금융

금융 정보 탈취 악성코드 Citadel 경고

– 제우스, 스파이아이 이은 금융정보 탈취형 악성코드 Citadel 분석 발표  – 강화된 정보 수집 기능으로 인터넷 뱅킹 정보 및 PC 정보 수집  – 인터넷에서 유상 판매…악성코드의 기업화 양상  세계적으로 큰 피해를 일으켰던 금융정보 탈취형 악성코드인 제우스[Zeus]와 스파이아이[Spyeye]의 뒤를 잇는 강력한 악성코드가 발견됐다.   글로벌 보안 기업 안랩[구 안철수연구소, 대표 김홍선, http://www.ahnlab.com]은 강력한 기능의 금융정보 탈취형 악성코드인 시타델[Citadel] 악성코드에 대한 분석 결과를 발표하고 사용자 주의를 당부했다.   시타델은 ‘시타델 빌더’라 불리는 악성코드 생성기로 만들어진 악성코드로, 과거 제우스 악성코드와 작동 방식이 유사하다. 현재 ‘제우스 빌더’가 더 이상 업데이트되지 않고 소스코드까지 공개된 시점에서 새롭게 대두되기 시작한 악성코드이다.   안랩의 분석에 따르면 시타델 악성코드의 기능은 전체적으로 제우스와 유사한 경향을 보인다. 따라서 악성코드에 감염된 PC의 네트워크인 봇넷[Botnet]을 구성하기 위한 기능을 기본으로, 사용자의 인터넷 뱅킹 정보,…

SMS를 유출하는 ZitMo 안드로이드 악성코드 변형 발견

금융 정보를 탈취를 목적으로하는 악성코드들은 PC와 안드로이드(Android)까지 다양한 운영체제와 디바이스들을 대상으로 그 범위를 확장해가고 있으며, 최근에는 안드로이드 모바일 운영체제를 대상으로 감염 후 개인 금융 정보 탈취를 목적으로하는 안드로이드 악성코드들이 지속적으로 발견되고 있다. ASEC에서는 6월에도 이러한 형태의 안드로이드 악성코드인 ZitMo(Zeus in the Mobile)라는 안드로이드 악성코드가 발견되었음을 공개한 바가 있다. 2012년 6월 – Zitmo 변형으로 알려진 안드로이드 악성코드 현지 시각으로 2012년 8월 7일 해외 보안 업체인 캐스퍼스키(Kaspersky)에서는 블로그 “New ZitMo for Android and Blackberry“를 통해 새로운 ZitMo 안드로이드 악성코드 변형이 발견되었음을 공개하였다. ASEC에서는 해당  새로운 ZitMo 안드로이드 악성코드 변형을 확보하여 자세한 분석을 진행하였다. 이 번에 발견된 ZitMo 안드로이드 악성코드 변형을 안드로이드 스마트폰에 설치하게 되면 아래 이미지와 같이 “SMS(Short Message Service) 송수신 권한”을 설치시 요구하게 된다. 그리고 설치가 완료되면 아래 이미지와 같이 “Zertifikat“라는 명칭을 가지는 아이콘을 안드로이드 스마트폰에 생성하게…

구글 코드를 악용한 악성코드 유포

검색 엔진을 개발하는 구글(Google)에서는 사용자들의 편의성을 위해 지메일(Gmail), 구글 리더(Google Reader)와 구글 닥스(Google Docs) 등 여러가지 서비스를 제공해주고 있다. 구글에서 제공하는 서비스들은 인터넷만 연결되어 있다면 언제든지 메일과 웹 사이트 그리고 문서 등을 읽거나 작업할 수 있는 공간을 제공 해주고 있으며, 개발자들의 경우에는 구글 코드(Google Code)라고 하여 프로그램 개발과 관련한 소스코드와 파일등을 개발자들 사이에서 공유 할 수 있는 공간을 제공하고 있다. 이러한 서비스들 모두 24시간 중단되지 않는 가용성을 제공하고 있으며, 구글에서 운영을 하고 있음으로 안정성까지 제공 받을 수 있다는 점을 악용하여 구글 코드에 악성코드를 업로드하여 유포에 악용하는 사례가 7월 23일 발견되었다. 구글 코드를 악성코드 유포에 악용하였던 사례는 이번이 처음은 아니며 7월 18일 발견되었던 개인 금융 정보 탈취 목적의 Banki 트로이목마 역시 구글 코드를 악용하였다. 이 번에 발견된 구글 코드를 악용해 유포되고 있는 악성코드들은…

웹 하드 설치 파일 변경으로 Banki 트로이목마 변형 유포

ASEC에서는 7월 11일 취약한 웹 사이트를 통해 온라인 뱅킹에 사용되는 개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 유포되었음을 공개하였다. 개인 금융 정보 탈취를 목적으로하는 Banki 트로이목마 변형이 7월 14일과 15일 주말 사이 사용자가 많은 웹 하드 프로그램 웹 사이트의 설치 파일을 변경하여 유포된 사례가 발견되었다. 이번에 유포된 Banki 트로이목마 변형은 보안 관리가 상대적으로 취약한 웹 하드 프로그램의 웹 사이트에서 배포 중인 설치 파일을 RARSfx로 악성코드와 정상 설치 파일을 압축한 파일을 배포 중인 정상 설치 파일과 변경하여, 사용자로 하여금 악성코드가 포함된 변경된 설치 파일을 다운로드하도록 하였다. 정상 웹 하드 설치 파일을 변경하여 유포된 Banki 트로이목마 변형이 동작하는 전체적인 구조를 도식화 한 이미지는 아래와 같다. 웹 하드 프로그램의 웹 페이지에서 배포 중인 웹 하드 프로그램의 설치 파일은 RARSfx 파일로 압축된 파일로…

개인 금융 정보 탈취를 노리는 Banki 트로이목마 변형

ASEC에서는 금일 7월 11일 오전 국내 금융 업체에서 제공하는 온라인 뱅킹에 사용되는 개인 금융 정보의 탈취를 노리는 Banki 트로이목마의 변형을 발견하였다. 이번에 발견된 개인 금융 정보의 탈취를 목적으로한 Banki 트로이 목마의 변형은 기존 다른 변형들과 동일하게 RARSfx 형태로 압축되어 있다. 그리고 해당 파일 내부에는 아래 이미지와 같이 CONFIG.INI (29 바이트), CretClient.exe (704,512 바이트)와 HDSetup.exe (430,080 바이트) 파일 3개를 포함하고 있다. 해당 Banki 트로이목마에 감염되면 해당 RARSfx 파일 내부에 압축되어 있는 파일들을 다음 경로에 생성하게 된다. C:WINDOWSCretClient.exe (704,512 바이트) C:WINDOWSHDSetup.exe (430,080 바이트) 그리고 생성된 HDSetup.exe (430,080 바이트)는  cmd.exe를 실행 백그라운드로 실행 시킨 후 감염된 시스템에 존재하는 hosts 파일에 CONFIG.INI (29 바이트)에 기록되어 있는 특정 IP 주소를 참조하여 다음의 내용으로 덮어 쓰게 된다. cmd /c echo  59.***.***.55 http://www.kbstar.com kbstar.com obank.kbstar.com banking.nonghyup.com banking.shinhan.com http://www.wooribank.com wooribank.com pib.wooribank.com bank.keb.co.kr http://www.keb.co.kr > C:WINDOWSsystem32driversetchosts 아래 이미지와 같이 덮어쓰여진 hosts 파일에는 국내 금융 업체들의…