금융권 대상 유포 악성코드 통계
악성코드 유포 동향.
- 공격 1단계에서는 Phishing이 2.1로 가장 높았고 전월 1.8 대비 상승했다.
- 공격 2단계에서는 Dropper/Downloader가 1.1로 가장 높았고 전월 3.2 대비 하락했다.
- 공격 3단계에서는 Infostealer가 0.3으로 가장 높았고 전월 0.4 대비 하락했다.
- WebShell, Backdoor, HackTool, Ransomware, CoinMiner는 낮은 수준을 보였다.
악성코드 유형과 첨부파일 분포.
- Phishing이 41.9%로 가장 높았고, Downloader 17.6%와 미분류 12.1%를 포함한 상위 3개 유형이 전체의 약 72%를 차지했다.
- Downloader·Dropper 같은 1차 침투용 유형과 Backdoor·Infostealer 같은 지속 침투·정보 유출용 유형이 함께 나타났다.
- 이는 초기 미끼인 Phishing, 추가 악성코드 다운로드, Backdoor 상주, 정보 탈취로 이어지는 다단계 공격 체인이 보편화됐음을 보여준다.
- 파일 타입에서는 HTML 29.1%가 가장 컸고, PE 17.0%, PDF 9.3%, JS 7.6%, VBS 4.2%가 뒤를 이었다.
- 확장자 기준으로는 html 30.0%, js 19.4%, pdf 11.7%, exe 5.6%가 상위를 차지했다.
- js, vbe, vbs, bat, hta 같은 스크립트 계열과 html, htm, shtml 같은 웹문서 계열 비중이 높아 피싱 페이지 유포와 HTML smuggling, LOLBins 악용이 두드러졌다.
계정 유출과 딥웹·다크웹 이슈.
- Telegram API를 통해 사용자 계정 정보가 공격자에게 유출되는 사례가 확인되었다.
- 8월 동안 텔레그램으로 유출된 국내 금융권 계정 수량은 전체의 3%를 차지했다.
- 딥웹과 다크웹에서는 데이터베이스 유출과 신용카드 데이터 거래가 주요 이슈로 다뤄졌다.
- BreachForums, DarkForums, RaidForums에서 금융 관련 데이터베이스와 카드 레코드가 판매되거나 유출 주장 형태로 게시되었다.
주요 데이터베이스 유출 사례.
- alipay.com에서는 mosad가 [CHINA] 820 Million Alipay users LEAKED라는 제목으로 8억 2천만 건 유출을 주장했고, 이름·전화번호·성별 정보가 포함됐다고 적었다.
- robinhood.com에서는 RTX106이 14,521,975건의 사용자 레코드 유출을 주장했고, 이름·이메일·전화번호·SSN·주소·은행 계좌 정보·KYC 상태·2단계 인증 여부 등이 포함됐다고 게시했다.
- bankofbaroda.in에서는 moonfox가 Bank of Baroda Database를 판매한다고 게시했으나, 화면만으로 실제 규모와 진위는 확인되지 않았다.
랜섬웨어 및 데이터 강탈.
- 금융권을 대상으로 CRPx0, Dysphor1A, Lockbit5.0, Lockbit 등의 그룹이 DLS(Dedicated Leak Sites, 공개 협박 사이트)에 피해자를 게시했다.
- CRPx0는 qnbfinansbank.com의 채용·평가 시스템에서 2.3GB의 민감한 인사 데이터를 탈취했다고 주장했다.
- Dysphor1A는 allianz.co.th 관련 내부 배치 제어 시스템 자료 유출을 주장했고, 로그인 화면과 샘플 파일이 제시되었다.
- Lockbit은 usbank.com을 피해자로 게시하고 공개 기한을 제시했으나, 실제 유출 규모와 침해 경로는 확인되지 않았다.
신용카드 데이터 유출.
- BreachForums에서는 Bfpussy가 270만 건 규모의 bank card records 판매를 게시했다.
- RaidForums에서는 Futanari가 250만 건 이상 card records 판매를 게시했다.
- 두 사례 모두 카드번호, 유효기간, CVV 또는 보안코드, 국가, 발급기관, 카드 브랜드 등으로 보이는 정보가 포함된 샘플이 제시되었다.
