인터넷뱅킹 정보 빼내는 새로운 파밍 악성코드 주의!

C&C 채널로 SNS인 핀터레스트 사용

[보안뉴스 김태형] 가짜 인터넷뱅킹 사이트로 유도해 사용자의 개인정보를 빼내는 새로운 파밍 악성코드가 지속적으로 발견되고 있어 주의가 요구된다.

글로벌 보안 기업 트렌드마이크로는 국내 인터넷뱅킹 사용자를 공격 대상으로 하는 중국발 추정의 새로운 악성코드가 11월 중순 이후 지속적으로 보고 되고 있어 사용자의 각별한 주의가 필요하다고 당부했다.

▲ 정상적인 웹사이트(위)와 가짜 웹사이트(아래)

이 악성코드에 감염될 경우 인터넷뱅킹 사이트 접속 시 자동으로 가짜 피싱 사이트로 연결되며, 연결된 가짜 사이트에는 ‘보안취약 고객 보안설정’을 위한 정보 입력을 요구하는 페이지가 나타난다. 사용자가 이를 정상적인 사이트라고 믿고 정보를 입력하면 개인정보가 유출되게 된다.

악성코드는 브라우저를 모니터링하고 있다가 사용자가 아래와 같은 공격 대상 인터넷뱅킹 사이트에 접속하면 가짜 사이트로 연결시킨다.

-hxxp://kbstar.com

-hxxp://wooribank.com

-hxxp://banking.nonghyup.com

-hxxp://v3clinic.ahnlab.com

-hxxp://hanabank.com

-hxxp://mybank.ibk.co.kr

-hxxp://www.ibk.co.kr

-hxxp://banking.shinhan.com

-hxxp://www.fcsc.kr

이 악성코드의 활동에서 주목할 만한 점은 C&C(명령제어) 채널로 미국의 SNS인 핀터레스트를 사용한다는 점이다. 공격자는 핀터레스트 페이지에 메시지를 남김으로써 사용자가 각각 다른 가짜 서버로 연결되도록 컨트롤 할 수 있다.

트렌드마이크로는 등록된 문자열에서 ‘ABCD’를 ‘.’으로 변환해 가짜 서버의 IP 주소를 확인할 수 있었으며, 이를 통해 공격자가 탐지를 피하기 위해 가짜 서버의 IP 주소를 얼마나 빠르게 바꾸고 있는지 알 수 있다고 말했다. 현재 해당 IP는 관계기관과 협력하여 차단된 상태다.

▲ 핀터레스트 페이지에 등록된 C&C 메시지 샘플

(‘104A149B245C120D’라는 문자열은 IP 주소 ‘104.149.245.120’를 뜻함)

트렌드마이크로의 조사에 따르면 악성코드는 해킹된 웹사이트를 방문하는 사용자에게 익스플로잇 킷을 설치하는 방식으로 유포되고 있으며, 11월 중순에 확인된 유포 방식에는 1개 이상의 해킹된 웹사이트가 사용된 것으로 알려졌다.

한 해킹된 웹사이트에는 다른 웹사이트로 이동시키는 아이프레임 태그가 삽입되어 있었고 이동된 웹사이트에서는 인터넷뱅킹 악성코드를 포함한 익스플로잇 킷이 유포되고 있었다. 분석 결과 스윗오렌지 익스플로잇 킷에서 사용된 것과 유사한 코드가 상당 부분 발견되었으며, 12월부터는 해당 악성코드가 공다 익스플로잇 킷을 통해 유포되고 있는 것으로 밝혀졌다.

트렌드마이크로의 분석에 따르면 이 공격은 중국에서 시작된 것으로 파악된다. 취약점의 동작 방식을 설명하는 중국어 메모가 익스플로잇 코드에서 발견되었으며, 해킹된 웹사이트와 악성코드 통신 분석에 ‘51yes.com’이라는 중국의 웹 트래픽 통계 서비스가 사용된 점 등 여러 증거를 종합해 봤을 때 이는 중국발 공격이라고 유추해 볼 수 있다.

▲ 익스플로잇 코드에 입력되어 있는 중국어 메모

트렌드마이크로는 인터넷뱅킹 사용 시 보안 강화나 승급 등을 이유로 개인정보 입력을 요구하는 경우는 파밍이므로 가짜라는 것을 유념해 두어야 하며, 이러한 악성코드에 감염되지 않기 위해 컴퓨터를 최신 상태로 유지하고 백신 프로그램을 업데이트하는 등 보안에 각별한 주의가 필요하다고 전했다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)