‘Backdoor.Win32.Rbot.gcy‘, PC 디렉토리에 악성SW 투입...정보 훔쳐
‘Trojan.Win32.BHO.gdz’, 4주 연속 중국에서 활개
보안 업체 “5월 셋째 주 피싱 사이트 8,300여개 탐지...4만명 공격 받아”

[보안뉴스 온기홍= 중국 베이징] 중국에서 5월 셋째 주(16일~22일)에 PC시스템 실행 프로그램에 주입된 다음 핵심 디렉토리 아래 악성 SW를 투입해서 컴퓨터를 감염시킨 뒤 정보들을 훔쳐가는 ‘Rbot’이란 이름의 백도어(backdoor) 바이러스가 누리꾼들을 공격한 것으로 드러났다. 또한, 중국 정보보안업체는 이 기간 중국에서 8,300여개의 피싱 사이트를 찾아냈으며, 중국 내 누리꾼 4만 명이 피싱 사이트의 공격을 받은 것으로 나타났다.

‘Backdoor.Win32.Rbot.gcy‘, 중국내 PC 8만대 가량 감염시켜
중국 정보보안회사인 루이싱정보기술은 지난 16일~22일 ‘클라우드 보안 시스템’을 써서 모니터링 하고 PC 사용자들로부터 신고를 받은 것을 종합한 결과, 이 기간 정보보안 업계와 누리꾼의 주목을 받은 대표적인 바이러스는 ‘Backdoor.Win32.Rbot.gcy’라고 밝혔다.


▲ 5월 16일~22일 중국내 주요 PC 바이러스 (출처: 중국 루이싱정보기술)

이 백도어 바이러스는 ‘System32’ 시스템 디렉토리 아래 악성 SW를 투입하고 레지스트리를 수정해 시스템 서비스를 등록한다. 이어 원격으로 시스템 실행 프로그램 ‘svchost.exe’을 주입하고, 몰래 ‘cmd’을 전용해 자신을 삭제한다. 시스템 핵심 디렉토리 아래 악성 S/W를 투입해, 컴퓨터 디스크 ‘EXE’ 파일을 감염시킨다. 또한 루트(Root) 디렉토리 아래 위장 ‘lpk’ 악성 SW를 투입하고 원격 웹페이지를 방문해 악성 프로그램을 PC에 내려 받는다.

컴퓨터가 이 바이러스에 감염되면, 중요한 정보들을 도난 당하고 금전 안전도 위협받게 된다. 이 백도어 바이러스 ‘Backdoor.Win32.Rbot.gcy’에 대한 경계 등급으로는 별 다섯 개 가운데 네 개가 매겨졌다. 특히 중국에서 지난 13일까지 7만8,215대의 PC가 ‘Backdoor.Win32.Rbot.gcy’에 감염된 것으로 확인했다고 이 회사는 밝혔다.

날짜 별로 중국 내 PC 사용자들에게 피해를 입힌 대표적인 바이러스들을 보면, 지난 16일에는 ‘Worm.Win32.Gamarue.z’가 꼽혔다. 루이싱정보기술이 ‘클라우드 보안’ 시스템을 써서 연인원 2만2,216명으로부터 신고를 받았다. 이 웜(worm) 바이러스는 PC에 깔린 유명 안티바이러스 프로그램을 찾아내어 실행을 중지시킨다. 레지스트리를 수정해, 컴퓨터 부팅과 함께 자동으로 활동을 개시한다. 또한 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 웹주소의 트래픽을 소모시키며 대량의 네트워크 자원을 점용한다. 이 때문에 인터넷이 느려질 수 있다.

이어 17일 중국을 휩쓴 ‘Trojan.Win32.BHO.gdz’(연 2만618명 신고), 18일 크게 번진 ‘Trojan.Win32.BHO.gdz’(연 2만2,177명 신고), 19일 대표적인 바이러스 ‘Trojan.Win32.VBCode.fio’(연 2만4,490명 신고), 주말 휴일이 포함된 20일~22일 사흘 동안 널리 퍼진 ‘Worm.Win32.Autorun.tpn’(연 8만14명 신고)도 16일의 대표적인 바이러스 ‘Worm.Win32.Gamarue.z’와 비슷한 악성 활동을 하면서 누리꾼을 공격하는 것으로 드러났다.

특히 이 가운데 ‘Trojan.Win32.BHO.gdz’는 4월 25일~26일, 5월 4일, 5일, 10일, 12일에 이어 17일, 18일에도 중국에 널리 퍼져 PC 사용자들을 공격한 대표적인 바이러스에 꼽혔다.

中 5월 셋째 주 4만 명 피싱 사이트 공격 받아
루이싱은 지난 16일~22일 보안 시스템을 써서 중국에서 8,305개의 피싱 사이트들을 탐지했다고 밝혔다. 한 주 전보다 493개 줄었다. 피싱 사이트의 공격을 받은 중국 누리꾼 수는 한 주 전과 같은 4만 명에 달했다.

날짜 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 지난 16일에는 연인원 5,830명, 17일 7,388명, 18일 6,586명, 19일 6,197명, 주말 휴일이 들었던 20일~22일 사흘 동안에는 연인원 1만8,099명에 달했다. 루이싱이 탐지한 피싱 웹주소는 16일 2,231개, 17일 2,086개, 18일 1,885개, 19일 1,951개, 20일~22일 사흘 간 5,035개였다.

또한 이 기간 중국건설은행을 사칭한 http://www.95533qh.com/，중국 최대 전자상거래 그룹 알리바바(Alibaba) 전자우편을 가장한 http://kolbecassadywedding.com/aliba/login.php，미국계 유명 온라인 금융결제 사이트 페이팔(Paypal) 전자우편으로 위장한 http://paypal.de-login.ru/882065/deutschland/nutzung/ 등의 피싱 사이트들이 누리꾼들의 전자우편 계정·비밀번호를 편취해서 개인 정보와 금전을 훔친 것으로 드러났다.


▲ 5월 16일~22일 중국내 주요 피싱 사이트 (출처: 중국 루이싱정보기술)

날짜 별로 중국에서 많은 누리꾼을 공격한 피싱 사이트 ‘톱5’를 보면, 먼저 5월 16일에는 △지메일(Gmail) 전자우편을 가장한 http://thecolombianpost.com:8081/cache/dropbox/ (전자우편 계정과 비밀번호 훔침) △중국이동통신의 대표 고객 서비스 전화 ‘10086’을 내세운 http://10086kze.com/ (적립포인트의 현금 교환을 미끼로 카드 번호와 비밀번호 빼냄) △페이스북(Facebook)을 가장한 http://sumeyemozlen.blogcu.com/ (전자우편 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://wap.ccdahks.com/index.asp (카드 번호와 비밀번호 훔침) △온라인 금융결제 사이트 페이팔(Paypal)로 위장한 http://mallareddy.org/newpp/ (전자우편 계정과 비밀번호 빼냄) 순으로 지목됐다.

이어 17일 중국 누리꾼들을 많이 괴롭힌 피싱 사이트 톱5는 △알리바바(Alibaba) 전자우편을 가장한 www.bbmipl.com/misc/farbtastic/alibaba/ (전자우편 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://m.ccbyka.com/ △텅쉰의 온라인 게임으로 위장한 www.dnf966.com/ (허위 S/W 정보로 계정과 비밀번호 편취) △가짜 어도비(Adobe) ID 전자우편류 http://vividha.co.in/contacts/og00911/index.htm (전자우편 계정과 비밀번호 빼냄) △가짜 Gmail 전자우편류 http://3designcenter.com/blog/wp-admin/network/other/index.html 등 차례였다.

지난 18일에는 △윈도우 엑셀(Windows Excel) 전자우편을 가장한 http://sd668.vn/excel/ (전자우편 계정과 비밀번호 훔침) △중국건설은행을 사칭한 www.ccvjgdmptj.com/ △허위 온라인 구매(쇼핑)류 http://aple6s.com/ (허위 쇼핑 정보로 금전 편취) △가짜 Adobe ID 전자우편류 www.mesotheliomahelpnewyork.com/~yourcomp/ △허위 Gmail 전자우편류 http://muskogee.netgain-clientserver.com/aussie/ 등이 피싱 사이트 톱5 안에 들었다.
지난 19일 중국을 휩쓴 대표적인 피싱 사이트들은 △Paypal 전자우편으로 위장한 http://apk-resolvedservice.com/webapps/856e2e6f1f/ △중국건설은행을 사칭한 http://wap.cckef.com/ △허위 온라인 구매류 http://pingguo6.s.a020.net/ △가짜 Adobe ID 전자우편류 http://recipewall.net/wp-includes/js/tinymce/utils/ △Gmail 전자우편을 가장한 http://migarantia.com.py/kkkkl/googledrivee/nD/ 등이었다.

주말 휴일이 들었던 20일~22일에는 △Paypal 전자우편류 http://bmwclubavto.ru/p/p/Conflict/Resolution △중국건설은행을 사칭한 www.ccbiynv.com/ △중국이동통신을 가장한 http://wapr10086.com/ △허위 Adobe ID 전자우편류http://starjeans.com.mx/libraries/usl1gin/28f5383f556069c5de6600db1a28fc1d/ △Gmail 전자우편류 www.shaktihomeja.com/g_doc/file_doc.php 순으로 피싱 사이트 톱5 안에 들었다.

한편, 루이싱정보기술의 보안 시스템이 탐지한 중국 내 트로이목마 투입 웹주소는 5월 16일 3,053개, 17일 2,459개, 18일 2,207개, 19일 2,037개, 주말 휴일이 포함된 20일~22일에는 5,228개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 16일 연인원 3,936명, 17일 5,345명, 18일 4,192명, 19일 4,296명, 20일~22일 사흘 간 연인원 1만4,203명에 달한 것으로 집계됐다.
[중국 베이징/온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>