- 기존 메모리해킹 금융정보 유출에 더해, 이체 시 수신인 계좌번호/이체금액을 공격자가 원하는 계좌번호/이체금액으로 변경 

- 이체 프로세스가 정상적으로 진행되기 때문에 금융기관이 해당 피해를 인지하기 거의 어려워 

- 인터넷뱅킹 사용 전에 V3 최신 업데이트 및 검사 필수(V3 개인/기업용 모두 진단 및 치료 가능) 

- 최초 악성코드 감염을 방지하기 위해 기본 보안수칙 준수 필수


추석 연휴를 앞두고 기존 메모리 해킹방식에 새로운 수법을 더한 금전유출 악성코드가 발견되어 인터넷뱅킹 사용자의 각별한 주의가 요구된다.

 

안랩[대표 김홍선, www.ahnlab.com]은 지난 7월에 발견된 ‘보안모듈의 메모리 해킹 악성코드’에서 좀더 진화한 형태의 금전유출 시도 악성코드를 발견하고, 분석결과를 발표했다.

 

이번에 발견된 악성코드는 금융정보를 유출하는 기존 메모리 해킹[수정]방식[지난 7월 발견]에, 인터넷뱅킹 거래 시에 공격자가 원하는 특정 은행 계좌번호와 이체 금액으로 변경하는 기능이 더해졌다.

 

기존의 메모리 해킹방식은 사용자가 금융거래를 위해 금융기관 사이트 방문 시 보안을 위해 자동으로 구동되는 키보드 보안솔루션, 공인인증서 등 보안모듈의 메모리를 해킹[수정]한다. 이후 정상 작동 과정에서 보안모듈을 무력화한 후, 공인인증서 비밀번호, 보안카드 번호 등 금전 이체에 필요한 정보를 탈취한다. 이어서 거래가 정상적으로 이루어지지 않도록 강제로 인터넷뱅킹을 종료한 후, 탈취한 금융정보와 동일한 보안카드 번호를 이용해 금전을 탈취한다. 이 때, 거래가 성사되지 않은 인터넷뱅킹 건은 은행에서 동일한 보안카드 번호를 요청하는 점을 악용했다.

 

이번 악성코드는 동일한 메모리 해킹 방법으로 보안카드 정보를 제외한 금융정보 유출을 하는 것은 물론이고, 사용자가 특정 은행에서 금전을 이체할 때 1]받는 사람의 계좌번호를 공격자의 계좌번호로 몰래 바꾸고, 2]사용자의 계좌 잔액을 파악[공격자가 설정한 기준금액에 맞거나 더 많을 시]한 후 이체하는 금액도 사용자 몰래 수정한다. 이 과정에서 사용자가 입력하는 보안카드 정보는 공격자가 가로채지 않고 정상적으로 은행에 전송되며, 이후 인터넷뱅킹 종료 없이 프로세스 자체는 정상적으로 완료[공격자의 계좌번호 및 수정된 금액으로]된다. 따라서 이 경우 금융기관 입장에서는 정상적인 이체사례여서 이상 징후를 파악하기 불가능하다.

 

인터넷뱅킹을 자주 이용하는 사용자는 피해예방을 위해 사용자 PC를 최신 PC 백신으로 유지하고 실시간 감시를 동작시켜야 한다. 특히 인터넷뱅킹 사용 전에는 귀찮더라도 반드시 최신 백신으로 PC를 사전 검사하는 것이 좋다. 또한, 최초 악성코드의 침입 자체를 막는 것도 중요하다. 이를 위해 믿을 수 없는 사이트 방문 자제, 수상한 이메일의 첨부파일 실행 자제, SNS 및 이메일에 포함된 URL 실행 자제 등 기본 보안 수칙 준수가 필수적이다.

 

현재 V3[기업용 및 개인용]는 해당 악성코드를 모두 진단 및 치료하고 있다.

 

이호웅 안랩 시큐리티대응센터장은 “이번 악성코드의 경우는 긴 추석 연휴기간 중이나 월급날 등 인터넷 뱅킹이 활발하게 일어나는 특정 시기에 더욱 증가 할 가능성이 높다. 인터넷뱅킹 사용자는 금전피해를 보지 않도록 귀찮더라도 최신 백신 업데이트 등 기본 보안 수칙을 준수하는 것이 반드시 필요하다.”라고 말했다.

 

<진화한 메모리 해킹[수정]공격 시나리오>

 

1. 사용자가 보안 취약 사이트 방문 및 기타 다양한 경로로 해당 악성코드에 감염[악성코드 잠복]

 

2. 이후 [악성코드 감염PC]사용자가 [공격자가 미리 설정한] 특정 금융 사이트를 방문 시 악성코드가 해당 사실을 감지

 

3. 악성코드는 사용자의 금융 사이트 방문 시 구동되는 키보드보안솔루션, 공인인증서 등 금융 사이트 구동 시에 사용자 보안을 위해 자동으로 구동되는 보안 보안모듈에 대한 메모리 해킹 공격 감행. 이와 함께, 새롭게 금전 이체 작업 시 은행으로 전송되는 “계좌이체번호”와 “이체금액” 변조

 

4. 금융기관 아이디/비밀번호, 공인인증서 비밀번호 등 개인[금융]정보 탈취함과 동시에, 피해자가 이체작업 시 이체 계좌번호를 공격자의 계좌번호로 바꾸고 금액도 변경. 이체 금액 변경은 미리 사용자의 잔액을 파악한 뒤, 공격자가 설정한 기준과 맞거나 더 많을 시 작동

 

<지난 메모리 해킹[수정] 악성코드와 차이점>

 

- 기존 메모리 해킹 악성코드: 각 타깃 은행 별 보안 모듈의 메모리를 해킹[수정]해 보안 모듈을 무력화 -> 인터넷뱅킹 로그인 ID/PW, 공인인증서 비밀번호, 보안카드 번호 등 금전 이체에 필요한 정보 탈취 -> 인터넷 뱅킹 프로세스 강제 종료 [인터넷뱅킹 비성사 건에 대해 동일한 보안카드 번호를 요구하는 점을 악용해 금전 탈취]

 

- 이번 이체정보 변경 악성코드: 각 타깃 은행 별 보안 모듈의 메모리를 해킹[수정]해 보안 모듈을 무력화 -> 인터넷뱅킹 로그인 ID/PW, 공인인증서 비밀번호 등 금융정보 탈취, 보안카드 정보는 탈취하지 않음 -> 이체 실행 시, 수신인의 계좌번호를 공격자가 원하는 계좌번호로 변경, 조건 충족 시 이체 금액도 변경 -> 인터넷뱅킹 프로세스 정상 종료

 

항목

기존 메모리해킹 악성코드

이번 이체정보 변경 악성코드

비 고

보안 모듈 메모리 해킹[수정]여부

타겟은행에서 사용하는 보안 모듈의 메모리를 해킹[수정]해 보안 모듈을 무력화

타겟은행에서 사용하는 보안 모듈의 메모리를 해킹[수정]해 보안 모듈을 무력화

동일

보안카드 정보 탈취

보안카드 정보 1회 탈취 [은행 서버로 전송 안됨]

보안카드 정보 탈취하지 않음 [은행 서버로 정상 전송]

 

인터넷뱅킹 프로세스 종료여부

탈취한 보안카드 정보를 이용하기 위해 사용자의 인터넷뱅킹 프로세스 종료

받는 사람의 계좌정보 및 금액을 변경하는 형태이므로 인터넷뱅킹 프로세스 종료하지 않음

 

최종 금전탈취 방법

인터넷뱅킹 비성사 건에 대해 동일한 보안카드 번호를 요구하는 점을 악용해 탈취한 보안카드 정보 및 금융 정보로 금전 이체 및 인출

특정 은행 고객이 인터넷뱅킹으로 이체 실행 시 중간에서 받는 사람의 계좌정보와 금액[기준 충족 시]만 변경. 즉 사용자가 공격자에게 직접 금액을 전송하는 형태

 

 

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 올해 8월, 스미싱 악성코드 전월 대비 2배 이상 급증 

- 소액결제에서 금융정보 훔치는 악성코드로 진화 

- 주소록 내 모든 연락처로 스미싱 문자 발송하는 신종 악성코드도 발견 

- 메시지 내 URL 실행 자제, ‘알 수 없는 출처(소스)’의 허용 금지 설정, 백신으로 주기적 검사, 앱 다운로드 전 평판 확인 등 필요 


안랩[대표 김홍선, www.ahnlab.com]은 최근 스미싱[보충자료1] 악성코드가 급증하고 있다며 스마트폰 사용자의 주의를 당부했다.

 

안랩은 내부 집계 결과[보충설명2] 지난 2012년 12월까지 스미싱 악성코드가 매월 각 1~10개 이내로 발견되었으나 2013년 1월 68개로 늘어난 이후 2월 174개, 3월 262개로 늘어났으며 5월 들어서 345개를 기록, 300개를 넘어선 이후 8월 들어 725개로 전월 대비 2배 이상 증가했다고 밝혔다. 2012년 한 해 동안 발견된 스미싱 악성코드가 전체 29개인 데 비해 2013년 1월부터 8월까지 총 2,433 개가 발견되어 무려 84배나 증가했다.

 

안랩은 특히 8월에 발견된 스미싱 악성코드 725개 중 실제 금전 피해를 입히는 체스트 악성코드가 252개에 달해 34.8%를 차지한다고 언급했다.

 

또한 8월에 발견된 체스트 악성코드 중 일부는 변종인 것으로 밝혀졌다. 변종 체스트 악성코드는 스마트폰 사용자의 모든 SMS[Short Message Service]를 탈취하며, 스마트폰에 저장된 정상적인 은행 앱을 삭제하고 악성 앱을 설치해 사용자의 금융정보를 탈취하는 것으로 분석됐다.

 

기존의 단순 소액결제[30만원 이하]를 노리던 것에서 금전 피해 규모가 커질 우려가 있는 [사용자의]금융정보를 훔치는 형태로 진화하였다. [변종 체스트 악성코드가 탈취하는 금융정보는 스마트폰 사용자의 계좌번호, 비밀번호, 보안카드 일련번호, 보안카드 번호 등[공인인증서 제외]이다.]

 

지난 해 처음 발견된 체스트는 스마트폰 사용자의 통신사 정보와 그에 따른 SMS를 탈취해 소액결제를 노리는, 실제 금전 피해를 야기한 최초의 모바일 악성코드이다.

 

8월에는 이 밖에도 인터넷으로부터 악성 앱을 다운로드해 설치하고, 스마트폰 내 주소록에 있는 모든 연락처로 스미싱 메시지를 배포하는 신종 악성코드 "뱅쿤"[보충자료 3]도 새롭게 확인되었다. [진단명:Android-Downloader/Bankun]

 

이호웅 안랩 시큐리티대응센터장은 “스미싱을 이용한 범죄가 날로 지능화하고 있다. 안랩 V3모바일 등 정상 앱을 사칭하는 것은 물론이고, 최근 모바일 청첩장이나 돌잔치 초대장을 가장해 사용자의 주소록을 활용하여 대량으로 유포하는 형태가 등장하고 있어, 각별한 주의가 필요하다”고 말했다.

 

스미싱 피해를 줄이기 위해 사용자는 SNS[Social Networking Service]나 문자 메시지에 포함된 URL 실행을 자제하고, 모바일 백신으로 스마트폰을 주기적으로 검사해야 한다. 또한 사용자들은 “알 수 없는 출처[소스]"의 허용 금지 설정을 해두어야 하며 반드시 정상 마켓을 이용해야 한다. 하지만, 정상 마켓에도 악성 앱이 올라오는 경우가 있어, 앱을 다운로드하기 전에 평판 등을 반드시 확인해 보는 것이 중요하다.

 

안랩은 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군] 스마트폰에 기본탑재 방식으로 V3 모바일을 제공하고 있다.

 

--------<보충자료>--------

 

1. 스미싱

스미싱은 문자메시지[SMS]와 피싱[Phishing]의 합성어로 스마트폰 이용자가 인터넷 주소를 클릭하면 악성코드가 설치되며 이를 보낸 해커가 결제정보 등 개인정보를 빼돌리는 신종 사기 수법이다.

 

2. 스미싱 동향 조사 요약

안랩은 스미싱 동향 조사 결과 2013년 1월부터 8월까지 총 2,433 개의 악성코드가 수집되었다고 밝혔다. 2012년 한 해 동안 발생한 스미싱 악성코드는 29개로 작년 대비 무려 84배나 증가했다.

 

스미싱 악성코드는 2012년 말부터 본격적으로 발견되기 시작해 현재까지 매월 지속적으로 증가하고 있다. 2013년 5월부터는 급격히 증가하기 시작해 3 달간 월평균 330건~350건의 악성코드가 수집 되었으며, 특히 8월에는 700건 이상이 접수되는 등 스미싱을 노린 악성코드가 2배 이상 급증하였다.  


3. 뱅쿤[Bankun] 악성코드

스마트폰에 설치된 정상 은행 앱을 삭제한 후 악성 은행 앱 설치를 유도하는 악성코드. 또한 사용자의 주소록 정보를 외부로 유출하고 주소록에 저장된 번호로 스미싱 문자를 발송하는 것으로 밝혀진 악성코드이다. [진단명: Android-Downloader/Bankun]

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

-접속자 수 많으면서 보안 취약한 여행사 홈페이지에 악성코드 몰래 삽입 

-웹사이트 방문만으로도 금융정보 노리는 파밍 악성코드 설치 

-백신 업데이트, 수상한 메일 첨부파일 실행 금지 등 보안수칙 준수 


많은 직장인이 애타게 기다려온 여름 휴가가 있는 8월이다. 하지만 휴가철을 맞아 들뜬 마음으로 여행을 계획하는 사이에 자신의 금융정보가 유출될 수도 있다.

 

안랩[대표 김홍선, www.ahnlab.com]은 최근 각종 여행상품을 판매하는 여행 전문 웹사이트에서, 금융정보를 유출하는 악성코드 유포가 발견되어 사용자들의 주의가 필요하다고 발표했다.

 

이번 악성코드는 휴가철을 맞아 접속 빈도가 높아진 온라인 여행사의 홈페이지에 삽입되어 자동으로 설치되는 것이 특징이다. 따라서 사용자가 보안이 소홀한 여행사 홈페이지를 방문하기만 해도, 해당 홈페이지에 몰래 삽입된 악성코드가 자동으로 사용자 PC를 감염시킨다.

 

이 때 다운로드 되는 악성코드는 사용자의 금융정보를 탈취하기 위해, 공격자가 만들어 놓은 파밍사이트로 사용자의 접속을 유도하는 기능을 가지고 있다. 즉, 이 악성코드에 감염된 PC에서 사용자가 정상적인 금융사이트로 접속해도, 악성코드가 미리 설정해 놓은 가짜 뱅킹 사이트로 연결된다. 이후 사용자가 입력한 보안카드 번호, 계좌 비밀번호 등의 금융정보가 제작자에게 전송된다. 현재는 해당 홈페이지에 접속해도 악성코드 다운로드는 중지된 상태이다.

 

또한, 휴가를 다녀온 후 자주 받게되는 영수증 문서로 위장한 악성코드도 함께 발견되었다. 이 악성코드는 사용자가 이메일에 첨부된 영수증 위장 문서를 열면, 자동으로 PC에 설치된다. 이 악성코드는 방화벽 설정을 해제해, 원래 방화벽이 막아놓았던 외부 통신을 가능한 상태로 만들어 놓는다. 이 상태에서는 특정 서버로의 정보 유출이나 원격 접속 등 다양한 공격이 가능하다.

 

안랩 이호웅 시큐리티대응센터장은 “휴가철을 맞아 온라인 여행사 방문이 증가하고 있다. 하지만 사용자의 조그만 부주의로, 자신의 금융정보가 유출될 수 있다. 따라서 백신을 항상 최신으로 업데이트하고,신뢰할 수 없는 사이트 방문을 자제, 수상한 메일 첨부파일 실행을 금지하는 등 기본적인 보안수칙을 지키는 것이 중요하다”라고 말했다. 

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원