2020-09-29 17:00 (화)
계정정보 탈취하는 악성코드 국내 유포중...사용자 모르게 감염돼
상태바
계정정보 탈취하는 악성코드 국내 유포중...사용자 모르게 감염돼
  • 길민권 기자
  • 승인 2018.03.16 11:35
이 기사를 공유합니다

가상화폐 거래소 등 웹사이트 접속 시 계정정보 탈취

▲ 국내 가상화폐 거래소의 접속 계정정보를 탈취하여 악성코드가 남긴 로그. 하우리 제공.
▲ 국내 가상화폐 거래소의 접속 계정정보를 탈취하여 악성코드가 남긴 로그. 하우리 제공.
웹사이트 이용자 계정정보를 탈취하는 악성코드가 국내에 유포되고 있다. 국내 사용자들의 각별한 주의가 필요한 상황이다.

확인 결과, 현재 국내에 유포되고 있는 ‘헤르메스’ 랜섬웨어와 함께 유포되었으며 최신 플래시 취약점 등을 이용해 '선다운(Sundown)' 익스플로잇 킷을 통해 유포되었다. 웹 서핑 도중 사용자 모르게 은밀히 감염되고 있어 더욱 위험하다.

웹을 통해 최초 감염된 악성코드는 '윈도우 탐색기(explore.exe)'에 특정 코드를 삽입해 동작시킨다.

가상머신을 탐지해 악성코드 분석 시스템이나 분석가들일 경우에는 동작을 하지 않는다. 이후 사용자 PC 내의 각종 정보들을 수집해 특정 서버로 전송한다.

악성코드는 지속적으로 PC에 상주하며 4가지 웹 브라우저(‘인터넷 익스플로러’, ‘크롬’, ‘파이어폭스’, ‘오페라’)의 입력 데이터를 가로채 웹 사이트에 접속하는 계정정보들을 식별하여 로그로 남기고 탈취한다.

'HTTPS' 보안 프로토콜을 통해 통신하는 웹사이트들에 대해서도 웹 브라우저에 입력하는 원시 데이터를 가로채기 때문에 계정정보를 탈취할 수 있다.

최상명 CERT 실장은 “랜섬웨어를 유포하는 조직이 함께 유포하는 악성코드로 금전적인 이득을 목표로 하는 것으로 추정된다”며 “가상화폐 거래소 등 다양한 웹사이트의 계정정보가 탈취되어 2차 피해를 유발할 수 있다”고 밝혔다.

해당 악성코드의 국내 유포는 하우리 인텔리전스 위협 탐지 시스템(Radar)에 의해 최근 발견되었다.

★정보보안 대표 미디어 데일리시큐!★