정보보안업체, 6월 셋째 주 피싱 사이트 8,300여개 탐지...4만명 피해

[보안뉴스 온기홍= 중국 베이징] 중국에서 최근 컴퓨터 시스템 핵심 디렉터리 아래 악성 SW를 투입하고 중요한 정보들을 빼가는 ‘Rbot’이란 이름의 백도어(Backdoor) 바이러스가 11만 여대의 PC를 감염시킨 것으로 드러났다. 또한, 지난 주(6월 13일~19일) 중국 정보보안업체가 국내에서 찾아낸 피싱 사이트는 8,300여개에 달했으며, 중국 내 누리꾼 4만명이 피싱 사이트의 공격을 받은 것으로 나타났다.

中, ‘Backdoor.Win32.Rbot.gcy’에 PC 11만여대 감염 피해
중국 정보보안회사인 루이싱정보기술은 지난 주 ‘클라우드 보안 시스템’을 써서 모니터링 하고 PC 사용자들로부터 받은 신고 내용을 종합한 결과, 이 기간 ‘Backdoor.Win32.Rbot.gcy’가 정보보안 업계와 누리꾼들의 주목을 많이 받은 바이러스라고 밝혔다.

이 백도어류 바이러스는 컴퓨터 ‘System32’ 시스템 디렉터리 아래 악성 파일을 넣고 레지스트리를 수정해 시스템 서비스에 등록한다. 또 시스템 실행 프로그램 ‘svchost.exe’을 원격 주입하고, ‘cmd’를 몰래 전용해 자신을 삭제한다. 이어 시스템 핵심 디렉터리 아래 악성 SW를 투입하고 하드디스크 ‘EXE’ 파일을 감염시킨다. 또한 루트 디렉터리 아래 ‘lpk’를 위장한 악성 SW를 넣고 원격 웹페이지를 방문한다. 몰래 악성 SW를 컴퓨터에 내려 받는다.


▲ 6월 13일~19일 중국내 주요 PC 바이러스(출처:중국 루이싱정보기술)

컴퓨터가 이 백도어에 감염되면 중요한 정보들을 비롯해 금전도 도난당할 수 있다. 이 백도어에 대한 경계 등급은 별 다섯 개 가운데 네 개였다. 특히, 이 ‘Backdoor.Win32.Rbot.gcy’는 지난 12일까지 중국에서 11만948대의 PC를 감염시킨 것으로 확인됐다고 이 회사는 밝혔다.

지난 주 날짜 별로 중국 내 PC 사용자들을 공격한 대표적인 바이러스들을 보면, 지난 13일에는 ‘Backdoor.Win32.Mydoom.d’가 지목됐다. 루이싱정보기술이 ‘클라우드 보안’ 시스템을 써서 연인원 2만3,543명으로부터 신고를 받았다. 이 백도어류 바이러스는 PC 안에 설치된 유명 안티바이러스 프로그램들을 찾아 내고 실행을 중지시킨다. 동시에 레지스트리를 수정하고 컴퓨터 부팅과 함께 자동으로 활동을 시작한다.

또한, 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 웹주소의 트래픽을 소모시키며 네트워크 자원을 대량 점용한다. 이로 인해 네트워크 속도가 느려지는 현상이 일어날 수 있다. 특히, 이 ‘Backdoor.Win32.Mydoom.d’는 13일에 이어 14일, 15, 16일까지 나흘 연속 중국에서 크게 번진 바이러스로 꼽혔다. 지난 14일에는 연 2만7,756명이 신고했고, 15일에 연 2만1,124명 신고, 16일에는 연 2만2,474명이 각각 신고했다.

주말 휴일이 포함된 17일~19일 사흘 동안에는 ‘Worm.Mail.NetSky.lz’(연 2만4,388명 신고)가 중국에서 널리 퍼진 것으로 드러났다. 이 웜 바이러스도 ‘Backdoor.Win32.Mydoom.d’와 비슷한 악성 활동을 하면서 피해를 일으키는 것으로 밝혀졌다.

中 6월 셋째 주 피싱 사이트 8,300여개 탐지...4만명 공격 받아
루이싱은 지난 주 보안 시스템을 써서 중국에서 8,305개의 피싱 사이트들을 탐지했다고 밝혔다. 한 주 전에 비해 3,270개 증가했다. 피싱 사이트의 공격을 받은 중국 누리꾼 수는 한 주 전과 비슷한 4만 명에 달했다.

날짜 별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 13일에는 연인원 4,732명, 14일 4,556명, 15일에는 3,861명, 16일에 5,024명, 주말 휴일이 들었던 17일~19일 사흘 간에는 연인원 1만1,713명에 달했다. 루이싱정보기술이 탐지한 피싱 웹주소는 13일 1,702개, 14일 1,557개, 15일 1,379개, 16일 1,597개, 17일~19일 2,636개였다.

이런 가운데 지난 주 중국에서는 중국건설은행을 사칭한 http://www.95533qh.com/, 중국 최대 전자상거래 회사 알리바바(Alibaba) 전자우편을 가장한 http://kolbecassadywedding.com/aliba/login.php，유명 온라인 금융결제 사이트 페이팔(Paypal) 전자우편으로 위장한 http://paypal.de-login.ru/882065/deutschland/nutzung/ 따위의 피싱 사이트들이 누리꾼들의 전자우편 계정과 비밀번호를 몰래 훔쳐서 개인 정보와 금전을 빼내려 했다.


▲ 6월 13일~19일 중국내 주요 피싱 사이트(출처:중국 루이싱정보기술)

날짜 별로 중국에서 많은 누리꾼을 공격한 피싱 사이트 ‘톱5’를 보면, 먼저 6월 13일에는 △텅쉰(Tencent)의 온라인 게임으로 속인 http://dnf318.com/ (허위 S/W 정보로 계정과 비밀번호 훔침) △페이팔(Paypal) 전자우편으로 가장한 www.saasso.asn.au/journal/login/ (메일 계정과 비밀번호 빼냄) △가짜 Windows Excel 메일류 http://creativezoneit.com/milverdn/noul/ (메일 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://wap.icbvp.com/ (카드 번호와 비밀번호 훔침) △가짜 지메일(Gmail) 전자우편류 www.hydrohasards.eu/plugins/dropbox/index.php (메일 계정과 비밀번호 빼냄) 순으로 나타났다.

이어 14일 피싱 사이트 ‘톱5’는 △가짜 페이스북(Facebook) 메일류 http://cornerjob.eu/ (메일 계정과 비밀번호 훔침) △Paypal 전자우편을 가장한 http://goodtimebeverages.com/welcome/ (메일 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://wap.ccidqk.com/ (카드 번호와 비밀번호 훔침) △가짜 Apple ID 메일류 www.apartamentsaltafulla.com/~somaya30/appleid/ (메일 계정과 비밀번호 빼냄) △Gmail전자우편으로 위장한 www.ubranis.info/parabuch/newart/ 등 차례였다.

지난 15일에는 △중국판 TV 예능 프로그램 ‘런닝맨’을 가장한 http://souli.cc/index5.asp (허위 당첨 정보로 송금 유도) △가짜 Paypal 전자우편류 http://paypal-limited.com-intl.ga/cgi-bin_/9dbf1 (메일 계정과 비밀번호 훔침) △중국건설은행을 사칭한 http://wap.iciccv.com/ (카드 번호와 비밀번호 편취) △가짜 Apple ID 전자우편류 http://conquertype2.com/review%202/ △야후(Yahoo) 메일로 위장한 www.glebehouse.org.au/eru/Yahoo/ (메일 계정과 비밀번호 훔침) 순으로 누리꾼들을 많이 공격했다.

16일 대표적인 피싱 사이트 ‘톱5’는 △Paypal메일로 위장한 www.hilfeservice-sicherheitssystem.cf/user-login.php (메일 계정과 비밀번호 빼냄) △중국건설은행을 사칭한 http://wup.cchccy.com/login.php △텅쉰의 온라인게임을 가장한 www.dnf789.com/ (허위 S/W 정보로 계정과 비밀번호 편취) △가짜 Apple ID메일류 www.patrick-house.ro/weyrey/adobee/ △Gmail 전자우편을 가장한 www.kalavista.com.au/robots_relay/lumpur/Paype/ 등 차례였다.

주말 휴일이 들었던 17일~19일에는 △중국건설은행을 사칭한 http://wap.ccbvip.pw △가짜 Paypal 메일류 http://perlabsshipping.com/update-your-account-information/ △어도비(Adobe) 메일로 위장한 www.euromovers-ae.com/files/.un/view/dwnl/ (메일 계정과 비밀번호 훔침) △가짜 Facebook 메일류 www.verifyaccount.pw/Signin15rn/ (메일 계정과 비밀번호 빼냄) △가짜 Gmail 전자우편류 http://bikeshopchapada.com.br/mgghfghhmhnn/aos 순으로 피싱 사이트 톱5에 지목됐다.

한편 루이싱정보기술의 보안 시스템이 탐지한 중국 내 트로이목마 투입 웹주소는 13일 2,296개, 14일 2,296개, 15일 2,296개, 16일 2,014개, 주말 휴일이 낀 17일~19일 4,250개였다. 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼은 13일 연인원 2,721명, 14일 4,926명, 15일 4,236명, 16일 5,724명, 17일~19일 1만1,441명에 달했다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>