피해 커지는 스윗오렌지 킷, 블랙홀 익스플로잇 킷 공격...웹사이트 무방비

[보안뉴스 김경애] 한 주간 악성URL이 국내 웹사이트에서 여전히 기승을 부린 것으로 나타나 이용자들의 주의가 요구된다. 특히, 스윗오렌지 익스플로잇 킷(Sweet-Orange Exploit Kit)과 블랙홀 익스플로잇 킷(Blackhole Exploit Kit), 자동화 공격 툴 레드킷이 탐지되는 등 사용자들에게 많은 피해를 주는 악성코드가 잇따라 발견됐다.


▲지난 19일 스윗오렌지 킷 공격이 탐지된 잉글리쉬XX다이스 영어학원 사이트

스윗오렌지 익스플로잇 킷 등 지능적 공격 활발
먼저 지난 19일 잉글리쉬XX다이스 영어학원 사이트에서는 악성 콘텐츠를 웹페이지에 삽입한 정황이 포착됐다. 해당 사이트의 경우 스윗오렌지 킷 공격이 탐지됐는데, 카운트php(count.php) 삽입은 물론 해커가 악성파일 삽입이 가능한 것으로 분석됐다.

같은 날 앱짱XX 사이트에서는 악성APK 파일을 리패키지한 정황도 포착됐다. 현재는 가입 및 인증 방식으로 변경됐지만 리패키지 또는 백업하는 과정을 거쳐 다시 배포할 수 있어 주의가 요구된다.

이보다 앞서 지난 16일 XXX의원 사이트에서는 블랙홀 익스플로잇 킷과 레드킷 공격이 탐지됐다. 이를 통해 사용자 정보와 쿠키정보, CAB 파일 서명이 유출되는 것으로 드러났다.

보안 취약한 웹사이트, 악성URL 기승
한 주간 악성URL도 국내 웹사이트 곳곳에서 발견되며, 이용자들의 피해를 가중시키고 있다. 지난 19일 인터넷감독XX회 사이트에서는 악성URL 삽입이 탐지됐다. 이를 본지에 제보한 닉네임 메가톤은 “인터넷 정책 결정에 참여하는 공무원을 비롯한 정회원들의 피해 가능성 높다”며 해당사이트에 대한 주의를 당부했다.


▲지난 14일 악성URL이 탐지된 카로스XX칼라 사이트

이보다 앞서 지난 14일에는 자동차 외장관리 전문업체 카로스XX칼라 사이트에서 악성URL이 탐지됐다. 해당사이트에서는 사용자 추적 코드와 사용자 정보, 사용자 쿠키 체크 등 홈페이지에 접속한 사용자 정보를 탈취하는 것으로 분석됐다.

또한, 같은 날 뉴스 사이트 폴리X에서도 악성코드가 탐지됐다. 이에 대해 보안전문가 AuditorLee는 “영세 업체는 웹사이트 관리를 대부분 외주에 맡기거나 개인정보 관리자가 없거나 있다고 하더라도 형식상 정해놓았기 때문에 웹사이트 관리가 제대로 되지 않고 있다”며 “웹사이트 관리에 관심을 기울여야 개인정보 유출 등 보안사고를 줄일 수 있다”고 말했다.

파밍용 악성코드 유포와 피싱 사이트 여전히 ‘활개’
파밍용 악성코드 유포와 피싱 사이트 역시 여전히 기승을 부리고 있다. 지난 19일에는 애플 사이트를 위장한 피싱 사이트가 발견됐다. 해당 피싱 사이트의 경우 개인정보 및 금융정보 탈취를 유도하고 있으며, 사용자 정보를 체크하고 해당 서버 SSH, FTP 정보를 탈취하는 것으로 분석됐다.


▲지난 14일 불법도박사이트 화면이 삽입된 서울XXX광역치매센터 사이트

또한, 지난 14일에는 서울XXX광역치매센터 사이트에서 파밍용 악성코드 유포와 함께 불법도박사이트 화면이 삽입된 정황도 포착됐다.

이어 지난 7일에는 XXXX연구소의 특정 페이지에 악성링크가 삽입된 정황이 포착됐다. 해당 사이트는 비영리단체로서 통일 및 북한문제에 관해 논의하는 사이트로 알려졌으며, 관련 전문가들이 다양한 북한관련 정보를 얻기 위해 방문하는 사이트다. 특히, 해당 악성링크는 공용 JS 모듈에 삽입됐기 때문에 어느 경로로 접근하든 취약한 사용자는 악성코드에 감염될 가능성이 크다.


▲지난 7일 악성링크가 삽입된 XXXX연구소 사이트

이와 관련 빛스캔은 “다운로드 되는 악성코드를 분석한 결과, 사용자의 금융정보를 탈취하는 파밍 악성코드로 확인됐다”며 “이전에도 매번 같은 페이지에서 악성링크 삽입이 반복된 바 있다. 이는 근본적인 문제점이 파악되지 않고, 단순히 악성링크 삭제 조치만 하기 때문으로, 해당 통로가 제거되지 않는 이상 비정상 링크 삽입이 지속적으로 이루어질 수밖에 없다”고 지적했다. 다만, 금융정보를 노린 것으로 보아 특정 대상을 노린 워터링홀 공격이라고 보긴 어렵다고 덧붙였다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>