‘Trojan.Win32.VBCode.fin’, 메신저 툴 경로 통해 퍼져...정보 훔쳐”
‘Trojan.Win32.BHO.gdz’, 3주 연속 중국에서 활개
보안업체 “5월 둘째 주 피싱 사이트 8,800개 탐지...4만명 공격 받아”

[보안뉴스 온기홍= 중국 베이징] 중국에서 5월 둘째 주(9일~15일) 웹페이지내 삽입과 온라인 메신저 프로그램 같은 경로를 통해 퍼져 나가면서 컴퓨터 안의 중요한 정보들을 빼가는 ‘VBCode’란 이름의 트로이목마가 누리꾼들을 공격한 것으로 밝혀졌다. 이 기간 중국 정보보안업체는 국내에서 약 8,800개의 피싱 사이트를 찾아냈으며, 중국 내 누리꾼 4만 명이 피싱 사이트의 공격을 받은 것으로 드러났다.

중국 정보보안회사인 루이싱정보기술은 지난 9일~15일 ‘클라우드 보안 시스템’을 써서 모니터링 하고 PC 사용자들로부터 신고를 받은 것을 종합한 결과, 이 기간 정보보안 업계와 누리꾼의 주목을 받은 대표적인 바이러스는 ‘Trojan.Win32.VBCode.fin’라고 밝혔다.


▲ 5월 9일~15일 중국내 주요 PC 바이러스(출처:중국 루이싱정보기술)

이 바이러스는 파일 폴더 아이콘으로 위장하는 수법을 써서 파일 폴더명과 이름이 같은 복사본을 만든다. 이어 오리지널 파일 폴더를 숨기고 PC 사용자를 속인다. 또한 시스템 핵심 위치에 많은 악성 SW를 투입하거나 원본 시스템 파일을 제어한다. 악성 SW를 로딩하고 파일 폴더명을 이름으로 한 복사본을 만들어 실행시킨다. PC 사용자의 주도적 다운로드, 웹페이지내 트로이목마 투입, 온라인 메신저 프로그램 ‘QQ’ 등의 경로를 통해 많은 악성 SW를 PC에 투입한다.

이로 인해 PC 사용자는 민감한 정보를 도난당하고 금전 안전도 위협 받게 된다. 이 회사는 지난 6일까지 중국에서 ‘Trojan.Win32.VBCode.fin’에 5만9,239대의 PC가 감염된 것으로 파악됐다고 밝혔다. 이 바이러스에 대한 경계 등급은 별 다섯 개 중 네 개다.

날짜 별로 중국 내 PC 사용자들에게 피해를 입힌 대표적인 바이러스들을 보면, 5월 9일에는 ‘Worm.Script.VBS.Agent.z’가 꼽혔다. 루이싱정보기술이 ‘클라우드 보안’ 시스템을 써서 연인원 2만1,474명으로부터 신고를 받은 이 웜(worm) 바이러스는 컴퓨터에 깔린 유명 안티바이러스 프로그램을 찾아 내어 실행을 중지시킨다. 레지스트리를 수정해 컴퓨터 부팅과 함께 자동으로 활동을 개시한다. 또 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 웹페이지의 트래픽을 소모시킨다. 이로써 네트워크 자원을 대량 점용하며, 인터넷이 느려지는 현상이 일어날 수 있다고 이 회사는 설명했다.

이어 10일 중국에서 널리 퍼진 ‘Trojan.Win32.BHO.gdz’(연인원 2만8,778명 신고)를 비롯해 11일 중국을 휩쓴 ‘Trojan.PSW.Win32.QQPass.fll’(연 2만473명 신고), 12일 가장 크게 번진 ‘Trojan.Win32.BHO.gdz’(연 2만3,101명 신고), 주말이 포함된 13일~15일 사흘 동안 대표적인 바이러스 ‘Worm.Mail.NetSky.mz’(연 2만5,531명 신고)도 9일의 ‘Worm.Script.VBS.Agent.z’과 비슷한 악성 활동을 하고 피해를 일으키는 것으로 드러났다.

이 가운데 ‘Trojan.Win32.BHO.gdz’는 4월 25일~26일과 5월 4일~5일에 이어 10일과 12일에 이틀 동안에도 중국에서 널리 퍼진 대표적인 바이러스에 지목됐다. 또한 ‘Worm.Script.VBS.Agent.z’는 9일과 13일~15일에 중국에서 널리 퍼져 누리꾼들을 공격했다.

中 5월 둘째 주 4만명 피싱 사이트 공격 받아
루이싱은 지난 9일~15일 보안 시스템을 써서 중국에서 8,798개의 피싱 사이트들을 탐지했다고 밝혔다. 한 주 전보다 1,881개 늘었으며, 4주 연속 증가했다. 피싱 사이트의 공격을 받은 중국 누리꾼 수는 한 주 전과 같은 4만 명에 달했다.

날짜 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 5월 9일에는 연인원 4,458명, 10일 5,210명, 11일 4,136명, 12일 4,528명, 주말 휴일이 들었던 13일~15일 사흘 동안에는 연인원 1만4,391명에 달했다. 루이싱이 탐지한 피싱 웹주소는 9일 1,470개, 10일 1,526개, 11일 1,292개, 12일 1,783개, 13일~15일 사흘 간 5,147개였다.

이런 가운데 지난 주에는 애플 아이튠즈(Apple iTunes) 전자우편을 가장한 http://duhocseikoo.edu.vn/dump/.link/index.html, 텅쉰(Tencent) 전자우편으로 위장한 http://fksdjf.science/, 중국건설은행을 사칭한 http://103.55.27.99/ 따위의 피싱 사이트들이 누리꾼들의 전자우편 계정∙비밀번호를 편취해서 개인 정보와 금전을 훔친 것으로 밝혀졌다.


▲ 5월 9일~15일 중국내 주요 피싱 사이트(출처:중국 루이싱정보기술)

날짜 별로 중국에서 많은 누리꾼들에게 피해를 끼친 피싱 사이트 ‘톱5’를 보면, 지난 5월 9일에는 △온라인 금융 결제 사이트 페이팔(Paypal) 전자우편을 가장한 http://gprs.hk/wp-includes/images/smilies/ (전자우편 계정과 비밀번호 빼냄) △중국이동통신(China Mobile)의 대표 고객전화로 위장한 www.l0086kh.com/register.ASP(적립포인트의 현금 교환 정보로 카드 번호와 비밀번호 편취) △가짜 Apple iTunes전자우편 www.recipewall.net/wp-includes/js/tinymce/(전자우편 계정과 비밀번호 훔침) △중국건설은행을 사칭한 http://104.151.138.92/zm.jsp?id=1 (카드 번호와 비밀번호 빼냄) △허위 지메일(Gmail) 전자우편 http://bholainfratech.com/demoo/dropbox2016/Home/(전자우편 계정과 비밀번호 편취) 순이었다.

이어 10일 중국을 휩쓴 대표적인 피싱 사이트들은 △허위 Paypal전자우편류www.support-limitd.com/up/d9b5aabf591ae9920f5de42364c2fdd7/ △가짜 온라인 구매(쇼핑)류 http://sxwlp.com/ (허위 쇼핑 정보로 금전 편취) △윈도우(Windows) 전자우편을 가장한 http://cnchosp.co.kr/data/file/free/Upgrade/excel/ (전자우편 계정과 비밀번호 빼냄) △중국건설은행을 사칭한 http://123.60.178.43/zm.jsp?id=1 △허위 Gmail 전자우편류 www.naledibooks.co.za/wp-admin/VERIFY/ 등 차례였다.

지난 11일에는 △가짜 Windows전자우편류 http://itcorp.ge/includes/excel/excel/excel.php △중국이동통신을 가장한 http://l0086b1.com/ △허위 Paypal 전자우편류 www.infowebmasterworking.com/zzzbbb/ △중국건설은행을 사칭한 http://103.224.250.86/ △Gmail 전자우편으로 위장한 http://activa21.cl/login/ 순으로 누리꾼들을 많이 속였다.

지난 12일 피싱 사이트 톱5는 △중국건설은행을 사칭한 www.95533qh.com/ △중국 최대 전자상거래 사이트인 알리바바(Alibaba) 전자우편을 가장한 http://kolbecassadywedding.com/aliba/login.php (전자우편 계정과 비밀번호 빼냄) △Paypal 전자우편으로 위장한 http://paypal.de-login.ru/882065/deutschland/nutzung/ △가짜 Apple ID전자우편류 http://dk174.ru/wp-content/themes/img/ (전자우편 계정과 비밀번호 훔침) △허위 Gmail전자우편류 http://woodenboatmuseum.com/wetransferreview/index.php 순이었다.

주말 휴일이 들었던 13일~15일에는 △가짜 Apple ID 전자우편류 http://appleid.apple.co.x5a.info/coded/ △중국건설은행을 사칭한 http://wap.ccbmuk.cc/ △허위 Paypal 전자우편류 www.hempelgalleries.com/css/lib/ △이베이(ebay) 전자우편을 가장한 http://vi.sandbox.ebaydesc.de./ws/ (전자우편 계정과 비밀번호 훔침) △가짜 Gmail 전자우편류 http://jplimeira.com.br/skin/frontend/base/review/secure-gdoc/ 등 차례로 누리꾼들을 많이 공격했다.

루이싱정보기술의 보안 시스템이 탐지한 중국 내 트로이목마 투입 웹주소는 5월 9일 1,567개, 10일 2,182개, 11일 1,105개, 12일 1,906개, 주말 휴일이 포함된 13일~15일에는 5,573개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 9일 연인원 5,281명, 10일 4,563명, 11일 5,290명, 12일 4,759명, 13일~15일 사흘 간 연인원 1만6,688명이었다.
[중국 베이징/온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>