국내 여러 취업관련 사이트서 동시에 악성코드 유포 중

[보안뉴스 김태형] 추석 연휴 이후 웹사이트를 통한 악성코드 유포가 기승을 부리고 있는 가운데 국내 취업포탈 사이트를 포함해 여러 취업관련 사이트에서 동시에 악성코드가 유포되고 있어 이용자들의 주의가 필요하다.

한 주간의 국내 인터넷 위협현황에 대한 정보를 제공하고 있는 보안전문 기업 빛스캔은 추석 연휴 이후, 웹 사이트를 통해 악성코드가 대폭 증가하고 있어 자체 관찰 수준을 강화하고 있는 가운데 취업 관련 서비스들에 대한 집중 공격이 관찰되고 있다고 밝혔다.


▲ 그림 1. 국내 취업포탈 웹 사이트에 삽입된 악성 URI – 9월 20일

빛스캔에 따르면, 대한민국 국민이면 구직활동을 위해 한번쯤은 모두 방문했을 만한 취업포탈 사이트인 ‘커XX’ 사이트를 중심으로 중소규모의 취업 관련된 사이트들에서 악성링크가 삽입된 정황들이 PCDS를 통해서 탐지됐다. 소스코드에 악성링크가 직접 추가된 상황이며, 서비스에 대한 권한도 공격자가 확보하고 있을 것으로 예상되므로, 추가 정보 유출 피해도 충분히 발생될 수 있는 상황으로 분석됐다.

해당 사이트 외에 특정 직업군을 위한 취업 서비스들도 동시에 위험이 관찰됐으며 디자XX, 널XX, 커XXXX 등, 구직관련 웹 사이트 여러 곳에서 지난 20일부터 26일까지 악성URI가 삽입되어, 모든 방문자 대상으로 악성코드 감염 공격이 발생됐다.

이번 악성코드는 공격코드가 수시로 변경되어 유포되는 정황이 탐지되고 있다는 점에서 특징이다. 또한, 최종 악성파일도 계속 변경되는 형태가 관찰되고 있어서 기존의 보호 방안으로는 큰 한계를 가질 수 밖에 없다는 게 빛스캔 측의 설명이다. 이미 감염자 수치도 높은 상태로 증가하고 있어 피해의 충격은 앞으로 계속 커질 것이라는 우려다.

감염된 악성코드는 좀비 PC화는 물론 인증서와 금융관련 정보 탈취까지 다중 목적을 지니고 있는 것으로 파악됐다. 감염자 수치의 증가에 따른 공인 IP 기준의 감염 확인은 근 시일 내에 Bitin.me 서비스에서 무료로 확인할 수 있다.

빛스캔 측은 취업 시즌을 겨냥한 직접적이고 대담한 이번 공격은 사회 전반에 큰 영향을 끼칠 수 밖에 없고, 아무런 경고도 없이 사건·사고들이 계속해서 발생된다는 점에서 피해가 클 수 밖에 없다는 설명이다.

또한, 지금까지 관찰된 바에 의하면 공격자들은 수시로 공격코드를 변경하는 시간차 공격과 다단계 유포를 위한 ‘Multi-Stage’ 공격을 통해 동일한 바이너리를 지속적으로 유포하고 C&C주소를 바꾸는 등 탐지와 대응을 적극 우회하고 있다고 덧붙였다.

이에 서비스 이용자 입장에서는 IE/Flash/Java에 대한 보안 패치를 항상 최신으로 유지하는 것 이외에는 대안이 없다. 서비스 관리를 잘못해서 공격 당하고, 대량 감염의 원인을 제공하고 있는 서비스 제공자 입장에서는 단순히 문제가 된 악성링크를 삭제하는 것이 아니라 근본 원인을 찾아 해결하는 것이 중요하다고 빛스캔 측은 강조했다.

빛스캔 측은 “이처럼 매주 악성코드 유포지는 증가하고 있으며, 공격대상은 방문자가 많고 영향력이 높은 사이트로 집중되는 현상을 보이고 있다. 또한, 문제 발생 이전의 확산단계에서부터 단계적으로 위험을 줄이려는 노력이 반드시 필요한 상황이며, 통로 차단 같은 사전에 위험을 줄이기 위한 노력들이 선행되어야 문제를 줄일 수 있을 것”이라고 말했다.
[김태형 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>