정보 수집 및 추가 악성코드 다운로드, 가상화 환경에서는 하드 파괴 수행

[시큐리티월드 권 준 기자] 최근 국내 대형 시중은행인 우리은행의 보안로그 수집기로 위장한 악성코드가 유포되어 우리은행 인터넷뱅킹 사용자들의 각별한 주의가 요구되고 있다.


우리은행의 인터넷뱅킹을 이용하기 위해서는 인터넷 익스플로러에서 보안 필수 프로그램을 설치하게 되는데, 브라우저를 종료한 경우에도 작업 관리자의 백그라운드 프로세스 항목에 실행되는 것 가운데 하나가 바로 우리은행 보안로그 수집기다.

이러한 가운데 최근 발견된 우리은행 보안로그 수집기 위장 악성코드에 일반 사용자 PC가 감염될 경우, 특정 서버에 접속하여 추가 악성코드를 다운로드하며, PC 정보를 수집하는 것으로 분석됐다.

이 사실을 본지에 알려온 제보자는 악성코드 개발 경로 ‘SW작업중V_P 소스’에 ‘작업중’, ‘소스’라는 단어가 들어가는 것으로 보아 한국어 환경의 개발자에 의해 제작된 것으로 추정된다고 밝혔다.

더욱이 가상 환경의 PC에서 감염될 경우 다음과 같이 MBR 영역을 0으로 덮어씌워 하드를 파괴함으로써 PC 부팅을 불가능하게 만드는 것으로 드러났다. 최근 가상화 솔루션을 도입하여 업무 환경을 제공하는 곳이 많아서 하드 파괴의 경우 업무에 큰 지장을 줄 수 있을 것으로 보인다.

	▲ 가상 환경에서 감염될 경우 하드가 파괴되고 위와 같이 블루스크린 등이 뜨며 PC가 재부팅되는 현상이 발생한다.

	▲ 하드 MBR 영역이 0으로 덮어 씌어짐

	▲ 부팅 시 PC의 운영체제를 찾을 수 없다는 메시지와 함께 부팅이 불가능함

이와 관련 한 보안전문가는 “한국인이 제작한 것으로 보이는 해당 악성코드는 최근 여러 개가 유포됐고, 심지어 3일에도 새로운 악성코드가 유포됐다. 더욱 심각한 문제는 가상환경이면 하드 파괴를 하기 때문에 보안을 이유로 가상화 PC를 쓰는 사용자는 물론 악성코드 분석가들도 하드가 파괴된 경우가 존재한다”며, “정상적인 우리은행 보안로그 수집기는 Program Files 폴더 하위에 존재하기 때문에 그 외의 위치에 있을 때는 의심하고 백신 검사를 수행해야 한다”고 밝혔다.
[글 시큐리티월드 권 준 기자(editor@boannews.com)]

<저작권자 : 시큐리티월드(http://www.securityworldmag.co.kr) 무단전재-재배포금지>