[보안뉴스 호애진] 포티넷은 지난 3월과 4월의 주요 보안 위협 동향 보고서를 통해 토피그 봇넷(Torpig Botnet) 악성 코드가 재출현했으며 페이스북 사용자들을 겨냥한 새로운 변종 멀웨어가 나타났다고 밝혔다.
3월 보안 위협 동향 보고서에 따르면 토피그 봇넷은 전체 봇넷 활동의 30%를 차지하고 이에 대한 명령과 컨트롤은 러시아와 수단의 컴퓨터에서 실행되는 것으로 알려졌다. 또한 새로운 봇넷 트래픽 중에서 대략 15%를 차지한 힐로티(Hilot) 봇넷은 주로 호주와 스웨덴에서 발견됐다.
토피그 봇넷은 수년 전 등장한 이후, MBR(Master Boot Record)로부터 시스템을 감염시키는 루트킷(rootkit)·멥루트(mebroot)와 함께 설치되는 웹페이지를 통해 확산된다.
맵루트는 해킹툴을 체크하는 ‘chain of trust’에서 탐지되지 않고 운영체제에 설치된 개인 방화벽을 우회할 수 있기 때문에 게이트웨이 보안을 통해 이와 관련된 트래픽을 차단해 위협을 완화시켜야 한다.
4월 보안 위협 동향 보고서는 페이스북 사용자들을 겨냥한 신종 멀웨어에 대해 설명했다. 이 멀웨어는 페이스북 측에서 보낸 메일로 위장해 사용자에게 페이스북의 비밀번호가 변경됐으며 첨부된 파일에서 새 비밀번호를 확인할 수 있다고 사용자들을 속여 첨부파일을 클릭하는 즉시 컴퓨터를 감염시키는 형식을 띤다.
최원식 지사장은 “페이스북 변종 멀웨어는 봇넷의 로딩을 유도해 실행되면 C&C (command and control) 서버로 연결해 적법한 서류로 보이는 파일에 위조된 비밀번호를 사용자에게 알려주고 봇넷은 이후 컴퓨터에서 활동하며 특정 파일을 하나씩 다운로드하고 실행하도록 한다”며 “첨부파일은 항시 유의해서 열어야 하며 확인되지 않은 정보는 신뢰하지 않고 문서의 출처를 반드시 확인하는 것이 좋다”고 말했다.
한편 스팸량은 지난 3월 러스톡(Rustock) 봇넷이 퇴치된 이후 평균 이하인 30%의 비율을 유지해 왔지만 스패밍 IP의 비율은 크게 줄지 않은 것으로 나타났다. 특히 감지된 스패밍 IP 주소의 대부분은 위치정보에 기반, 미국과 인도, 브라질에서 두드러졌다.
보통 기기는 다중의 바이러스나 봇넷에 의해 감염되기 때문에 하나의 위협이 완화됐다 하더라도 지속적으로 스팸과 사이펀(siphon) 데이터를 전송한다.
지난 4월 16일에는 코어플러드(Coreflood) 봇넷을 악용한 국제적인 사이버 범죄조직이 미 법무부와 연방수사국(FBI)에 체포되는 미국 역사상 최대의 집행 사건이 일어났다. 본 조직은 서버와 도메인을 컨트롤해 봇넷으로 230만대의 컴퓨터를 감염시켜 사용자로부터 수억 달러를 편취했다.
최원식 지사장은 “코어플러드는 3월 중순 MS와 여러 정부기관에 의해 퇴치된 러스톡(Rustock)에 이어 등장한 봇넷”이라며 “이후 두 봇넷은 물론 글로벌 스팸의 비율이 감소돼 현재는 러스톡을 최초로 퇴치할 때보다 낮은 15%에 머물러 있다”고 밝혔다.
[호애진 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
호애진기자 기사보기
[2024-09-29] 
