제주항공 도메인 비롯한 국내 다수 웹사이트, 광고 배너 통해 마이랜섬 유포
[보안뉴스 김경애 기자] 국내 저가항공사인 제주항공 도메인(www.jejuair.co.kr)를 비롯해 국내 여러 웹사이트에서 한국을 타깃으로 제작된 ‘마이랜섬(My Ransom)’ 랜섬웨어가 지속적으로 유포되고 있어 웹사이트 이용자들의 각별한 주의가 요구된다.
본지가 취재한 바에 따르면 23일 오전 10시 8분경 제주항공 도메인에서 마이랜섬 랜섬웨어가 유포된 정황이 포착됐으며, 현재(오후 2시 44분)까지도 계속 유포되고 있는 것으로 분석됐다. 특히, 웹사이트 접속만으로 마이랜섬 랜섬웨어에 감염될 수 있는 드라이브 바이 다운로드 방식으로 유포되고 있어 추가 피해가 예상되고 있다.
현재 유포되고 있는 마이랜섬 랜섬웨어는 광고 서버를 통해 유포되고 있는데, IP로 인증하기 때문에 다른 IP에서 접속할 경우 또 다시 감염되는 것으로 분석됐다.
위협정보대응 전문 서비스를 제공하는 제로써트(ZeroCERT)에 따르면 홈페이지 광고프로그램을 통해 유포하는 멀버타이징 방식으로 마이랜섬 랜섬웨어가 유포되고 있으며, 광고 서버나 도메인은 바뀔 수 있기 때문에 제주항공 웹사이트의 광고배너가 유포에 악용된 것으로 분석했다.
현재 제주항공의 경우 www.jejuair.net을 대표 홈페이지로 사용하고 있지만, 본지 확인 결과 현재 호스팅 업체에 등록된 도메인 이름은 www.jejuair.co.kr이다. 등록인과 책임자 모두 제주항공으로 되어 있는 상태다.
더군다나 호스팅 업체에서 확인되는 도메인 네임서버는 도메인 관리자 홈페이지에서 변경이 가능해 서버 해킹과 관리자 계정 탈취 가능성도 제기되고 있다.
이와 관련 제로서트 측은 “서버 해킹을 통해 랜섬웨어 유포에 악용됐거나 도메인 관리자 계정 탈취로 연결될 수 있어 서버 보안뿐만 아니라 관리자 계정 관리도 중요하다”며, “이에 IP를 중간해서 가로챘는지 여부와 서버 해킹 및 관리자 계정 탈취 여부 등에 대한 철저한 조사가 필요하다”고 강조했다.
본지는 제주항공 측의 입장을 듣기 위해 계속 통화를 시도하고 있지만 아직 연결되지 않고 있다. 이렇듯 제주항공 도메인 주소를 통해 랜섬웨어가 계속 유포되고 있는 만큼 웹사이트 이용자들은 백신과 소프트웨어를 최신 버전으로 업데이트해 유지하고, 악성코드가 제거되기 전까지 가급적 제주항공 도메인(www.jejuair.co.kr)에 접속하지 않는 것이 바람직하다.
한편, 마이랜섬 랜섬웨어는 케르베르(Cerber) 랜섬웨어의 변형으로 매그니튜드 익스플로잇 킷을 통해 유포되는 것으로 알려졌는데, 이로 인해 파이어아이 등 해외 보안업체나 언론을 중심으로 매그니베르 또는 매그니버 랜섬웨어로 불리기도 한다. 그러나 본지에서는 국내에서 최초 발견한 순천향대 SCH사이버보안연구센터가 작명한 마이랜섬 랜섬웨어로 통일해 사용한다.
[김경애 기자(boan3@boannews.com)]
[보안뉴스 김경애 기자] 국내 저가항공사인 제주항공 도메인(www.jejuair.co.kr)를 비롯해 국내 여러 웹사이트에서 한국을 타깃으로 제작된 ‘마이랜섬(My Ransom)’ 랜섬웨어가 지속적으로 유포되고 있어 웹사이트 이용자들의 각별한 주의가 요구된다.
▲제주항공 도메인에서 마이랜섬 랜섬웨어가 유포된 정황 화면[이미지=보안뉴스 입수]
본지가 취재한 바에 따르면 23일 오전 10시 8분경 제주항공 도메인에서 마이랜섬 랜섬웨어가 유포된 정황이 포착됐으며, 현재(오후 2시 44분)까지도 계속 유포되고 있는 것으로 분석됐다. 특히, 웹사이트 접속만으로 마이랜섬 랜섬웨어에 감염될 수 있는 드라이브 바이 다운로드 방식으로 유포되고 있어 추가 피해가 예상되고 있다.
현재 유포되고 있는 마이랜섬 랜섬웨어는 광고 서버를 통해 유포되고 있는데, IP로 인증하기 때문에 다른 IP에서 접속할 경우 또 다시 감염되는 것으로 분석됐다.
위협정보대응 전문 서비스를 제공하는 제로써트(ZeroCERT)에 따르면 홈페이지 광고프로그램을 통해 유포하는 멀버타이징 방식으로 마이랜섬 랜섬웨어가 유포되고 있으며, 광고 서버나 도메인은 바뀔 수 있기 때문에 제주항공 웹사이트의 광고배너가 유포에 악용된 것으로 분석했다.
현재 제주항공의 경우 www.jejuair.net을 대표 홈페이지로 사용하고 있지만, 본지 확인 결과 현재 호스팅 업체에 등록된 도메인 이름은 www.jejuair.co.kr이다. 등록인과 책임자 모두 제주항공으로 되어 있는 상태다.
더군다나 호스팅 업체에서 확인되는 도메인 네임서버는 도메인 관리자 홈페이지에서 변경이 가능해 서버 해킹과 관리자 계정 탈취 가능성도 제기되고 있다.
이와 관련 제로서트 측은 “서버 해킹을 통해 랜섬웨어 유포에 악용됐거나 도메인 관리자 계정 탈취로 연결될 수 있어 서버 보안뿐만 아니라 관리자 계정 관리도 중요하다”며, “이에 IP를 중간해서 가로챘는지 여부와 서버 해킹 및 관리자 계정 탈취 여부 등에 대한 철저한 조사가 필요하다”고 강조했다.
본지는 제주항공 측의 입장을 듣기 위해 계속 통화를 시도하고 있지만 아직 연결되지 않고 있다. 이렇듯 제주항공 도메인 주소를 통해 랜섬웨어가 계속 유포되고 있는 만큼 웹사이트 이용자들은 백신과 소프트웨어를 최신 버전으로 업데이트해 유지하고, 악성코드가 제거되기 전까지 가급적 제주항공 도메인(www.jejuair.co.kr)에 접속하지 않는 것이 바람직하다.
한편, 마이랜섬 랜섬웨어는 케르베르(Cerber) 랜섬웨어의 변형으로 매그니튜드 익스플로잇 킷을 통해 유포되는 것으로 알려졌는데, 이로 인해 파이어아이 등 해외 보안업체나 언론을 중심으로 매그니베르 또는 매그니버 랜섬웨어로 불리기도 한다. 그러나 본지에서는 국내에서 최초 발견한 순천향대 SCH사이버보안연구센터가 작명한 마이랜섬 랜섬웨어로 통일해 사용한다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
