‘하데스’ 도메인에서 인터넷뱅킹용 악성파일 유포!

보안카드 번호 직접 입력하거나 외부에 노출되지 않도록 해야

[보안뉴스 김태형] 최근 특정 도메인에서 국내 인터넷 뱅킹용 악성파일이 유포되고 있어 주의가 필요하다.

잉카인터넷 대응팀은 지난해 5월경부터 방송됐던 SBS의 인기 드라마 ‘유령’의 주인공 역이었던 하데스(Hades)의 이름을 딴 특정 도메인에서 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종이 유포중인 것을 발견했다고 밝혔다.

‘유령’은 컴퓨터 범죄수사대의 활약상을 그렸던 드라마로 사이버상의 보안위협을 사실적으로 묘사했고 0과 1 사이에 숨겨져 있는 다양한 디지털 증거의 중요성과 각종 사이버 범죄의 위험성을 알리는데 긍정적 효과를 거두었다.

그러나 국내 인터넷뱅킹용 악성파일 유포조직이 하데스라는 이름의 도메인에서 실제 위협 요소로 작용할 수 있는 악성파일을 유포하고 있다는 점에서 이용자 주의가 필요하고 유사한 도메인을 목격하거나 의심스러운 사이트로 접근시에는 세심한 대비가 필요해 보인다.

또한, 최종적으로 설치되는 악성파일이 주도면밀하게도 ‘ahnlab.exe’ 이름의 파일명으로 설치되고 있는데, 이는 마치 안랩과 관련된 파일처럼 위장해 사용자로 하여금 최대한 신뢰하도록 유도하기 위한 사기수법이라 할 수 있다. 이는 공격자가 치밀하게 은폐시도를 했다는 점에서 잠재적인 보안위협으로 잔존할 가능성도 있다.

잉카인터넷 대응팀은 “이 악성파일의 특징을 분석해 본 결과, 해당 악성파일은 마치 ‘SoftCamp Secure KeyStroke Uninstall’ 프로그램처럼 교묘히 위장한 악성파일에 의해서 설치되는데 실제와 똑같을 정도로 아이콘과 문구 등을 모방했다”고 설명했다.

하지만 “이 악성파일에는 등록정보에 ‘디지털 서명’ 등이 포함되어 있지 않고 저작권 부분이 정상파일과 다소 다른 것을 확인할 수 있으며 악성파일은 코드 내부적으로는 분석 및 탐지방해 목적 등으로 ASPack 프로그램으로 실행압축이 되어 있다”고 덧붙였다.

정상파일과 악성파일의 등록정보를 비교해 보면 아래와 같고 육안상으로 가짜를 구분하기 어려울 정도로 매우 비슷하게 제작된 것을 알 수 있다.

국내 금융사이트 등에서 서비스 중인 키보드 보안프로그램처럼 위장한 ‘UNInstSCSK.EXE’ 악성파일의 내부를 분석해 보면 하데스(Hades)라는 도메인명을 사용하는 특정 사이트에서 추가적인 악성파일을 설치하도록 제작되어 있는 것을 확인할 수 있다.

사용자 몰래 다운로드 되어 추가 설치되는 악성파일은 ‘SFX 7-Zip’ 형태의 압축파일로 내부에는 ‘ahnlab.exe’, ‘ahnlab.ini’ 파일 등이 포함되어 있고 실행되면 윈도우 임시폴더(Temp)에 설치한다.

‘ahnlab.ini’ 파일 내부에는 피싱(파밍)사이트의 IP 주소값을 가지고 있으며 호스트파일(hosts)을 변조할 때 이용하게 된다. 악성파일이 작동하게 되면 아래와 같이 호스트파일(hosts)의 값을 변경해 국내 금융사이트 도메인에 접속시 가짜 사이트로 연결되도록 IP 주소를 설정한다.

이 외에도 악성파일을 유포하고 있는 하데스 관련 도메인을 분석한 결과 악성파일 제작자는 여러 유사 도메인을 만들어서 다양한 악성파일을 배포하고 있는 정황도 포착된 상태이다.

잉카인터넷 대응팀 문종현 팀장은 “자신이 접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세”라면서 “여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 공격자들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다”고 설명했다.

따라서 과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러 차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 이와 유사한 금융 보안위협을 능동적으로 대처해야 한다고 강조했다.

특히, 올해는 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 것이며 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 한다.

이러한 악성 파일로부터 안전한 PC 사용 및 금융권 사이트 이용을 위해서는 △윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화 △신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트하고 실시간 감시 기능을 항상 ‘ON’ 상태로 유지 △출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제 △인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의 등과 같은 안전수칙을 지켜야 한다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)