그동안 다양한 KRBanker 악성파일들과 문자 메시지 서비스(SMS)를 이용한 피싱(파밍)시도 등이 공통적으로 이용자들을 현혹시키기 위해서 거짓으로 위장했던 이른바 "보안강화서비스", "보안승급서비스"라는 용어가 변경되기 시작됐다.
 
최근까지 여러 금융 기관들은 보안강화(승급)서비스라는 내용은 모두 존재하지 않는 허위정보라는 점을 여러차례 반복적으로 강조하고 지속적으로 안내하고 있다. 이 때문인지 최근 발견된 KRBanker 악성파일 변종이 꾸준히 사용하던 "보안강화(승급)서비스"라는 용어 대신에 "전자금융사기 예방서비스"라는 문구로 변경된 피싱사이트를 제작해 사용하기 시작한 정황이 잉카인터넷 대응팀 보안 모니터링 중에 공식 확인됐다.

 
잉카인터넷 관계자는 “전자금융 서비스 이용자들은 보안강화(승급)서비스와 더불어 "전자금융사기 예방서비스" 등의 내용에 현혹되지 않아야 하며, 금융사이트에서 과도한 개인정보 입력을 요구하거나 보안카드의 모든 번호를 입력하라는 화면을 볼 경우 무의식적으로 입력하는 오류를 범하지 않도록 각별한 주의가 필요한 상태”라고 주의를 당부했다.
 
최근 발견된 KRBanker 변종 악성파일은 호스트파일(hosts)을 이용하는 과거 기법의 형태로 발견되었고, 압축파일 자동압축해제 기능(SFX)을 이용해서 만들어진 EXE 실행파일 형태이다.
 
압축파일 내부에는 기존에 이미 알려진바와 동일하게 마치 어도브 관련 업데이트 파일처럼 보이도록 "adobe_update.exe" 파일명으로 설치되도록 제작되어 있다.
 
악성파일이 실행되면 내부 명령어에 따라서 윈도우 임시폴더(Temp)에 "adobe_update.exe" 악성파일을 설치하고 실행한다. 이때 "IPCONFIG.INI" 파일을 함께 설치해서 피싱사이트가 사용할 IP주소를 설정한다.
 
또한 이 IP주소 설정파일을 이용해서 호스트파일(hosts)을 수정해 정상적인 국내 인터넷 뱅킹 사이트가 특정 피싱 사이트로 접속이 변경되도록 수정하고 있다.
 
호스트파일이 변경되고 KRBanker 악성파일에 감염되면 이용자가 정상적인 하나은행, 국민은행, 우리은행, 새마을금고, 신한은행, 기업은행, 농협 등에 접속하더라도 피싱 IP 주소인 210.209.119.183 사이트로 연결이 시도된다.
 
특히, 호스트파일(hosts)을 이용하는 경우 도메인은 정상적인 금융사 사이트처럼 보이기 때문에 육안상으로 가짜 사이트라는 것을 판별하기 어렵다. 더불어 공인인증서(NPKI) 정보 탈취 시도도 동시에 진행한다.
 
최근 실제 악성파일에 감염된 상태에서 금융사이트에 접속했을 때 연결되어지는 화면을 보면, 예전처럼 보안강화서비스나 보안승급서비스라는 문구는 사라졌고 새롭게 전자금융사기 예방서비스로 둔갑하고 있다.
 
전자금융 서비스 이용약관이라는 내용으로 사용자를 현혹하며, 본인확인 절차를 위해서 이름과 주민등록번호 등을 입력하도록 요구한다. 개인정보를 입력 후 확인버튼을 클릭하게 되면 [실명 인증되였습니다.] 라는 오타가 포함된 메시지 창이 나타난다.
 
오타가 포함된 [실명 인증되(였->었)습니다.]라는 메시지 창의 확인버튼을 클릭하면 추가적인 개인정보 입력 요구화면이 나오게 된다. 특히 보안카드의 모든 암호를 입력하게 유도하는 특징을 가지고 있는데, 절대로 금융권에서는 보안카드의 모든 번호를 요구하지 않다는 것을 명심해야 한다.
 
또 잉카인터넷 대응팀 관계자는 “테스트 하던 과정 중에 전혀 입력하지 않은 특정 이용자의 이름과 주민번호가 화면에 출력되는 이상 증상이 확인되었다. 아마도 피싱 서버의 오류로 보여지며, 실제 누군가 자신의 정보를 직접입력하고 있는 것이 우리쪽 테스트 화면에 보여진게 아닌가 우려가 되는 부분이다”라고 밝혔다.
 
대응팀 관계자는 또 “악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다”며 “또한 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도다”라고 경고했다.
 
그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까?
 
대응팀 관계자는 “제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. 이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력”이라며 “악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다”고 권고했다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com