암호화폐 시장이 달아오름과 동시에 채굴 방식 또한 점차 다양해지고 있다. PC에 악성 채굴기 실행파일을 몰래 설치하는 악성코드뿐만 아니라[각주:1], 웹 브라우저를 기반으로 하여 암호화폐를 채굴하는 방식이 2017년부터 폭증하고 있다. 

웹 브라우저 기반으로 동작하는 마이닝 방식은 기존의 실행 파일 기반과는 다르게 악성 자바스크립트(JavaScript)를 이용해 동작한다. 자바스크립트는 추가로 악성 자바(JAVA) 파일 또는 웹어셈블리(WebAssembly) 파일을 로드할 수 있으며, 해당 웹 페이지에 접속했을 때 접속자는 개인 하드웨어 자원을 이용하여 채굴을 하게 되고 그 결과는 공격자의 지갑 주소에 전송된다. 

파일 기반의 악성코드는 최종 페이로드를 사용자 시스템에 전달하기 위해 파일 다운로드 후 실행하기까지 과정이 필요하지만, 웹 기반의 마이닝 악성코드는 단순 웹 페이지 접속 조건만을 만족하면 되기 때문에 공격자 입장에서는 좀 더 손쉬운 채굴 방식이 될 수 있다.

웹 브라우저를 이용한 최초의 마이닝 방식은 암호화폐 가격이 지금보다 낮았던 2011년에 이미 확인된 바 있다. ‘Bitcoin Plus’란 이름의 서비스는 비트코인을 채굴할 목적으로 작성된 자바스크립트를 제공하였다. 이 스크립트는 악성 자바아카이브(JAR) 파일을 다운로드 하고 자바 실행 환경의 시스템에서 채굴하였다.

<script src="http://ajax.googleapis.com/ajax/libs/jquery/1.6.1/jquery.min.js" type="text/javascript"></script>

<script src="http://www.bitcoinplus.com/js/miner.js" type="text/javascript"></script>

<script type="text/javascript">BitcoinPlusMiner("donny@bitcoinplus.com")</script>

miner.js - 악성 JAR 파일 bitcoinplus-miner.jar 로드

bitcoinplus-miner.jar - 실제 마이닝 기능을 수행

최근에는 암호화폐 종류가 다양해지고 마이닝이 인기가 높아짐에 자바스크립트 마이너 파일 역시 다양하게 제작, 유포되고 있다. 대표적으로는 CoinHive (XMR 채굴)이 있으며 이 외에도 CryptoNoter(XMR, BCN, ETN), DeepMiner(XMR, ETN 외) 등 다양하다. 이러한 마이너 파일들은 GitHub 등 저장소에 소스가 공개되어 있어 접근하기도 쉽다. 자바스크립트 파일 외에 지갑 주소, 프록시, 스레드 개수 등을 설정하는 Config 파일을 별도로 구현하기도 하며 이는 마이너마다 차이가 있다.

공격자는 다음과 같은 방식 등을 이용하여 악성 마이너 파일을 웹 브라우저에 로드할 수 있다. 

  • 개인 사이트 또는 블로그에 악성 자바스크립트 포함
  • 해킹으로 탈취한 사이트에 악성 자바스크립트 포함 (Ex. iframe 태그 이용)
  • 정상 사이트에 포함된 광고 배너에 악성 자바스크립트 포함
다음은 최근 접수된 샘플로 ad1.html 이름의 광고성 페이지 안에 악성 자바스크립트 파일을 로드하는 코드가 삽입되어 있다.

ad1.html – 마이닝 목적의 자바스크립트 파일 로드

로드 된 deepMiner.js 파일은 다음과 같이 난독화 되어 있는 파일이다. 소켓 관리, 마이닝 기능 수행 시작 등 실질적인 기능에 대한 구현 부분만 포함하고 있으며 접속 풀 주소, 호스트, 포트 등의 기본 정보는 파일 내에 없다. 이 부분은 서버에 업로드 된 별도의 설정 파일로 구현 되어있을 것으로 보인다. 

deepMiner.js – 난독화 되어 있음

ad1.html 페이지 접속시 로드 된 deepMiner.js 파일은 채굴을 위한 CryptoNight 알고리즘 수행을 위해 worker.min.js 파일을 로드한다. 

추가 파일 로드

worker.min.js 파일 또한 난독화 되어 있는데 이 파일은 유포지의 /lib/ 경로에 존재하는 해시 알고리즘 구현 파일인 cryptonight.asm.js 파일 또는 cryptonight.wasm 웹어셈블리 파일을 로드하여 메모리에 올리는 역할을 한다. 웹어셈블리 파일은 웹 브라우저 상에서 실행 가능한 컴파일된 바이너리로서 자바스크립트(인터프리터 방식)보다 훨씬 빠른 속도로 실행 가능하다. 다만 웹어셈블리 WASM 파일은 컴파일 된 형태이기 때문에 외형만 봐서는 그 기능을 파악하기 어렵다. 따라서 이를 웹어셈블리를 텍스트 형식 파일인 WAT 파일로 변환하면 부분적으로 그 기능을 파악할 수 있다. 

웹어셈블리 파일 – 해시 알고리즘 구현

웹어셈블리 파일 텍스트 포맷 – 해시 알고리즘 구현

웹어셈블리를 이용한 것은 채굴을 좀 더 빠르고 효과적으로 하기 위한 방식으로, 최근 발견되는 악성코드는 대부분 해시 알고리즘 부분을 웹어셈블리 파일로 구현하여 로드하는 것으로 확인된다.

참고로 웹어셈블리는 브라우저 종류와 버전에 따라 지원 여부가 다르다. 만약 지원하지 않는 브라우저 환경일 경우에는 원본 코드인 자바스크립트 파일을 로드한다. 작성 기준 현재 Internet Explorer 는 웹어셈블리를 지원하지 않는다.[각주:2] Internet Explorer 로 ad1.html 페이지를 방문한 사용자는 웹어셈블리 파일 대신 asm.js 자바스크립트 파일이 로딩된다. 

최종적으로 마이닝 기능을 위한 파일이 모두 로드 되면 웹 브라우저의 CPU 사용량이 급등하며 채굴 기능이 수행된다. 

지금까지 살펴본 바와 같이 암호화폐 채굴 악성코드는 채굴자 개인의 PC 자원 혹은 다른 사람의 자원을 이용하기 위해 최근 들어서 그 수가 증가하고 있다. 웹 브라우저에 로드되어 마이닝 기능을 수행되는 방식은 웹브라우저를 종료하면 그 기능이 종료되고 현재까지는 채굴 이외의 기능은 확인되지 않고 있다. 하지만 사용자의 시스템 자원을 무단으로 이용하고 불특정 다수를 대상으로 악성 행위를 하기 때문에 주의를 기울일 필요가 있다. 

V3 제품군에서는 다음과 같은 진단명으로 탐지하고 있다.

  • HTML/CoinMiner
  • JAVA/CoinMiner
  • JS/CoinMiner
  • WASM/Cryptojs


  1. http://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?curPage=3&menu_dist=2&seq=26900&key=&dir_group_dist=&dir_code= [본문으로]
  2. https://caniuse.com/#search=webassembly [본문으로]
Posted by 분석팀

- 악성코드와 공격기법의 고도화, 국가간 사이버보안 위협 증대, 침투경로의 다양화 등 사이버 공격이 더욱 교묘해지고 심화될 것으로 예측


안랩[대표 권치중, www.ahnlab.com]은 ‘2014년 예상 7대 보안 위협 트렌드’를 발표했다. 이에 따르면 2014년 예상되는 주요 이슈는 ►APT방식의 악성코드 고도화와 표적[target] 확대 ► 전자금융사기와 사이버범죄의 산업화 가속 ►악성코드 유포 방법의 다양화 및 고도화 지속 ►윈도XP 지원 종료에 따른 보안 위협 증가 ►특정 표적을 노린 소규모 모바일 악성코드 ►사이버 보안에 대한 국가적 인식 변화 ►펌웨어 업데이트에 악성코드 포함 시도 증가 등이다.

 

1] APT방식의 악성코드 고도화와 표적[target] 확대

2013년까지 기업이나 기관 등 특정 표적만을 노려 고도화된 악성코드를 이용해 정보유출이나 시스템 파괴를 노린 APT[Advanced Persistent Threat, 지능형 지속 공격] 공격이 큰 문제로 등장했다. 2014년에는 APT와 같은 지능형 공격의 표적이 확대되어, 일반 PC사용자를 노린 악성코드도 기존 APT 공격과 구분이 되지 않을 정도로 고도화될 것으로 예상된다. 이와 함께, 게임머니 탈취하기 위한 온라인 게임핵[OnlineGameHack] 부류와 금융정보를 탈취하기 위한 금융 악성코드 부류의 기능이 구분되지 않을 정도로 유사해져 가는 것, 혹은 APT공격과 제로데이 취약점을 노리는 워터링홀[보충설명 참조] 공격의 구별이 없어지는 등 악성코드 간의 기능이 융합될 것으로 예상된다. 특히 금전적 이익을 위해 무차별적인 악성코드 유포를 통해 비트코인 채굴을 시도하는 사례가 국내에도 등장할 것이다.

[보충자료] 워터링 홀[Watering hole] 공격: 알려지지 않은 취약점을 활용해 악성코드를 유포하는 방법 중 하나로, 악성코드를 특정 웹사이트에 심어두고 사용자가 해당 사이트에 접속하면 악성코드가 PC로 배포되는 형태의 공격 기법

 

2] 전자금융사기와 사이버범죄의 산업화 가속

2013년 악성코드를 이용한 전자금융사기 피해사례들을 보면 피싱, 파밍, 보이스 피싱, 스미싱, 메모리 해킹 등 다양한 수법들이 사용되었다. 이렇듯 매년 사용자의 금융정보와 예금을 탈취하기 위해서 악성코드에 사용한 기술들이 점차 정교화, 고도화되고 있다. 2014년에도 악성코드 제작자들은 응용 프로그램 취약점, 정상 프로그램 변조, USB와 같은 외부 저장 매체 접근 등 다양한 방법을 통해서 악성코드 유포를 시도할 것을 보인다. 또한, 지금의 인터넷뱅킹과 같은 온라인상에서 돈을 취급하는 특정 금융 서비스를 대상으로 하는 공격이 증가할 것으로 예상된다. 따라서 금전을 노린 사이버 범죄의 산업화가 가속화될 것이다.

 

3] 악성코드 유포 방법의 다양화 및 고도화 지속

2014년에는 악성코드 유포 방법이 더 다양해지고 고도화될 것으로 예상된다. 지금까지는 불특정 다수에게 악성코드를 대량으로 유포하고 목적에 따라 변종을 유포하는 방식이 많았다. 2014년에는 기존의 방식 외에 손쉽게 악성코드를 대량으로 유포할 수 있는 새로운 형태의 유포 방법이 등장할 가능성이 높다. 예를 들어, 다수 사용자가 접속하는 CDN[Content Delivery Network, 컨텐츠 전달 네트워크]이나 도메인 관리업체, ISP[Internet Service Provider, 인터넷 서비스 제공자]업체를 통해 다수 악성코드를 배포하는 공격방식이 증가할 수 있다. 따라서 2014년에는 인터넷 서비스 관리자들의 주의가 필요할 것으로 보인다.

 

4] 윈도XP 지원 종료에 따른 보안 위협 증가

2014년 4월 8일, 윈도XP에 대한 모든 지원이 종료되며, 이후 발견된 취약점에 대한 보안 업데이트도 더는 제공되지 않는다. 따라서 지원 종료 이후 보안 위협에 대한 보호는 백신, 방화벽 등 PC용 보안 솔루션에 전적으로 의존할 수 밖에 없다. 또한, 현재 윈도XP는 인터넷 익스플로러[IE] 9 이상 버전을 지원하지 않고, 악성코드 감염에 취약한 IE 6~8 버전이 주로 사용되고 있어 보안위협에 노출될 가능성이 높다. 윈도우 XP사용자는 윈도7 또는 8 등으로 업그레이드하는 것이 필요하다.

 

5] 특정 표적을 노린 소규모 모바일 악성코드

2014년에는 모바일 악성코드를 활용해 특정 대상을 감시하거나 정보를 유출하는 소규모 모바일 악성코드가 등장할 가능성이 높아질 것으로 예상된다. 2013년에 사회적 문제로 떠오른 다양한 스미싱 악성코드는 대량 유포를 목적으로 했기 때문에 발견이 빠른 측면이 있었다. 하지만 만약 악성코드 제작자가 악성코드를 불특정 다수에 유포하지 않고, 특정 기업 내부 기밀유출이나 감시를 목적으로 소량만 유포한다면 발견이 어려워질 수 있다. 이런 점을 노린 ‘다품종 소량’ 스파이앱이 등장할 수 있다.

 

6] 사이버 보안에 대한 국가적 인식 변화

2013년 미국 국가안보국[NSA]의 광범위한 정보수집을 폭로하는 문건과 특정 국가가 미국을 거점으로 하는 기업과 최소 141개 기관의 데이터 유출을 시도하는 등 다양한 국가간 정보수집 사건이 발생했다. 국가를 대상으로 하는 수 많은 정보 수집 전쟁의 실체가 드러난 것처럼, 2014년에는 이러한 국가 간 사이버 전쟁이 더욱 정교화 되고 가속화 될 것으로 예상된다. 이에 따라 사이버 공격과 데이터 유출의 피해를 줄이기 위한 암호화와 보안기술 역시 요구될 것으로 보인다.

 

7] 펌웨어 업데이트에 악성코드 포함 시도 증가

펌웨어는 기본적으로 소프트웨어지만 하드웨어적인 요소도 포함되어 있다. 즉, 하드웨어에 내장되어 기본 동작을 관리하는 프로그램이다. 2013년 4월에 펌웨어의 일종인 바이오스[BIOS]를 만드는 한 업체의 소스코드 유출이 있었고, 10월에는 특정 회사의 제품 속 펌웨어에 백도어가 포함된 것이 확인되었다. 러시아에 수출된 중국산 가전제품에 무선 인터넷에 접속해 악의적인 기능을 할 수 있는 칩이 포함되어있다는 일부 외신 보도도 있었다. 국가 간 사이버 위협이 현실화되는 환경에서 하드웨어나 펌웨어 등에 악의적인 기능을 수행하는 코드를 포함하는 공격이 시도될 것으로 예상된다.

 

안랩 시큐리티대응센터 이호웅 센터장은 "사이버공격은 점점 지능화, 고도화되며 사용자를 위협하고 있다. 2014년에 예상되는 보안위협의 큰 흐름은 악성코드와 공격기법의 고도화, 국가간 사이버보안 위협 증대, 침투경로의 다양화로 정리할 수 있다. 개인과 기관, 기업은 충분한 보안의식을 가지고 이에 대비해야 한다”고 말했다.

Posted by 비회원

이번 악성코드의 유포방식은 10월에 알려진 변형들은 IE 제로데이 취약점을 사용하였다. 


2013년 10월9일 보안패치가 나온 것을 감안 하면 그 이전부터 유포가 진행되었을 가능성이 높으며, 취약점 패치를 하지 않은 PC에는 여전히 유포 가능성이 존재한다. 아울러, CDN 서비스 업체인 G사를 통해 서비스 운영 중인 웹 사이트가 악성코드 배포지 중 일부로 악용된 것으로 추정된다. 


Microsoft Security Bulletin MS13-080 - 긴급

Internet Explorer 누적 보안 업데이트 (2879017)


아래 그림은 IE 제로데이 취약점을 통해 감염이 이루어지는 과정을 나타낸다. 붉은색 블록으로 표시한 파일이 실제 핵심적인 기능을 수행하며, "악성코드 다운로드" 및 "관리자 페이지 계정정보 유출" 기능을 갖고 있다. 



위 그림에 존재하는 swf.jsguy2.html 파일을 iframe 태그로 로딩하는 기능을 가지고 있으며, guy2.html 은 다음의 2가지 기능을 가지고 있다. 


특정 국산 백신들에 대한 무력화 시도 

특정 사이트로부터 파일을 다운로드하고 실행


swf.js는 난독화가 되어 있으며, 이를 해제한 내용은 다음과 같다. 



guy2.html 에 존재하는 쉘코드는 Explorer.exe 프로세스에 코드를 인젝션 한 후 백신들을 무력화(삭제) 하기 위하여 레지스트리를 확인한다. 


백신 무력화에 성공한 이후,  아래 URL에서 파일을 다운받아 저장하고, 저장된 main001.gif 파일을 읽어서 첫 2바이트를 MZ 로 패치한 후 실행한다.  


http://***.***.***.***/mii/fird.gif

C:\DOCUME~1\(사용자계정명)\LOCALS~1\Temp\main001.gif


 * 쉘코드에 의한 백신 무력화 기능으로 인해, 기진단 샘플임에도 불구하고 백신이 무력화 된 상태에서 악성코드가 다운될 것으로 추정됨 

 * 단, V3Lite 3.0은 IP/URL 차단기능으로 인해 사전 차단이 가능함

Fird.gif 는 드롭퍼와 다운로더 기능을 가지고 있다. 생성되는 파일의 경로는 다음과 같다.

- c:\windows\system32\drivers\fironancosftccorpds.sys ( 또는 firanhncorpds.sys ) 

생성되는 드라이버 파일 fironancosftccorpds.sys 은 다음 백신들의 무력화를 시도 한다.

MpfSrv.exe

mcsysmon.exe

McNASvc.exe

Mcshield.exe

McProxy.exe

mcagent.exe

MsMpEng.exe

MpCmdRun.exe

msseces.exe

vmacthlp.exe

VMUpgradeHelper.exe

RSUpdSrv.rse

RSAgent.rse

RSRTSrv.rse

vcrmon.exe

SpiderNT.exe

vrmonnt.exe

vrmonsvc.exe

HFACSvc.exe

vrptsvc.exe

vrscan.exe

hpcsvc.exe

vrfwsvc.exe

hUpSvc.exe

hVrCommandSvc.exe

hVrMalSvc.exe

hVrTray.exe

AYRTSrv.exe

AYUpdSrv.exe

AYAgent.exe

AYRTSrv.aye

AYServiceNT.aye

AYUpdSrv.aye

ALYac.aye

AYUpdate.aye

AYAgent.aye

sgsvc.exe

Nsavsvc.npc

Nsvmon.npc

NVCAgent.npc

Nsavsvc.exe

Nsvmon.exe

NVCAgent.exe

NVCUpgrader.exe

NaverAgent.exe

NVCUpgrader.npc

avp.exe

AvastSvc.exe

avsx.exe

AvastUI.exe

ashUpd.exe

V3IMPro.exe

V3P3AT.exe

MonSysNT.exe

MonSvcNT.exe

v3impro.exe

v3p3at.exe

monsysnt.exe

monsvcnt.exe

AhnSD.exe

AhnSDsv.exe

ASDCr.exe

ASDCli.exe

ASDUp.exe

V3LNetdn.exe

V3LiteExp.exe

ASDSvc.exe

V3Lite.exe

V3LSvc.exe

V3LTray.exe

V3Light.exe

V3Medic.exe

V3LRun.exe

MUpdate2.exe

 

 


그리고 다음 경로에서 파일을 다운로드 및 실행한다.

- hxxp://***.***.***.***/mii/firw.gif

Firw.gif 는 드롭퍼 기능을 갖는다. 백신들을 무력화 하고 특정 사이트들의 관리자 계정과 온라인 게임들의 사용자 계정을 훔쳐낸다. 

그리고 특정 사이트들로부터 랜덤.jpg 파일을 무한히 요청하는 시도를 한다. 해당 악성코드에 의해 드롭되는 파일은 다음 경로에 생성된다.

- c:\windows\olesau32.dll
c:\windows\svchost.exe
c:\windows\system32\drivers\ahnurla.sys

olesau32.dll은 크게 다음의 3가지 주요 기능을 가지고 있다. 

랜덤명.jpg" 파일을 특정 사이트들에게 무한 요청 시도를 함으로써 DDoS를 유발 (도메인 리스트 A 참고)

관리자 계정 유출 (도메인 리스트 B참고, 최근에 발견된 변형에서 이 기능은 제외됨)

온라인 게임 사용자 계정 유출

현재 국내 무료 백신들을 테스트한 결과 olesau32.dll을 진단하지 못하고 있음

Svchost.exe 는 랜덤명.jpg 파일을 특정 사이트들에게 무한 요청 시도를 함으로써 DDoS를 유발하는 기능만을 (도메인 리스트 A 참고) 가지고 있다.  



상기 도메인 리스트(A)은 실제 파일이 존재하지 않을 경우에 웹 서버에 부하를 발생시키는 DDoS를 유발하며, 변종 마다 전체 도메인에 대한 요청 주기가 차이가 날 것으로 추정된다. 


그러나, 해당 파일이 존재할 경우 추가 악성코드 유포로 악용될 수 있으며, 실제 아래 URL의 경우, 지난 7월에 악성코드 배포 이력을 가지고 있는 것을 확인하였다. 



루트킷 기능을 가지고 있으며, ahnurla.sysolesau32.dll을 은폐한다. 또한, 다음 백신 관련 프로세스들에 대해 무력화를 시도한다. 

RSUpdSrv.rse

RSAgent.rse

RSRTSrv.rse

vcrmon.exe

SpiderNT.exe

vrmonnt.exe

vrmonsvc.exe

HFACSvc.exe

vrptsvc.exe

vrscan.exe

hpcsvc.exe

vrfwsvc.exe

hUpSvc.exe

hVrCommandSvc.exe

hVrMalSvc.exe

hVrTray.exe

AvastSvc.exe

avsx.exe

AvastUI.exe

ashUpd.exe

avp.exe

V3IMPro.exe

V3P3AT.exe

MonSysNT.exe

MonSvcNT.exe

v3impro.exe

v3p3at.exe

monsysnt.exe

monsvcnt.exe

AhnSD.exe

AhnSDsv.exe

ASDCr.exe

ASDCli.exe

ASDUp.exe

V3LNetdn.exe

V3LiteExp.exe

ASDSvc.exe

V3LSvc.exe

V3LTray.exe

V3Light.exe

V3Medic.exe

V3LRun.exe

MUpdate2.exe

AYRTSrv.exe

AYUpdSrv.exe

AYAgent.exe

AYRTSrv.aye

AYServiceNT.aye

AYAgent.aye

AYUpdSrv.aye

ALYac.aye

AYUpdate.aye

Nsavsvc.npc

Nsvmon.npc

NVCAgent.npc

Nsavsvc.exe

Nsvmon.exe

NVCAgent.exe

NVCUpgrader.exe

NaverAgent.exe

NVCUpgrader.npc

 

 

 


"관리자 계정 정보 노린 악성코드 출현!" 이라는 기사에서 다뤄진 다수의 악성코드 분석 결과로 미루어 볼때 국내 온라인 게임 사용자 계정정보 수집 기능과 변형에 따라서 특정 URL 접근시, 계정 ID, PW 를 유출한다. 

도메인 리스트 (A) 에 있는 자사의 웹 페이지들(www.ahnlab.com, m.ahnlab.com, www.v3lite.com)에 대해 10월 28일부터 10월 31일까지 4일 동안 공격을 시도한 IP를 조사한 결과, 중복되지 않는 IP 47만대로부터 공격 시도가 확인 되었다. 

또한,  일자별 공격 IP를 보면 10월 29일 30만대로 급증한 후에 계속 그 수준을 유지하고 있다. 따라서, 해당 악성코드가 감염된 PC들이 상당히 많이 존재하고 있음을 알 수 있다. 


다음은 안랩 대상 공격 IP들에 대한 국가별 분포도이며, 대부분이 국내에 존재하고 있음을 확인할 수 있다. 





IE 취약점을 이용해 배포되고 있는 악성코드는 백신 무력화와 은폐 기능을 가지고 있으며 일부 파일에 대해서는 미진단 상태로 확인되었다. ( 단, V3Lite 3.0은 사전 차단 가능 확인 )


따라서, 안랩 웹 사이트를 대상으로 공격을 시도하고 있는 IP들은 대부분 백신이 무력화 되어 있거나, 미진단 상태의 악성코드에 감염된 것으로 추정된다. ( 구 버전 V3Lite 2.0 사용자, 타사 백신 사용자, 백신 미사용자 )


해당 악성코드는 존재하지 않는 파일에 대한 무한 요청으로 인해 DDoS를 유발하며, 국내 온라인 게임 사용자 계정 정보 수집과 특정 URL 접근 시 계정 정보를 유출하는 기능도 가지고 있다. 특히, 특정 URL의 경우 기업 내 관리자들이 접근하는 주소로 판단된다. 


현재 악성코드의 기능과 확산 상태로 볼 때, 계정 정보 유출, 기업 내부 장악, DDoS 등 다양한 목적으로 악용이 가능하며, 추가 피해를 차단하기 위해서는 대응책 마련이 매우 시급한 상태이다. 


악성코드의 기능과 확산 정보로 볼 때, 단순한 엔진 업데이트를 통한 치료로는 한계가 존재하기 때문에 전용백신을 통한 치료가 필요한 상황이다. 


IE 취약점을 이용해 배포되고 있는 만큼, IE 취약점 패치에 대한 적극적인 권고가 필요하다.


Posted by 비회원

- 어제(10월 24일) 오후부터 발생, 악성코드 확산 범위 큰 것으로 예상

- 포털, 언론사, 게임사를 포함한 13개 기업 16개 웹사이트  대상

- 안랩 V3 엔진 긴급 업데이트 조치, 사용자는 V3 업데이트 후 검사 필수

 

안랩(대표 김홍선, www.ahnlab.com)은 24일 오후 16시 경부터 국내 16개 웹사이트를 대상으로 디도스(DDoS; Distributed Denial of Service, 분산 서비스 거부) 공격이 발생하고 있다고 발표했다.

 

안랩은 이번에 발생한 디도스 공격이 지난 7월 발견된 악성코드와 최근 발견된 변종 악성코드에 의해 발생한 것으로 보고 있다.

 

안랩 확인결과 25일 현재 디도스 유발 악성코드에 감염이 확인된 PC 대수만 1만대를 넘어 해당 악성코드가 많이 확산 된 것으로 판단(진단된 좀비PC 대수로 볼 때)하고 있다.

 

오늘(10월 25일 오전 09시 현재) 공격 대상은 다음(www.daum.net), 네이트(www.nate.com), MSN(www.msn.com), 티스토리(www.tistory.com), 넥슨(www.nexon.com, user.nexon.com), 한게임(www.hangame.com), 넷마블(www.netmarble.net), CBS(www.cbs.co.kr) 중앙일보(www.joinsmsn.com, www.joins.com),  안랩(www.v3lite.com, m.ahnlab.com) 등 13개 기업 16개 웹사이트이다.

 

안랩 V3는 지난 7월부터 해당 악성코드를 기 진단하고 있었다. 안랩은 당시 PC 사용자가 백신을 설치 하지 않았거나, 업데이트 하지 않는 등 적절한 조치를 취하지 않았을 경우 해당 PC가 감염되어 이번 공격에 이용된 것으로 보고 있다.

 

특히, 안랩은 이번 디도스 공격이 지난 7월의 미치료 좀비PC(백신 미설치나 당시 최신 업데이트를 안 해 감염된 좀비 PC)와, 최근 보안이 취약한 사이트 등에서 배포된 변종 악성코드(안랩 엔진 반영)에 감염된 좀비PC로 인해 발생한 것이므로 백신 검사를 통해 이 악성코드를 삭제하는 것이 근본적인 해결책이라고 밝혔다. 또한, 백신의 실시간 감시를 켜는 것도 필요하다고 말했다.

 

안랩은 현재 ASEC(시큐리티대응센터)과 CERT(컴퓨터침해사고대응센터)를 비롯해 전사 비상 대응 체제를 가동하는 한편, 변종 악성코드를 긴급히 엔진에 반영해 V3는 현재 해당 악성코드를 모두 진단하고 있다. 안랩은 추가 분석을 통해 악성코드에 대한 정보를 지속적으로 제공할 예정이다.

Posted by 비회원

안랩 ASEC에서 2013년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.44을 발간하였다. 


이 번에 발간된 ASEC 리포트는 2013년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다.


1) 악성코드 이슈

메모리 패치형 Banki의 온라인 뱅킹 정보 탈취 기법 분석

고객님, 영수증이 발급되었습니다

아마존 구매 관련 메일로 위장한 스팸 메일

특정 은행 대출 승인 메일로 위장한 스팸 메일

휴가철, 사용자의 휴가비를 노려라!

동영상 재생 프로그램을 이용한 악성코드 유포

토렌트 파일로 위장한 악성코드 주의

Your reservation is now confirmed!’

델타 항공 메일로 위장한 악성코드 유포


2) 모바일 악성코드 이슈

V3 모바일 설치 위장 스미싱 주의!

금융사 피싱 앱 주의


3) 보안 이슈

자바 취약점과 결합된 메모리 해킹

인터넷 뱅킹 보안 대책


ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다. 


ASEC 보안 위협 동향 리포트 2013 Vol.44 발간



Posted by 비회원

- 안랩 V3모바일, 안드로이드 악성코드 99.99%진단율로 전체 공동 1위 기록 

- 배터리 사용량에서도 글로벌 제품과 어깨 나란히 

- 국제 인증에서 높은 성적 잇따라 획득, 글로벌 시장 진출 발판 


글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com]의 모바일 보안 제품인 V3 모바일 2.0[이하 V3 모바일]’이 독립 보안제품 성능 평가 기관인 ‘AV-Comparatives [http://www.av-comparatives.org, 이하 AV 컴패러티브]’에서 2013년 8월에 진행한 성능평가에서 전체 1위의 악성코드 진단율을 기록했다고 밝혔다.

 

이번 테스트는 AV 컴패러티브가 8월에 카스퍼스키, 트렌드마이크로 등 전세계 14개 모바일 보안 제품을 전세계에서 수집한 2,947개의 안드로이드 악성코드 샘플을 사용해 진행했다. 안랩은 이번 테스트에 국내 기업 중 유일하게 참가해 99.9%의 악성코드 진단율로 전체 참가 제품 중 ‘킹소프트[Kingsoft]’와 공동 1위를 기록해, 모바일 보안 분야에서도 글로벌 기술력을 인정받았다.

 

V3모바일은 함께 진행된 설치 시 배터리 사용량 테스트에서도 3%미만을 기록해, 글로벌 제품들과 어깨를 나란히 했다. 악성코드 탐지 이외에 도난 방지[Anti-Theft] 기능, 스팸 전화·문자 방지 기능 등으로 부가 보안 기능에서도 좋은 평가를 받았다.

 

안랩 김홍선 대표는 “전 세계적으로 모바일 보안이 더욱 중요해지고 있는 가운데, 안랩은 지난 AV-TEST에서 좋은 성적에 이어, 이번에 AV 컴패러티브 테스트에서 1위를 기록하는 등 권위있는 보안제품 테스트 기관을 통해 성능을 인정받고 있다. 안랩은 국제 인증으로 증명된 높은 기술력을 바탕으로 국내외 모바일 보안시장 공략을 강화할 것이다”라고 말했다.

 

한편, 이번 AV 컴패러티브의 모바일 보안제품 성능 평가에는 사전 테스트를 거친 글로벌 보안업체의 제품 14개가 참여했다.

 

V3 모바일은 다양한 국제 인증으로 검증된 악성코드 분석 능력과 글로벌 수준의 대응 체제를 바탕으로 신종 모바일 악성코드에 즉각 대응할 수 있다. 또한, 타사 대비 검사 속도와 진단율은 높고, 프로그램 설치 사이즈 및 메모리 사용량과 CPU 점유율은 낮은 것이 강점이다. 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군]의 스마트폰에 기본 탑재되어 있다.

Posted by 비회원

-접속자 수 많으면서 보안 취약한 여행사 홈페이지에 악성코드 몰래 삽입 

-웹사이트 방문만으로도 금융정보 노리는 파밍 악성코드 설치 

-백신 업데이트, 수상한 메일 첨부파일 실행 금지 등 보안수칙 준수 


많은 직장인이 애타게 기다려온 여름 휴가가 있는 8월이다. 하지만 휴가철을 맞아 들뜬 마음으로 여행을 계획하는 사이에 자신의 금융정보가 유출될 수도 있다.

 

안랩[대표 김홍선, www.ahnlab.com]은 최근 각종 여행상품을 판매하는 여행 전문 웹사이트에서, 금융정보를 유출하는 악성코드 유포가 발견되어 사용자들의 주의가 필요하다고 발표했다.

 

이번 악성코드는 휴가철을 맞아 접속 빈도가 높아진 온라인 여행사의 홈페이지에 삽입되어 자동으로 설치되는 것이 특징이다. 따라서 사용자가 보안이 소홀한 여행사 홈페이지를 방문하기만 해도, 해당 홈페이지에 몰래 삽입된 악성코드가 자동으로 사용자 PC를 감염시킨다.

 

이 때 다운로드 되는 악성코드는 사용자의 금융정보를 탈취하기 위해, 공격자가 만들어 놓은 파밍사이트로 사용자의 접속을 유도하는 기능을 가지고 있다. 즉, 이 악성코드에 감염된 PC에서 사용자가 정상적인 금융사이트로 접속해도, 악성코드가 미리 설정해 놓은 가짜 뱅킹 사이트로 연결된다. 이후 사용자가 입력한 보안카드 번호, 계좌 비밀번호 등의 금융정보가 제작자에게 전송된다. 현재는 해당 홈페이지에 접속해도 악성코드 다운로드는 중지된 상태이다.

 

또한, 휴가를 다녀온 후 자주 받게되는 영수증 문서로 위장한 악성코드도 함께 발견되었다. 이 악성코드는 사용자가 이메일에 첨부된 영수증 위장 문서를 열면, 자동으로 PC에 설치된다. 이 악성코드는 방화벽 설정을 해제해, 원래 방화벽이 막아놓았던 외부 통신을 가능한 상태로 만들어 놓는다. 이 상태에서는 특정 서버로의 정보 유출이나 원격 접속 등 다양한 공격이 가능하다.

 

안랩 이호웅 시큐리티대응센터장은 “휴가철을 맞아 온라인 여행사 방문이 증가하고 있다. 하지만 사용자의 조그만 부주의로, 자신의 금융정보가 유출될 수 있다. 따라서 백신을 항상 최신으로 업데이트하고,신뢰할 수 없는 사이트 방문을 자제, 수상한 메일 첨부파일 실행을 금지하는 등 기본적인 보안수칙을 지키는 것이 중요하다”라고 말했다. 

Posted by 비회원

- 안랩 V3모바일, 총 13.0 만점에 12.5점을 기록, AV-TEST 인증 획득 

- 악성코드 샘플 및 PUP(유해 가능 프로그램)를 100% 진단 


글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com]의 모바일 보안 제품인 V3 모바일 2.0[이하 V3 모바일]’이 독립 보안제품 성능 평가 기관인 AV-TEST[www.av-test.org]의 최근 7월 모바일 보안제품 테스트[보충자료 참조]에서 높은 점수로 인증을 획득했다.

 

안랩은 이번 테스트에 국내 기업 중 유일하게 참가해 연속 4회 인증을 획득해 모바일 보안 분야에서도 글로벌 기술력을 인정받았다. 특히, 서구권 위주의 악성코드 샘플이라는 불리한 상황에서도 악성코드 샘플 및PUP[Potentially Unwanted Program, 유해 가능 프로그램]를 100% 진단하고, 총 13.0 만점에 12.5점으로 인증을 획득[8점 이상 인증 통과]했다.

 

이번 테스트는AV-TEST가 7-8월에 시만텍, 맥아피 등 전세계 30개 모바일 보안 제품을 안드로이드 환경에서 진행했다. V3모바일은 이번 테스트에서 악성코드 및 PUP를 모두 진단해 탐지율[Protection]에서 6.0만점을 받았다.

 

또한, 오진 1개를 제외하고 제품 실행 시 단말기의 성능에 미치는 영향 평가에서도 상위권 점수를 기록해 사용편의성[Usability]에서도 6.0만점에 5.5점을 획득했다. 이밖에 악성코드 탐지 이외에 도난 방지[Anti-Theft] 기능, 스팸 전화·문자 방지 기능 등으로 부가 보안 기능에서도 추가 점수를 획득했다.

 

안랩 김홍선 대표는 “전 세계적으로 스마트폰이 보편화될 뿐만 아니라 이를 통한 업무 활동도 증가하면서 모바일 보안이 더욱 중요해지고 있다. 안랩은 국제 인증으로 증명된 높은 기술력을 바탕으로 국내외 모바일 보안시장 공략을 강화할 것이다”라고 말했다.

 

한편, 이번 AV-TEST의 모바일 보안제품 성능 평가에는 글로벌 보안업체 30곳이 참여해 27개가 테스트를 통과했다.

 

V3 모바일은 다양한 국제 인증으로 검증된 악성코드 분석 능력과 글로벌 수준의 대응 체제를 바탕으로 신종 모바일 악성코드에 즉각 대응할 수 있다. 또한, 타사 대비 검사 속도와 진단율은 높고, 프로그램 설치 사이즈 및 메모리 사용량과CPU 점유율은 낮은 것이 강점이다. 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군]의 스마트폰에 기본 탑재되어 있다. 

 

<보충자료>

AV-TEST의 모바일 보안제품 테스트

모바일 보안제품 평가는 권위있는 글로벌 보안제품 성능 평가기관인 AV-TEST가 2013년 1월부터 새롭게 시작된 것으로, 현재까지 가장 신뢰할 수 있는 모바일 보안제품 성능 테스트다. 악성코드 탐지율, 오진, 모바일 디바이스 성능 저하율, 부가기능 등 다양한 측면에서 보안제품의 성능을 테스트한다.

Posted by 비회원

- 다차원 분석 플랫폼 기반으로 V3 전 제품군에 악성코드 대응력 강화, 엔진사이즈 감소 및 빨라진 검사속도, 사용자 편의성 대폭 향상 

- 매체제어 기능 포함한 기업용 PC 보안통합 관리 솔루션 ‘V3 ES 9.0’ 동시 출시


V3 탄생 25주년을 맞은 보안 기업 안랩이 보안 기능을 대폭 강화시킨 개인 및 기업 사용자용 새로운 V3 제품군을 출시했다.

 

안랩[대표 김홍선 www.ahnlab.com]은 30일, 새로워진 다차원 분석 플랫폼을 적용해 더욱 강력한 악성코드 방어 기능을 제공하는 V3 제품군 4종의 새 버전과 1개의 신제품을 정식 출시했다.

 

오늘 공개된 신제품은 ‘다차원 분석 플랫폼’을 기반으로 탄생했다. 안랩의 다차원 분석 플랫폼이란 새로운 V3의 통합 플랫폼으로, 강력한 악성코드 통합 분석 및 대응, 향상된 탐지 및 진단 기능을 제공한다.

 

새로운 버전의 V3 제품군은 개인사용자용 토털 PC보안 케어 제품‘V3 365 클리닉’, 중소기업용 통합 PC 보안 솔루션 ‘V3 MSS[Managed Security Service]’, 기업용 PC 보안 제품인 ‘V3 인터넷 시큐리티 9.0[V3 Internet Security 9.0]’, 서버전용 백신 ‘V3 Net 9.0’이며, 새롭게 선보인 제품은 기업용 PC 보안통합 관리 솔루션인 ‘V3 엔드포인트 시큐리티 9.0[V3 Endpoint Security 9.0]이다.

 

진단기능 추가로 악성코드 방어기능 강화


오늘 공개한 새로운 버전의 V3 유료 제품군에는 안랩의 클라우드 기술인 ‘안랩 스마트 디펜스[AhnLab Smart Defense]’ 기반의 강력한 악성코드 탐지 기능과 행위기반 진단과 평판기반 진단 기술을 추가로 탑재해 악성코드 대응력을 크게 향상되었다.

또한, 의심 파일의 행위를 분석해 알려지지 않은 악성코드의 실행을 사전 차단하는 ‘행위기반 진단’, 의심 파일에 대한 클라우드 평판 정보로 의심스러운 신규 파일을 분석하는 ‘평판기반 진단’을 통해 더욱 정교한 악성코드 탐지가 가능하다.

이러한 행위기반 및 평판기반 진단 기술로 사전 차단된 악성코드 유포경로를 실시간으로 추적/관리해 사용자들의 악성 웹사이트 혹은 피싱사이트 방문을 차단하는 사전 예방 기능도 새롭게 제공한다. 이에더해, 이상/과다 트래픽 등 네트워크의 의심 행위를 바탕으로 침입을 탐지하고 차단하는 네트워크 보안 기능도 새로 탑재했다.

 

엔진사이즈 감소 및 검사속도 증대[기존 V3 대비 30% 엔진 경량화, 최대 10배 빠른 검사]


새로운 엔진인 ‘TS 프라임[TS Prime]’엔진을 적용해 엔진 크기와 검사 시 PC의 시스템 부담을 대폭 감소시키고, 검사속도는 빨라졌다. 새로운 V3 플랫폼은 악성코드의 고유정보[DNA]를추출하는 방식으로 엔진 용량을 기존 V3 제품군 대비 30% 수준으로 경량화해, 사용자 PC의 시스템 부담은 대폭 감소했다. 이와 함께, 최초 1회 검사로 안전성 확보 후 새로운 파일 및 변환된 파일을 검사하는 ‘스마트 스캔[Smart Scan]’ 기술로 검사 속도가 기존 V3 대비 최대 10배 가량 빨라졌다.

 

능동적 위협관리 기능 ‘액티브 디펜스[Active Defense]’


새롭게 추가된 ‘액티브 디펜스[Active Defense]’로 사용자 PC에서 발생한 프로그램의 행위 정보와 문제가 될 만한 가능성이 있는 파일을 필터링한다. 또한, 사용자에게 의심스러운 파일 및 프로세스에 대해 평판 정보, 프로그램의 의심 행위 정보 등 의심파일에 대한 상세한 정보를 제공해 사용자의 능동적 대응이 가능하다. 액티브 디펜스 기능은 사용자가 자신의 PC 상태를 파악하고 능동적으로 대응 할 수 있도록 프로그램 활동 내역 정보, 동작 중인 프로세스 정보. 최근 생성된 파일 정보, 클라우드 자동분석 목록 등 다양한 정보를 제공한다.

 

사용자 편의성 강화


사용자 인터페이스도 대폭 변화했다. 먼저 첫 화면에 파랑[안전], 노랑[주의], 주황[위험] 등 알기 쉬운 색상을 사용해 사용자가 PC의 보안 상태를 한눈에 알 수 있다. 제품의 각종 상태를 점검해 문제를 해결하는 ‘해결하기’와 PC 검사 및 최적화 등 핵심 기능을 타일형식으로 배치해 첫 화면에서 즉시 이용할 수 있다. 이전에 찾기 어려웠던 복잡한 옵션 기능도 단순화해 사용자가 다양한 기능을 손쉽게 활용할 수 있다. 또한, 보안센터 기능을 새롭게 추가해, 6가지 보안상태[네트워크보안, 클라우드보안, PC보안, 평판기반실행차단, 행위기반 진단, 액티브 디펜스]를 실시간으로 보여주고 관련 상세정보를 제공한다. 개인용 제품인 V3 365 클리닉의 경우 보안 전문 클리닉 서비스를 한 곳에 모아 손쉽게 서비스를 이용할 수 있도록 사용성이 강화됐다.

 

[신제품] ‘V3 엔드포인트 시큐리티 9.0[V3 Endpoint Security 9.0]’


오늘 새롭게 선보인 V3 엔드포인트 시큐리티 9.0는 기업용 PC 보안통합 관리 솔루션으로, 매체제어 기능을 가지고 있는 것이 특징이다. 안랩의 전사 SW 관리솔루션인 안랩 폴리시 센터[AhnLab Policy Center]와 함께 사용하면 USB, 블루투스, CD/DVD 드라이브, 스마트카드 리더 등 PC와 연결되는 모든 매체의 권한을 중앙에서 일괄적으로 관리할 수 있어, 더욱 광범위한 보안이 가능하다. 하반기에는 안랩의 보안제품과 기능연결을 제공해, 손쉬운 전사 PC 통합관리가 가능하다.

 

안랩 김홍선 대표는 "최근의 고도화되는 보안위협에 대응하기 위해서는 악성코드 유입 단계부터 능동적으로 대응하는 것이 중요하다. 이에 안랩은 평판 기반, 행위 기반 등 진일보한 기술을 결합해 다차원 분석 플랫폼을 구축하고 이를 통해 더욱 강력해진 V3 제품군을 선보였다. 특히, V3 탄생 25주년을 맞는 올해에 이를 발표하게 되어 더욱 의미가 있다. 앞으로도 안랩은 안전한 온라인 환경을 만들어 나가기 위해 기술 개발을 이어나갈 것이다.”고 말했다.

 

한편, 안랩은 V3 제품군 통합 출시를 기념해 안랩닷컴 사이트[http://www.ahnlab.com/kr/site/event/event/V3platform.do]에서 퀴즈 맞추기, 영상 소문내기, 구매고객 혜택 제공 등 다양한 프로모션을 오늘부터 시작한다.

Posted by 비회원

- 문서 파일 실행 시 취약점으로 인해 악성코드 설치, 실행 

- SW 보안 패치, 백신 실시간 감시 기능 실행 등 필수


정보보안 기업 안랩[대표 김홍선, www.ahnlab.com]은 한/글 프로그램에서 보안 취약점이 발견되어 이에 대한 보안 패치를 적용하라고 11일 권고했다.


이번에 발견된 취약점은 한/글 문서를 실행했을 때 특정 악성코드가 설치, 실행되는 것이다. 안랩은 취약점을 발견한 7월 5일 한글과컴퓨터사에 관련 정보를 공유했고, 한글과컴퓨터사는 10일 보안 패치를 완료해 사용자에게 공지했다. 한컴 오피스 2007, 한/글 2007, 한/글 2005, 한/글 2004, 한/글 2002 SE 사용자는 해당 패치를 반드시 업데이트해야 안전하다.


이번 악성코드는 ‘동북아 평화 협력 구상 어떻게 실현할 것인가’라는 제목의 문서에 삽입되어 소형 커뮤니티 사이트에 업로드되었거나 이메일에 첨부되어 유포된 것으로 추정된다. 악성코드에 감염되면 HWP 파일은 물론 DOC, PPT, PDF, TXT, XLS, RAR, ZIP 등의 파일을 외부로 유출한다. 또한 MAC 주소, 사용자 이름 등 시스템 정보도 외부로 유출한다. 또한 PC를 감염시킨 후에는 자신을 정상 한/글 파일로 덮어씀으로써 사용자로 하여금 악성코드 감염 사실을 인지하기 어렵게 한다. 해당 악성코드는 V3 제품군 최신 버전으로 진단/치료할 수 있다. [진단명 Win-Trojan/Infostealer.147456.B]


안랩 시큐리티대응센터 김아영 주임연구원은 “소프트웨어의 취약점을 이용하는 악성코드가 많이 발견되는 가운데 사용자가 많은 문서 프로그램의 취약점을 겨냥하는 경우가 급증하고 있다.”라고 분석했다.


이호웅 시큐리티대응센터장은 “인터넷 검색 시 아무 파일이나 다운로드하지 말고 이메일에 첨부된 문서로 함부로 실행하지 말아야 한다. 항상 최신 버전의 백신을 사용하고 실시간 감시 기능을 켜두는 것이 안전하다.”라고 강조했다.

Posted by 비회원