“바이러스 다운로더 다시 활개...많은 악성 S/W PC 점령”
피싱 사이트 1만6,000여개 탐지...누리꾼 7만 명 피해
[보안뉴스 온기홍=중국 베이징] “바이러스 다운로더가 ‘권토중래’하고, 많은 악성 프로그램들이 컴퓨터를 점령했다.” 6월 들어 중국내 PC 바이러스 발생 상황에 대한 정보보안 업계의 표현이다.
중국에서 지난 6월 첫째주 PC의 구성 파일을 수정하고 백그라운드에서 해커 쪽과 연결해 많은 악성 프로그램들을 PC에 내려 받으며 여러 인터넷 계정·비밀번호를 빼내는 새로운 ‘바이러스 다운로더’가 출현해 활개를 친 것으로 나타났다. 또한, 지난주 중국 정보보안회사가 탐지한 중국내 피싱사이트 수는 1만6,00여개였으며, 중국 누리꾼 7만 명이 피싱사이트들로부터 공격을 받은 것으로 드러났다.
中 6월 1일~7일 주요 PC 바이러스
중국 정보보안회사 루이싱이 8일 내놓은 보고에 따르면, 지난 1일~7일 한 주 동안 중국 정보보안업계와 누리꾼의 주목을 끈 대표적인 바이러스는 ‘Trojan.Downloader.Win32.Hyteod.wih’였다.
이 바이러스는 숙주 프로그램(svchost.exe)을 활성화하고 코드를 주입하며 EIP를 수정해 자기의 코드를 실행한다고 루이싱 쪽은 밝혔다. 또 레지스트리를 수정하며, 백그라운드에서 컴퓨터를 해커 쪽 웹주소에 연결시켜 많은 악성 프로그램들을 내려 받는다. 컴퓨터가 이 바이러스에 감염되면, 여러 인터넷 사이트와 인터넷 뱅킹의 계정·비밀번호가 도난 당할 위험에 놓인다.
▲ 6월 1~7일 중국내 주요 PC 바이러스 (출처: 중국 루이싱)
날짜별로 중국에서 크게 번진 대표적인 컴퓨터 바이러스를 살펴보면, 먼저 6월 1일에는 ‘Trojan.Win32.Injector.fv’가 꼽혔다. 루이싱의 ‘클라우드 보안 시스템’이 연인원 2만2,392명으로부터 신고를 받았다. 이 바이러스가 활동을 개시한 뒤, 해커는 컴퓨터를 악성 웹주소로 끌어 들여 바이러스를 내려 받게 하며 악성 웹사이트 트래픽을 늘리는 것을 돕게 만든다. 또 원격 제어에 나서고 사용자의 컴퓨터 조작을 감청하면서 개인정보들을 훔치는 것으로 드러났다.
지난 2일에는 ‘Trojan.Spy.Win32.Zbot.gan’이 중국에서 널리 퍼졌다. 연 2만2,904명이 신고했다. 이 바이러스는 시스템 디렉터리 아래 임의의 다섯 자리 영문자로 된 디레터리 2개를 만들고, 이 2개의 임의 디렉터리에서 각각 1개의 바이러스 파일을 파생시킨다고 루이싱은 밝혔다. 동시에 레지스트리를 수정해 컴퓨터 시작과 함께 자동으로 바이러스 활동을 개시한다. 또 파생된 바이러스 EXE 파일을 전용하고, CMD 명령항을 전용해 자기의 원파일 삭제하는 것으로 드러났다.
이 바이러스는 또 PC 안에 있는 윈도우(windows) 계정 정보를 수집해 해커가 지정한 서버로 보낸다. 컴퓨터가 이 바이러스에 감염될 경우, 조작 권한이 해커에게 전면 개방되고, 하드 디스크 안에 있는 모든 데이터들을 잃거나 도난 또는 변조될 수 있다는 보안전문가들은 경고했다.
이어 3일 중국에서 활개를 친 대표적인 PC 바이러스는 ‘Trojan.Win32.Downloader.bk’로, 연 2만1,754명이 신고했다. 이 바이러스는 컴퓨터 안에 있는 바이러스퇴치 프로그램들을 중지시키고 레지스트리를 수정해 백신프로그램의 탐지 및 퇴치를 피한다. 또 인터넷 익스플로러(IE) 브라우저 실행 프로그램을 만들고, 해커가 지정한 서버에서 바이러스 파일과 트로이목마를 내려 받아 컴퓨터에 설치한다.
지난 4일 중국에서 기승을 부린 대표적인 바이러스에는 ‘Trojan.PSW.Win32.QQPass.fnz’가 지목됐다. 연 2만2,299명이 신고했다. 이 바이러스는 백그라운드에서 사용자의 입력 내용을 감시하고, 사용자의 온라인 메신저 ‘QQ’ 계정과 비밀번호를 훔쳐 해커에게 보내는 것으로 밝혀졌다.
주말이 들었던 5일~7일 사흘 동안에는 ‘Trojan.Win32.Injector.fw’이 중국에서 널리 퍼졌다. 연 2만2,780명이 신고한 이 바이러스는 지난 1일 기승을 부린 ‘Trojan.Win32.Injector.fv’과 같은 악성 활동을 하는 것으로 드러났다.
中 6월 첫째주 피싱사이트 발생 동향
루이싱은 지난주 보안 시스템을 써서 탐지한 중국내 피싱사이트 수는 1만6,037개였으며, 중국 누리꾼 7만 명이 피싱사이트들로부터 공격을 받은 것으로 드러났다고 밝혔다.
이런 가운데 지난주 중국에서는 △중국 최대 온라인 결제 사이트 즈푸바오를 사칭한 http://fg.tjukd.top/ △가짜 의약류 http://www.okhzp.com/ △야후(Yahoo) 전자메일로 위장한 http://warsvet.net/bob/ 따위의 피싱사이트들이 누리꾼의 인터넷 뱅킹 계정과 비밀번호, 개인정보들을 훔친 것으로 드러났다. 이들 피싱사이트는 바이러스나 트로이목마를 숨기고 있다.
지난주 피싱사이트의 공격을 받은 중국 누리꾼 수를 보면, 먼저 1일에는 연인원 1만2,549명, 2일 연 1만5,452명, 3일 연 1만3,183명, 4일 연 1만1,793명, 주말이 포함된 5일~7일 연 3만2,329명로 각각 집계됐다. 매일 연 1만 명이 넘는 누리꾼이 피싱 사이트의 공격에 노출됐다.
루이싱 쪽이 탐지한 트로이목마 삽입 웹주소는 1일 4,273개, 2일 5,829개, 3일 4,703개, 4일 5,121개, 5~7일 1만3,264개로 각각 파악됐다. 일자별로 중국내 피싱 사이트 톱5를 보면, 먼저 1일에는 △중국판 TV 노래 오디션 프로그램인 ‘보이스 오브 차이나’를 가장한 http://wanrenshua.com/ (프로그램 주관 당첨 정보라며 사용자를 속이고 송금 유도) △중국 최대 온라인게임 서비스 회사인 텐센트(Tencent)의 게임으로 가장한 www.hs515.com/ (허위 구매 정보로 사용자의 금전 편취) △가짜 p2p류 www.whdaikuan.net/index.html (허위 금전 대출 정보로 사용자의 재산 편취) △가짜 온라인 구매(쇼핑)류 http://jk.lfnews.cn/sina5/?CodeId=888 (허위 구매 정보로 사용자의 금전 편취) △야후 전자우편을 가장한 http://lookslikemmg.1apps.com/xccc.htm (사용자를 속여 계정과 비밀번호 빼냄) 순이었다.
지난 2일 피싱사이트 톱5에는 △중국판 ‘보이스 오브 차이나’로 위장한 www.viphsyp.cc/ △텐센트의 게임으로 가장한 www.cftjsq.com/ (허위 SW 정보로 사용자를 속여 계정과 비밀번호 훔침) △중국 최대 은행인 중국공상은행을 사칭한 www.icbdmm.ml/cn/index.htm (사용자 카드 번호와 비밀번호 훔침) △가짜 온라인 쇼핑류 www.gh002.com/ △야후 전자우편으로 가장한 http://myperutravel.com/MAIL234/ 등 차례로 꼽혔다.
이어 3일에는 △중국판 ‘보이스 오브 차이나’를 가장한 http://viphsyg.cc/ △텐센트의 온라인 게임으로 가장한 www.hs515.com/ △중국공상은행을 사칭한 http://118.193.135.201/com/icbcmybank.htm △허위 구매류 www.pingggc.com/we2/ △야후의 전자우편으로 가장한 http://shoplocalcarmichael.com/login/index.html 순으로 피싱사이트 톱5 안에 들었다.
또한, 4일 중국내 피싱사이트 톱5는 △중국판 TV 오락 프로그램 ‘아빠 어디가’를 가장한 www.bb2qne.so/ (프로그램 주관 당첨 정보로 위장해 사용자에게 송금 유도) △텅쉰의 온라인게임으로 위장한 www.uzzf.com/key/cfshuaqiang/ △중국건설은행을 사칭한 http://cbhcyb.com/cn/ (사용자를 속여 카드 번호와 비밀번호 훔침) △허위 온라인 구매류 http://abcdefg1.jjzl.com.cn/tmall2/5s.php (허위 구매 정보로 사용자의 금전 편취) △지메일(Gmail) 전자우편으로 가장한 http://easyrentcar.kr/wp-admin/FINANCE/ (사용자의 계정과 비밀번호 훔침) 등 차례였다.
이어 주말이 낀 5일~7일 사흘 간 중국내 피싱 사이트 톱5에는 △중국판 ‘아빠 어디가’ 프로그램을 가장한 www.ggybm.com/ △텅쉰의 온라인 게임을 가장한 http://www.220221.net/ △중국공상은행을 사칭한 www.apk-95533.pw/ △허위 온라인 구매류 http://halitao2.gotoip3.com/ △지메일(Gmail) 전자우편을 가장한 http://aphorizon.com/js/form/ayo/ 순으로 꼽혔다.
한편, 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼 수는 지난 1일 연인원 8,553명, 2일 1만780명, 3일 연 8,923명, 4일 연 1만97명, 주말이 든 5일~7일 연 3만2,329명으로 각각 조사됐다. 루이싱이 보안 시스템을 써서 찾아 낸 피싱 웹주소는 1일 3,259개, 2일 3,774개, 3일 3,926개, 4일 3만281개, 5일~7일 사흘 동안 6,832개에 달했다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-04-18] 
.jpg)
