PDF 파일로 위장...해커 쪽 서버로 PC 사용자 개인정보 빼내
지난 주 피싱 사이트 3만 6,770여개 탐지...10만 명 피해
페이팔·Gmail·애플·텐센트·알리바바·중국이동통신 사칭한 피싱 사이트 활개

[보안뉴스 온기홍= 중국 베이징] 중국에서 이달 들어 PDF 파일로 위장해 PC 사용자를 속이고 백그라운드에서 해커 쪽 서버로 사용자의 인터넷 사이트와 인터넷뱅킹 계정·비밀번호를 보내는 ‘Trojan.Win32.Crypt.cym’란 트로이목마가 1만 7,100여대의 PC를 감염시킨 것으로 드러났다. 또 지난 주(12월 12일~18일) 중국에서 정보보안업체가 탐지한 피싱 웹사이트는 3만6,770여개에 달했고, 누리꾼 10만 명이 피싱 사이트의 공격을 받은 것으로 밝혀졌다.

中 ‘Trojan.Win32.Crypt.cym’, 컴퓨터 1만 7,000여대 감염시켜
중국 정보보안업체인 루이싱정보기술은 보안시스템을 써서 조사하고 누리꾼들의 신고를 종합한 결과, 트로이목마류 ‘Trojan.Win32.Crypt.cym’가 12월 15일 현재 중국에서 1만 7,148대의 PC를 감염시킨 것을 확인했다고 밝혔다.

‘Trojan.Win32.Crypt.cym’는 PDF 파일로 위장해 PC 사용자를 꾀어 클릭하게 한 다음, 실행 개시와 함께 자신을 숨기고 악성 프로그램들을 PC에 투입한다. 또 백그라운드에서 PC를 해커가 지정한 서버에 연결시키고, 사용자의 중요한 개인 정보들을 내보낸다. 이런 수법으로 사용자의 여러 웹사이트 및 인터넷뱅킹의 계정·비밀번호를 훔쳐간다. ‘Trojan.Win32.Crypt.cym’에 대한 경계 등급으로는 별 다섯 개 가운데 네 개가 매겨졌다.


▲ 12월 12일~18일 중국내 주요 PC 바이러스(출처 : 중국 루이싱정보기술)

중국에서 지난 주 날짜 별로 뽑은 대표적인 바이러스는 ‘Trojan.Win32.BHO.hdz’라고 이 회사는 밝혔다. 지난 9월 중순 이후 줄곧 중국 PC 사용자들을 공격해 온 ‘Trojan.Win32.BHO.hdz’는 12일(연인원 1만 5,327명 신고)부터 13일(1만 6,982명 신고), 14일(1만 5,123명 신고), 15일(1만 5,472명 신고), 16일~18일(3만 684명 신고)까지 연일 중국에서 널리 퍼져 활개를 쳤다.

이 바이러스는 컴퓨터에서 백신 프로그램을 찾아내어 그 실행을 중지시키고, 레지스트리를 수정해 컴퓨터 부팅과 함께 자동으로 활동을 개시한다. 이어 백그라운드에서 PC를 해커 쪽 웹 주소에 연결시키고, 악성 웹 주소의 트래픽을 늘리며 대량의 네트워크 자원을 점용한다. 이 때문에 네트워크 속도가 느려지게 된다고 루이싱정보기술은 밝혔다.

中 지난 주 피싱 사이트 3만 6,775개 탐지...10만 명 공격 받아
중국에서 지난 주 3만 6,775개의 피싱 사이트가 탐지됐다. 한 주 전에 비해 9,446개 늘었다. 이 기간 피싱 사이트의 공격을 받은 중국 누리꾼 수는 10만 명에 달했다.

이런 가운데 지난 주 중국 최대 통신서비스업체인 중국이동통신(China Mobile)을 가장한 http://www.vip10086dx.com/, 온라인 금융결제 사이트 페이팔(Paypal) http://updating-infotmaions.ritasnyc.com/mpp/, 지메일(Gmail) 전자우편으로 위장한 http://assistancemissionafrica.org/Doc90302/Dropfile/index.php를 비롯한 피싱 사이트들이 누리꾼의 인터넷 계정과 비밀번호를 훔치고 인터넷 뱅킹 내 금전을 훔치려 한 것으로 밝혀졌다.

지난 주 일별로 피싱 사이트의 공격을 겪은 중국 누리꾼 수를 보면, 12월 12일 연인원 1만 8,603명, 13일 2만 2,636명, 14일 1만 8,329명, 15일 2만 847명, 주말 휴일이 들었던 16일~18일에는 2만 847명이었다. 이 회사가 탐지한 피싱 웹주소는 12일 5,159개, 13일 6,712개, 14일 5,277개, 15일 5,845개, 16일~18일 1만 3,012개였다.


▲ 12월 12일~18일 중국내 주요 피싱 사이트

지난 주 일별로 중국 누리꾼들을 많이 공격한 피싱 사이트 ‘톱5’에는 △중국 최대 전자상거래 회사인 알리바바(Alibaba)로 위장한 http://pureevilcreative.com/showcase/Alibaba.html?tracelog=edmfooter&a, http://zeednisit.com/wp-content/alibaba/ (카드번호와 비밀번호 훔침) △중국이동통신(China Mobile)의 대표 고객서비스 번호를 가장한 www.hsa10086.com, www.vip10086dx.com/, www.hsy10086hf.com (적립 포인트의 현금 교환을 미끼로 카드번호와 비밀번호 빼냄) △텅쉰(Tencent)의 온라인게임으로 위장한 http://dnf97.com/ (허위 S/W 정보로 계정과 비밀번호 편취) △온라인 금융결제 사이트 페이팔(Paypal)로 속인 http://itlineltd.com/Login/Confirm/websc_signin/, http://updating-infotmaions.ritasnyc.com/mpp/, www.shossa-bosa.eu/Brain-PPL4/?cmd=_login-run&dispatch= (계정과 비밀번호 빼냄) △가짜 야후(Yahoo) 전자우편류 http://stylitoarts.com/imgs/work/yah.php (계정과 비밀번호 노림) △가짜 페이스북(Facebook)류 http://vannhatqt38.ga/thanh1/n1/ (카드번호와 비밀번호 빼냄) △온라인 쇼핑으로 가장한 http://app.zyhardware.com/, http://app.zyhardware.com/ (허위 쇼핑 정보로 금전 편취) △가짜 텅쉰 사이트류 http://forexsy.com.cn/plus/ckb.htm?qq.com?x=dXNlcj1ZTk1VOTBPc1pyNA==, http://nationhike.com/wom/C50/ (허위 사진 정보로 계정과 비밀번호 절취) △가짜 어도비(Adobe) 사이트류 http://asociatia-magistratilor.ro/File/, www.aqarat.com.kw/css/menu/PDF.irs/secure/login/, http://lhsecurity.com/File/ (계정과 비밀번호 훔침) △가짜 지메일(Gmail) 전자우편류 http://igforweddingpros.com/DRROP/BOXX/dropbox/, http://assistancemissionafrica.org/Doc90302/Dropfile/index.php, http://rocharevestimentos.com.br/navigate/share/2015/index.htm, www.echobaddest.us/ (계정과 비밀번호 절취) △가짜 애플(Apple) ID류 www.canadhounas.info/Cancel/xxxxxxxxxxxx/clients/initiate.php, http://arquicascavel.org.br/css/6528911656/16188929048685807308/Itunes/ (허위 로그인 정보로 개인정보 절취) △중국건설은행을 사칭한 http://wap.ccbrtn.cc/ (카드번호와 비밀번호 편취) 등이 꼽혔다.

한편, 웹페이지에 숨은 트로이목마의 공격을 받은 누리꾼은 12월 12일 연인원 10만 7,483명, 13일 13만 2,860명, 14일 12만 6,829명, 15일 10만 5,522명, 주말 연휴가 포함된 16일~18일 연 30만 6,916명으로 집계됐다. 이 회사가 보안 시스템을 써서 탐지한 중국 내 트로이목마 투입 웹주소는 12일 1,462개에서 13일 56만 6,602개로 급증했고, 14일 1,177개, 15일 12만3,651개, 16일~18일에는 2,994개였다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>