언론사 타깃으로 파밍·피싱 사이트 기승
수능 이후 대학교 입학사이트 및 의료분야 사이트 악성링크 잇따라 포착

[보안뉴스 김경애] 수능이 끝나고 본격적인 대입시즌이 도래하면서 대학교 입학관련 사이트에서 지속적으로 악성링크가 포착되고 있으며, 언론기관을 타깃으로 파밍용 악성코드가 유포되고 있다. 의료관련 사이트도 악성링크가 계속 발견되는 등 사이트 관리가 여전히 부실한 것으로 드러났다. 또한, P2P사이트에서 악성코드가 유포된 정황도 포착됐다.


▲ 지난 11월 28일 디페이스 해킹 정황이 포착된 XX대학교

입학·의료 사이트 악성링크 ‘활개’
빛스캔이 발표한 ‘2015년 12월 1주차 인터넷 위협 분석 보고서’에 따르면 한 주간 악성코드의 유포범위가 지난주에 비해 증가하기 시작했으며, 신규 경유지가 증가한 것으로 나타났다. 특히, 수능이 끝난 이후부터 수험생들이 자주 방문할 것으로 예상되는 XXXX대, XX대학교, XX대, XXX 국제특별전형 등의 입학사이트에서 악성링크가 발견됐다.

지난 11월 28일에는 XX대학교 사이트에서 북한의 김정은 사진이 첨부된 화면이 삽입됐으며, XX대학교 중국경영전략학회 SBC 사이트에서도 이름, 생년월일, 주소, 도시명, 카드번호 등 개인정보 입력을 요구하는 피싱사이트 화면이 삽입된 정황이 포착됐다.



▲ 지난 11월 28일 피싱화면이 삽입된 XX대학교 중국경영전략학회 SBC 사이트

보안전문가 Auditor Lee는 “수능 이후 대학교 사이트에서 악성링크가 지속적으로 발견되고 있다”며 “이용자들은 웹사이트 방문시 각별히 주의하고 백신은 최신 버전으로 업데이트할 것”을 당부했다.

의료 분야에서는 XXXX병원, XXXX외과에서 악성링크가 포착됐다. 이에 대해 빛스캔 측은 입학사이트와 마찬가지로 방학 때를 노린 ‘계절적 요인’으로 분석했다. 지난 11월 28일에는 노인XX병원 사이트에서 악성코드가 유포된 정황이 발견됐다. 해당 사이트에 대해 Auditor Lee는 “벌써 수개월째 악성코드가 유포되고 있다”며 “해당 사이트의 보안관리가 매우 허술하다”고 지적했다.

금융기관과 언론사 타깃으로 피싱과 파밍 ‘기승’
피싱과 파밍 사이트도 한 주간 기승을 부린 것으로 나타났다. 보안업체 하우리에 따르면 지난 1일에는 특정 지역 민영방송사 웹사이트에서 현재까지 지속적으로 파밍(Pharming) 악성코드를 유포하고 있다고 밝혔다.


▲ 방송국 웹사이트 소스코드에 파밍 악성코드가 삽입된 모습(출처: 하우리)

이보다 앞서 지난 11월 29일에는 언론기관 도메인과 유사하게 만든 가짜 도메인 주소들이 잇따라 포착됐다. 이를 본지에 알려온 한 제보자는 “무수히 많은 사이트에 공통적으로 alsohe.com을 넣었다”며 “해당 사이트는 일시적으로 정상적으로 보이나 피싱사이트나 성인사이트로 연결되는 것으로 보인다”고 밝혔다.

이어 한 주간 금융기관을 타깃으로 한 공격도 이어졌다. 이와 관련 빛스캔 관계자는 “금융정보 탈취를 노린 파밍 악성코드가 지속적 활동하는 것으로 조사됐다”며 “공인인증서와 맥(MAC) 주소 상당수가 유출된 정황이 확인됐다”고 밝혔다. 따라서 맥 주소의 활용 범위에 대한 지속적인 관찰과 분석이 필요할 것으로 보인다.

P2P 사이트 악성코드 3주 연속 유포
또한, 겨울철 PC 및 모바일의 이용시간이 증가함에 따라 P2P 웹사이트를 타깃으로 한 공격 역시 3주 연속으로 이루어지고 있다.

특히, 업무용 P2P로 널리 알려져 있는 X하드에서 악성코드 유포행위가 계속 발생하고 있어 일반 이용자뿐만 아니라 기업 임직원들의 악성코드 감염 가능성도 높을 것으로 보인다.

모바일 타깃으로 한 파밍 악성코드 포착
스마트폰을 타깃으로 한 파밍 공격도 계속 발생하고 있다. 11월 2주차부터는 모바일을 통한 악성앱(APK) 동작시 기존에 개인 금융정보에서 카드정보를 요구하는 형태로 변경된 것으로 드러났다.



이와 관련 빛스캔 관계자는 “최근 파밍 등 전자금융사기에 대한 일반인들의 인식이 높아지면서 공격자들이 공격형태를 자꾸 변경하는 것으로 추정된다”며 “실제로 카드정보를 요구하는 파밍 공격은 PC상에서는 종종 발견됐지만, 스마트폰을 타깃으로 한 악성앱 유포에 있어서는 거의 발견되지 않았던 수법”이라고 밝혔다. 특히, 카드정보는 금융정보처럼 결제를 위해 중요한 정보로, 결제에 즉시 악용될 수 있기 때문에 각별한 주의가 요구된다.


▲ 지난 11월 28일 디페이스 해킹 정황이 포착된 XXXX사이트

이외에도 XXXXX연맹 사이트에 악성 페이지를 업로드한 정황도 발견됐으며, 11월 28일에는 여행사 XXXX사이트와 XXXX사이트가 웹사이트 화면을 변조하는 디페이스 해킹을 것으로 확인됐다. 두 사이트 모두 ‘HACKED BY AKPEP AYYILDIZ TIM INTERNATIONAL FORCE’라고 같은 화면이 삽입됐다. 또한, XX교 사이트에서도 고양이 사진이 들어간 디페이스 공격이 확인됐다.
[김경애 기자(boan3@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>