12월 둘째주에 주목 받은 대표적 PC 바이러스는 ‘Worm.Win32.ECode.fw’
中 보안업체, 피싱 사이트 1만100개 탐지...누리꾼 6만명 피해

[보안뉴스 온기홍=중국 베이징] 중국에서 지난 12월 둘째주, 파일 폴더로 위장하고 자신을 숨긴 채 중국 최대 온라인 메신저 ‘QQ’ 프로그램의 중요한 정보와 파일을 훔치는 동시에 파일 폴더 권한을 수정해 PC 사용자가 이를 삭제할 수 없게 하고 네트워크 계정·비밀번호를 빼가는 새 웜(worm) 바이러스가 나타나 누리꾼들을 공격했다. 지난 주 중국에서 정보보안업체가 탐지한 피싱 사이트는 1만100개에 달했으며, 중국 누리꾼 6만 명이 이들 피싱 사이트의 공격을 받은 것으로 나타났다.

中 12월 둘째 주 주요 PC 바이러스
중국 정보보안회사인 루이싱정보기술은 지난 한 주(12월 7일~13일) 보안업계와 누리꾼의 주목을 받은 대표적인 PC 바이러스로 ‘Worm.Win32.ECode.fw’를 꼽았다. 이 웜 바이러스는 활동 개시 후 자신을 다른 디렉터리에 복제하며 C:\Documents and Settings.exe 등 파일을 만들고, 파일 폴더로 위장한 다음 자신을 숨긴다. 이어 중국 토종 온라인 메신저 ‘QQ’ S/W의 민감한 정보들과 중요한 파일들을 훔친다. 또 파일 폴더 권한을 수정해 사용자가 삭제할 수 없게 한다. 이 때문에 컴퓨터 안의 중요한 정보들이 유출되고 네트워크 계정과 비밀번호가 도난당할 수 있다. 루이싱정보기술은 ‘Worm.Win32.ECode.fw’에 대한 경계 등급으로 별 다섯 개 가운데 네 개를 매겼다.


▲ 12월 7일~13일 중국내 주요 PC 바이러스(출처:중국 루이싱정보기술)

날짜 별로 중국 내 PC 사용자들에게 피해를 입힌 대표적인 바이러스를 살펴보면, 먼저 7일에는 ‘Worm.Win32.Agent.aym’가 꼽혔다. 루이싱정보기술의 보안시스템이 연인원 2만7,234명의 누리꾼으로부터 신고를 받았다. 이 웜 바이러스는 이동형저장장치, 인트라넷, DLL을 통해 여러 상용 S/W를 제어하게 되며, RAR 파일 등을 감염시키는 수단을 써서 전파된다. 또 여러 수단을 이용해 유명 백신 S/W들을 중지시킨다. 또한 하나의 생성기를 갖고 있어서, 언제든 웹주소와 기능을 컴퓨터에 내려 받을 수 있다고 이 회사는 설명했다.

이어 8일 중국에서 크게 번지 대표적인 바이러스는 ‘Trojan.Win32.Fednu.uqy’ 였다. 이 바이러스는 감염 코드를 봇(bot) 안에 주입하며, 비 시스템 디렉터리의 모든 실행가능 파일들을 감염시킬 수 있다. PC 사용자가 감염된 프로그램 파일을 실행시키면, 이 바이러스는 여러 해킹 백도어 프로그램을 방출한다. 이어 바이러스는 PC를 해커 쪽 서버에 연결시키고 PC 안의 각종 파일들을 보내며, 해커 쪽 장비가 발송하는 명령을 받는 것으로 밝혀졌다. 연 2만6,735명이 신고했다.

지난 9일에는 ‘Trojan.PSW.QQPass!47FC’가 중국에서 맹위를 떨쳤다. 연 2만6,858명이 신고한 이 바이러스는 ‘무료 온라인 Q 화폐 받기’라는 이름으로 PC 사용자를 꾀어 PC에 내려 받아 실행시키게 한다. 이어 온라인 메신저 QQ의 ‘온라인 Q 화폐 받기’ 창을 띄운다. PC 사용자가 QQ 계정과 비밀번호를 입력하고서 클릭을 누르면, 이 바이러스는 백그라운드에서 QQ 계정과 비밀번호를 http://www.cyzjy.com/** http://www.cyzjy.com/**** 으로 발송한다. 이외에 제작자의 은행 계좌를 갖고서, PC 사용자를 꾀어 금액을 충전해 사용하게 한다고 이 회사는 밝혔다.

10일 중국에서 누리꾼을 공격한 대표적인 PC 바이러스는 ‘Trojan.DL.Win32.Sxeo.a’ 였다. 이 바이러스는 컴퓨터 관리자 권한을 빼내고, 자신을 중국 내 유명 동영상 서비스 사이트인 쉰레이를 비롯해 텐센트, 바이두의 컴포넌트를 위장해 사용자를 속인다. 또한 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고, 다른 5종의 바이러스를 내려 받아 실행시키는 것으로 드러났다. 이 바이러스는 이 같은 행위를 한 뒤엔 자신을 삭제한다. 이로 인해 PC 사용자의 중요한 정보들이 유출되고 온라인 뱅킹 계정·비밀번호가 도난당할 수 있다. 연 2만7,179명이 신고했다.

주말이 든 11일~13일 사흘 동안 중국에서 크게 번진 대표적인 바이러스는 ‘Worm.Win32.VB.nk’. 연 8만9,421명이 신고한 이 웜 바이러스는 시스템 디렉터리 안에 자신을 복제한 동시에 레지스트리를 추가해 컴퓨터 시작과 함께 자동으로 활동을 개시할 수 있게 한다. 이로써 시스템 자원을 대량 점용하고, 감염 PC의 시스템 실행 속도가 느려지며, 심할 경우 컴퓨터가 다운된다고 이 회사는 강조했다.

中 12월 첫째 주 피싱 사이트 발생 상황
루이싱은 지난 한 주 동안 보안 시스템을 써서 중국 내에서 1만99개의 피싱 사이트들을 찾아냈다고 밝혔다. 한 주 전보다 2,600여개 줄었다. 피싱 사이트의 공격을 받은 중국 누리꾼은 한 주 전과 비슷한 규모인 6만 명에 달했다. 일자 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 지난 7일에는 연인원 1만315명, 8일에 1만28명, 9일에는 8,605명으로 줄었다가 10일 1만17명으로 늘었다. 주말이 든 11일~13일 사흘 동안에는 연 2만573명에 달했다.

루이싱이 찾아낸 피싱 웹주소는 지난 7일 1,521개, 8일 1,731개, 9일 1,9281, 10일 1,803개, 11일~13일 5,084개였다. 이런 가운데 지난 주 중국에서는 페이스북(Facebook) 메일함으로 위장한 http://faceb000k.com/login.html, 온라인 구매(쇼핑)을 가장한 http://iphone6sj.com/, 중국이동통신(차이나 모바일)을 사칭한 http://10086myy.com/ 등 피싱 사이트들이 누리꾼의 인터넷 뱅킹 계정∙비밀번호와 개인 정보들을 훔쳤다.

날짜 별로 중국에서 활개를 친 피싱 사이트 ‘톱5’를 보면, 먼저 7일에는 △Facebook 메일을 가장한 http://randomschat.com/new/chat/fb3/ (사용자를 속이고 계정과 비밀번호 훔침) △중국 유명 인터넷 업체인 텐센트(Tencent)로 위장한 www.dnf4s.com/#cate75 (허위 S/W 정보로 사용자의 계정과 비밀번호 정보 편취) △중국이동통신으로 위장한 http://happywg.cn/index1.html (적립금을 현금으로 교환해 준다는 정보로 사용자를 속이고 카드번호와 비밀번호 정보 빼냄) △중국건설은행을 사칭한 www.ccbosg.com/index.asp (사용자 카드 번호와 비밀번호 편취) △지메일(Gmail) 전자우편을 가장한 http://kadikoypiyanokursu.net/wp-admin/drop.htm (사용자의 메일 계정과 비밀번호 훔침) 순으로 꼽혔다.

이어 8일에는 △페이팔(Paypal)로 위장한 http://mallareddy.org/newpp/index.htm (사용자를 속이고 메일 계정과 비밀번호 훔침) △텐센트로 가장한 http://dnf227.com/ △가짜 중국이동통신 http://dyh10086.com/ △중국건설은행을 사칭한 www.ccblff.com/index.html △Gmail 전자우편으로 위장한 http://johnny.intnet.mu/_vti_pvt/engolf/dpbx/index.php 등 차례로 피싱 사이트 톱5 안에 들었다.

지난 9일 중국에서 가장 공격적인 피싱 사이트들은 △가짜 Paypal www.mallareddy.org/newpp/
△텐센트로 위장한 http://ipn6.com/ △가짜 중국이동통신 http://wangyibao.sediaozs.com/wap.asp △중국건설은행을 사칭한 www.ccbwff.com/index.html △Gmail 전자우편을 가장한 http://seventhfloorwest.com/wp-includes/images/media/login/ 순이었다. 10일에는 △가짜 Paypal http://southheadlines.com/newpp/index.htm △허위 온라인 구매류 http://h1n6.com/ △중국이동통신을 사칭한 www.xcb86.com/ywbl/sgsplan.jsp-Id=4G.htm △중국건설은행을 사칭한 www.ccbjng.com/index.asp △Gmail 전자우편을 가장한 http://sigdent.ro/d/dbm/ 등이 피싱 사이트 톱5에 지목됐다.

주말이 들었던 11~13일 피싱 사이트 톱5는 △가짜 Paypal http://mindsetthinking.com/MIND_Donations1.html △중국 스마트폰 제조업체 샤오미의 스마트폰 구매(판매)를 가장한 www.xysanreqi.com/show.asp?id=24 △중국이동통신으로 위장한 www.10086dcp.com/ △중국건설은행을 사칭한 www.cjiut.com/index.asp △가짜 Gmail 전자우편류 http://visualfactory.com.pl/images/dropbox/index.php 등 차례였다.

한편, 루이싱의 보안 시스템이 찾아낸 트로이목마 투입 웹주소는 지난 7일 2,395개, 8일 2,352개, 9일 2,268개, 10일 2,350개, 11일~13일 사흘 동안 4,955개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 7일 연인원 7,584명, 8일 7,194명, 9일 7,215명, 10일 7,339명, 11일~13일에 연 2만573명이었다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>