.jpg)
.jpg)
일본 게임 및 성인사이트, 파밍용 악성코드 유포...국내 사이트 경유지 악용
갈수록 지능화되는 파밍 공격 확산, 정보 공유 및 국제 공조 필요
[보안뉴스 김경애] 일본 게임사이트에서 유포되고 있는 파밍용 악성코드가 국내 사이트를 경유지로 악용하고 있어 이용자들의 주의가 요구된다. 특히, 국내는 파밍 악성코드에 대해 많이 알려져 있지만, 일본 은행 이용자를 타깃으로 한 공격에 국내 사이트가 이용된 사례는 아직 보고된 바 없어 더욱 주목되고 있다. 이는 공격자의 공격 패턴에도 변화가 생겼다는 것을 의미한다.
일본 게임사이트, 파밍용 악성코드 유포
순천향대 사이버보안연구센터(센터장 염흥열 교수)는 “지난 18일부터 국내 사이트가 파밍용 악성코드 경유지로 악용되고 있다”며 “공격자는 악성코드 유포를 위해 일본의 게임사이트 “w****me.jp”를 해킹해 악성스크립트를 삽입했다. 삽입된 악성스크립트는 국내 사진 스튜디오 업체의 웹 사이트인 “dps****o.com”, 어린이 도서 웹 사이트인 “go****i.com”를 호출하여 파밍 악성코드를 감염시켰다고 설명했다.
해당 공격은 국내에서 탐지되고 있는 CK 익스플로잇 킷(CK Exploit Kit)을 이용한 공격 방식이며, 자바, 어도비 플래시 플레이어, 인터넷 익스플로러(IE) 등 해당 시스템의 설치된 응용프로그램의 취약점이 악용된 것으로 분석됐다.
유포된 파밍 악성코드는 일본의 쟈파네토은행, 미즈호은행, 신생은행 등 금융 사이트를 대상으로 할 뿐만 아니라, 야후재팬, 구글재팬, 우체국 등의 사이트도 파밍 대상에 포함되어 있기 때문에 일본 사용자의 주의가 요구되고 있다.
이와 관련 사이버보안연구센터 이지오 연구원은 “해외 웹사이트를 통한 악성코드 유포에 국내 사이트가 이용되기 시작했다”라며, “국내 웹사이트 관리자의 각별한 보안점검이 필요한 시점”이라고 말했다.
이어 25일에는 국내 생활동화 사이트인 XX이 사이트의 경우도 일본 파밍용 악성코드 유포 경유지로 악용됐다. 해당 파밍용 악성코드에 감염되면 일본 금융감독원 팝업창이 뜨며, 팝업창 안에는 일본 가짜 은행사이트로 연결되도록 클릭을 유도하고 있다. 해당 은행을 클릭할 경우 금융정보 입력을 요구한다.
이를 발견한 보안전문가 Auditor Lee는 “시작페이지는 yahoo.jp 로 변경되며, 맥 어드레스 정보를 수집하고, 디지털인증서를 탈취한다”며 “팝업창은 일본 금융감독원 창이 뜨는데, 일본은 금융감독원이 없고 금융청이 있다. 국내 공격과 유사하게 이용한 것으로, 국내에서 악성코드 유포에 사용되던 사이트가 국내에서 차단되다 보니 일본 공격에 재사용되고 있다”고 분석했다.
일본 성인사이트, 파밍용 악성코드 유포
이어 최근에는 일본 성인 웹사이트에서도 드라이브 바이 다운로드(Drive-by-download) 공격이 발견됐다. 만약 악성코드에 감염되면 야후재팬 가짜 사이트로 이동되며, 팝업창과 함께 일본의 주요 은행의 파밍 사이트로 연결된다. 이는 기존 국내의 파밍 공격과 유사한 형태이며, 관찰 결과 3주 연속 삽입되어 악성코드를 유포했던 정황이 확인됐다.
이와 관련 빛스캔(대표 문일준) 측 관계자는 “지난 10일에 처음 발견되어 21일까지 일본성인방송을 사이트에서 유포됐다”며 “이곳에 접속하면 금융정보를 탈취하기 위한 파밍 사이트로 연결된다”고 밝혔다.
이번 파밍 공격과 관련해 빛스캔 측은 “hosts 파일을 변조시켜 야후재팬 플로팅 배너를 통해 가짜 은행 사이트로 연결된다”며 “사용자가 실제로 해당 은행에 대한 금융정보를 입력할 경우 국내와 비슷한 형태로 공격자 관리하는 서버에 저장된다. 입력된 정보를 확인한 결과, 이곳에서는 피해자가 직접 입력한 것으로 추정되는 데이터도 발견됐다”고 밝혔다.
파밍 신호탄, 정보 공유 및 국제 공조 필요
또한, 공격자가 직접 테스트 과정을 거치고 있는 것으로 보이며, 본격적으로 일본 웹 사이트를 활용해 불특정 다수에게 공격을 감행한다면, 공격자들은 국내에서처럼 많은 개인정보 및 금전적 이득을 취할 것으로 예상된다고 덧붙였다.
이를 예방하기 위해서는 무엇보다 ‘공격 통로’인 악성 URL을 사전에 탐지해 차단해야 한다고 밝혔다. 특히, 파밍 통한 금융정보 탈취의 경우 사용자의 주의를 요구하는 것만으로 해결되기 어렵기 때문에 전체 환경 개선을 위해 각 서비스 제공자들의 노력이 결합되어야 한다는 게 빛스캔 측의 설명이다.
이와 관련 순천향대 염흥열 교수는 “지금까지는 국내 은행 고객이 타깃이었으며, 외국 사이트를 경유지로 악용했다”며 “이번에는 일본 은행고객이 타깃으로 국내 사이트가 경유지로 이용된 사례라 여러 곳에서 동시에 관찰되고 있다. 사이버 위협 정보에 대해 공유할 수 있는 국제 공조가 필요하다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
갈수록 지능화되는 파밍 공격 확산, 정보 공유 및 국제 공조 필요
[보안뉴스 김경애] 일본 게임사이트에서 유포되고 있는 파밍용 악성코드가 국내 사이트를 경유지로 악용하고 있어 이용자들의 주의가 요구된다. 특히, 국내는 파밍 악성코드에 대해 많이 알려져 있지만, 일본 은행 이용자를 타깃으로 한 공격에 국내 사이트가 이용된 사례는 아직 보고된 바 없어 더욱 주목되고 있다. 이는 공격자의 공격 패턴에도 변화가 생겼다는 것을 의미한다.
▲ 악성코드 유포에 사용된 일본 웹사이트
일본 게임사이트, 파밍용 악성코드 유포
순천향대 사이버보안연구센터(센터장 염흥열 교수)는 “지난 18일부터 국내 사이트가 파밍용 악성코드 경유지로 악용되고 있다”며 “공격자는 악성코드 유포를 위해 일본의 게임사이트 “w****me.jp”를 해킹해 악성스크립트를 삽입했다. 삽입된 악성스크립트는 국내 사진 스튜디오 업체의 웹 사이트인 “dps****o.com”, 어린이 도서 웹 사이트인 “go****i.com”를 호출하여 파밍 악성코드를 감염시켰다고 설명했다.
▲ 최초 삽입된 악성 스크립트
해당 공격은 국내에서 탐지되고 있는 CK 익스플로잇 킷(CK Exploit Kit)을 이용한 공격 방식이며, 자바, 어도비 플래시 플레이어, 인터넷 익스플로러(IE) 등 해당 시스템의 설치된 응용프로그램의 취약점이 악용된 것으로 분석됐다.
유포된 파밍 악성코드는 일본의 쟈파네토은행, 미즈호은행, 신생은행 등 금융 사이트를 대상으로 할 뿐만 아니라, 야후재팬, 구글재팬, 우체국 등의 사이트도 파밍 대상에 포함되어 있기 때문에 일본 사용자의 주의가 요구되고 있다.
이와 관련 사이버보안연구센터 이지오 연구원은 “해외 웹사이트를 통한 악성코드 유포에 국내 사이트가 이용되기 시작했다”라며, “국내 웹사이트 관리자의 각별한 보안점검이 필요한 시점”이라고 말했다.
▲ 파밍 악성코드에 감염될 경우 금융정보 입력을 요구하는 파밍사이트 화면
이어 25일에는 국내 생활동화 사이트인 XX이 사이트의 경우도 일본 파밍용 악성코드 유포 경유지로 악용됐다. 해당 파밍용 악성코드에 감염되면 일본 금융감독원 팝업창이 뜨며, 팝업창 안에는 일본 가짜 은행사이트로 연결되도록 클릭을 유도하고 있다. 해당 은행을 클릭할 경우 금융정보 입력을 요구한다.
▲ 25일 경유지로 악용된 XX이 사이트 화면과 파밍으로 연결되는 과정 화면
이를 발견한 보안전문가 Auditor Lee는 “시작페이지는 yahoo.jp 로 변경되며, 맥 어드레스 정보를 수집하고, 디지털인증서를 탈취한다”며 “팝업창은 일본 금융감독원 창이 뜨는데, 일본은 금융감독원이 없고 금융청이 있다. 국내 공격과 유사하게 이용한 것으로, 국내에서 악성코드 유포에 사용되던 사이트가 국내에서 차단되다 보니 일본 공격에 재사용되고 있다”고 분석했다.
일본 성인사이트, 파밍용 악성코드 유포
▲ 지난 21일 파밍 악성코드 감염 후 야후재팬 접속시 등장하는 파밍 플로팅 배너
이어 최근에는 일본 성인 웹사이트에서도 드라이브 바이 다운로드(Drive-by-download) 공격이 발견됐다. 만약 악성코드에 감염되면 야후재팬 가짜 사이트로 이동되며, 팝업창과 함께 일본의 주요 은행의 파밍 사이트로 연결된다. 이는 기존 국내의 파밍 공격과 유사한 형태이며, 관찰 결과 3주 연속 삽입되어 악성코드를 유포했던 정황이 확인됐다.
이와 관련 빛스캔(대표 문일준) 측 관계자는 “지난 10일에 처음 발견되어 21일까지 일본성인방송을 사이트에서 유포됐다”며 “이곳에 접속하면 금융정보를 탈취하기 위한 파밍 사이트로 연결된다”고 밝혔다.
이번 파밍 공격과 관련해 빛스캔 측은 “hosts 파일을 변조시켜 야후재팬 플로팅 배너를 통해 가짜 은행 사이트로 연결된다”며 “사용자가 실제로 해당 은행에 대한 금융정보를 입력할 경우 국내와 비슷한 형태로 공격자 관리하는 서버에 저장된다. 입력된 정보를 확인한 결과, 이곳에서는 피해자가 직접 입력한 것으로 추정되는 데이터도 발견됐다”고 밝혔다.
파밍 신호탄, 정보 공유 및 국제 공조 필요
또한, 공격자가 직접 테스트 과정을 거치고 있는 것으로 보이며, 본격적으로 일본 웹 사이트를 활용해 불특정 다수에게 공격을 감행한다면, 공격자들은 국내에서처럼 많은 개인정보 및 금전적 이득을 취할 것으로 예상된다고 덧붙였다.
이를 예방하기 위해서는 무엇보다 ‘공격 통로’인 악성 URL을 사전에 탐지해 차단해야 한다고 밝혔다. 특히, 파밍 통한 금융정보 탈취의 경우 사용자의 주의를 요구하는 것만으로 해결되기 어렵기 때문에 전체 환경 개선을 위해 각 서비스 제공자들의 노력이 결합되어야 한다는 게 빛스캔 측의 설명이다.
이와 관련 순천향대 염흥열 교수는 “지금까지는 국내 은행 고객이 타깃이었으며, 외국 사이트를 경유지로 악용했다”며 “이번에는 일본 은행고객이 타깃으로 국내 사이트가 경유지로 이용된 사례라 여러 곳에서 동시에 관찰되고 있다. 사이버 위협 정보에 대해 공유할 수 있는 국제 공조가 필요하다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-11-22] 
.jpg)
.jpg)
.jpg)
.jpg)
