보다 2만명 감소했다. 날짜 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 지난 12일에는 연인원 8,014명, 13일 1만1,519명, 14일 1만4,587명, 15일 1만3,139명, 16일~18일에 연 4만6,051명에 달했다. 루이싱이 찾아낸 피싱 웹주소는 12일 2,280개, 13일 3,347개, 14일 3,638개, 15일 3,248개, 16일~18일 8,031개를 각각 기록했다.

특히 지난주에는 세계 유명 온라인 금전 결제 서비스 기업인 페이팔(PAYPAL)로 위장한 http://summary-billing.com/gi-bin/, 가짜 의약류인 http://www.lbfztbuy.com/, 중국 인기 TV 노래 오디션 프로그램인 ‘보이스 오브 차이나’ http://hsyhsk.cc/ 따위의 피싱 사이트들이 누리꾼의 인터넷 뱅킹 계정·비밀번호와 개인정보 등을 훔쳤다.

날짜 별로 중국에서 기승을 부린 피싱 사이트 ‘톱5’를 보면, 12일에는 △페이스북(Facebook)을 가장한 https://share.appscour.com/fb/ (사용자를 속여 계정과 비밀번호 빼냄) △온라인 구매(쇼핑)을 가장한 http://802.cn376.com/ (허위 구매 정보로 사용자를 속이고 금전 빼냄) △온라인 게임으로 위장한 www.cf004.com/ (허위 S/W 정보로 사용자를 속이고 계정과 비밀번호 훔침) △중국건설은행을 사칭한 http://m.cerqwa.com/index.asp (사용자의 카드 번호와 비밀번호 훔침) △페이팔(Paypal)로 위장한 www.paypalcz.cz/poplatky-za-platby (사용자의 계정과 비밀번호 편취) 순으로 꼽혔다.

지난 13일에는 △애플(Apple)로 위장한 http://lipopen.fr/images/.apple/ (사용자를 속이고 계정과 비밀번호 훔침) △허위 온라인 구매류 www.paipaita.com/ △가짜 의약류 www.china-sunhope.cn/ (허위 의약 정보로 사용자의 금전 편취) △중국건설은행을 사칭한 http://cerqwk.com/index.asp △구글(Google)을 가장한 http://mma-tube.net/includes/classes/Google.com/document/ (사용자를 속이고 계정과 비밀번호 빼냄) 등 차례로 피싱 사이트 톱5에 들었다.

이어 14일 중국에서 활개를 친 대표적인 피싱 사이트들은 △애플을 사칭한 www.itunes.tophackfree.com/ △허위 온라인 구매류 http://zpt6.com/ △가짜 의약류 www.guobencar.cn/ △중국건설은행을 사칭한 http://58.64.152.133/index.asp △구글로 위장한 http://epoint.com.tr/plugins/user/2013gdocs/index.htm 등 차례였다.

지난 15일에는 △페이스북을 가장한 http://2offers.org/loginfb/ △온라인 게임으로 위장한 http://dnf210.com/ △가짜 의약류 www.tianguangyanzaosu.com/ △중국건설은행을 사칭한 http://123.1.157.108/index.asp △구글을 가장한 www.nelcuore.org/2013gdocs/index.htm 순으로 피싱 사이트 톱5에 지목됐다.

주말이 들었던 16일~18일 피싱 사이트 톱5는 △페이스북을 가장한 http://100-grocery.com/loginfb/ △가짜 의약류 www.gfsxggw.com/ △온라인 게임으로 위장한 www.dnf9669.com △중국건설은행을 사칭한 www.cbcwcan.com/index.asp △구글로 위장한 http://empcon.timeforband.com/consultancy/info/ 순이었다.

이밖에 루이싱의 보안 시스템이 찾아낸 피싱 웹주소는 지난 12일 2,820개, 13일 2,874개, 14일 4,014개, 15일 2,886개, 16일~18일 9,514개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 12일 연인원 9,860명, 13일 9,279명, 14일 9,276명, 15일 9,044명, 16일~18일 2만8,027명에 각각 달했다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>