2024-03-29 18:30 (금)
실제 공인인증서 암호 탈취 시도 악성파일 등장!
상태바
실제 공인인증서 암호 탈취 시도 악성파일 등장!
  • 길민권
  • 승인 2013.01.29 02:17
이 기사를 공유합니다

공인인증서 암호 직접 겨냥한 KRBanker 변종 등장…주의!
국내 인터넷 뱅킹용 이용자들을 노린 악성파일(KRBanker) 변종이 거의 매일 새롭게 발견되고 있는 가운데, 최근 기존과 다른 형태의 악성파일 유형이 발견되었다. 최근에 발견된 악성파일은 실제 공인인증서 화면에 입력되는 암호 자체를 탈취하기 위한 시도를 하기 시작한 것으로 드러났다.
 
지금까지 발견된 다양한 형태 중 대다수는 호스트파일(hosts)의 내용을 변경하여 정상적인 금융사이트 주소로 접속을 하더라도 피싱사이트로 연결되도록 조작하는 방식이 주로 이용되고 있다.
 
그외에 호스트파일(hosts)을 변경하지 않고 악성파일이 사용자의 인터넷 접속 사이트를 모니터링하다가 특정 금융사이트 주소에 접근시 피싱사이트로 웹 페이지를 교묘하게 바꿔치기 하는 수법 등이 존재한다. 이러한 방식은 모두 공통적으로 가짜로 만들어진 공인인증서 전자서명 로그인 화면을 보여주어 사용자가 입력하는 공인인증서 암호를 손쉽게 탈취할 수 있도록 만들어져 있다. 이제는 암호 자체를 탈취하는 수준까지 오고 있다.
 
잉카인터넷 대응팀 관계자는 “전자금융사기용 악성파일이 다각적인 방식을 도입하는 등 꾸준히 지능화되고 있다는 점을 명심하고, 전자금융서비스 이용자들 스스로 금융보안위협에 노출되지 않도록 각별히 주의해야 한다”며 “특히 그 무엇보다 어떠한 경우라도 인터넷 뱅킹용 보안카드의 전체번호 모두를 동시에 입력하지 않도록 유념해야 한다”고 강조했다.
 
잉카인터넷 대응팀 분석에 따르면, 이번에 발견된 악성파일(KRBanker)은 국내 특정 웹 사이트가 불법 변조되어, JAVA 보안취약점을 보유하고 있는 사용자가 사이트에 접속하는 것만으로 악성파일에 자동적으로 감염되도록 만들어져 있었다.
 
보안취약점에 노출되어 Dropper 기능의 1차 악성파일("RunIeHelpG.exe")에 감염되면, 윈도우즈(Windows) 하위 폴더에 "handownbak" 이름의 폴더가 생성되고, 내부에 "kbs.exe", "ftp.exe", "LoginMgr.dll", "DeleteAll.exe", "config.ini" 등의 악성파일이 추가로 생성되고 실행된다.
 
"kbs.exe" 파일은 한국어 프로그램 언어로 제작되어 있고, 원본파일명은 한국(han)과 은행(bank)을 의미하는 것으로 추정되는 "hanbank.exe" 이다.
 
사용자가 웹 브라우저를 이용해서 특정 인터넷 뱅킹 사이트에 접속을 시도하면 "kbs.exe", "ftp.exe" 등이 실행되며, 사용자의 공인인증서(NPKI) 탈취시도와 함께 감염된 컴퓨터의 MAC주소, 공인인증서(NPKI) 로그인 암호 탈취 등이 시도된다.
 
"ftp.exe" 파일의 경우 110.34.233.146 주소의 FTP 주소로 로그인(a123/a123)하여 공인인증서(NPKI) 파일을 전송시도한다.
 
감염된 사용자가 실제 공인인증서 화면에서 로그인을 시도하게 되면 MAC주소와 공인인증서 암호 등이 외부로 탈취시도된다. 실제 공인인증서를 이용해서 테스트를 수행하고 있고 테스트에 사용된 "npki_pass_test" 값의 암호가 외부로 전송 시도되는 것을 확인할 수 있다.
 
하지만 설명한 바와 같이 공인인증서와 암호 탈취를 시도하는 과정에서 실제 금융권에서 서비스 중인 키보드보안 프로그램이 악성파일의 동작을 감지하여 안내창을 띄우고, 강제로 웹페이지 접속을 차단해 실제 테스트에서는 공인인증서 다음 화면으로 이동하지는 못했다.
 
잉카인터넷 관계자는 “악성파일 제작자들은 다양한 기법을 이용해서 전자금융사기용 악성파일(KRBanker)을 꾸준히 제작하고 있고, 거의 매일 새롭게 변종이 양산되어 유포 중”이라며 “아울러 피싱사이트 뿐만 아니라 실제 금융사이트의 정보를 직접 겨냥하여 탈취도 시도하고 있다는 점을 간과해서는 안될 것”이라고 강조했다.
 
또 “28일 오전에도 다양한 피싱사이트가 발견되었고 피싱사이트의 메인 화면에는 실제 존재하지 않는 팝업 화면을 출력하여 이용자들로 하여금 금융정보를 입력하도록 유혹하고 있다”며 “해당 피싱사이트는 한국인터넷진흥원 종합상황실에 긴급으로 차단을 요청한 상태”라고 밝혔다.

 
더불어 “피싱사이트는 대부분은 평소와 다르게 금융정보를 과도하게 입력하도록 유도하며, 특히 보안카드의 모든 비밀번호를 입력하도록 하는 것이 특징”이라며 “국내의 어떠한 금융권도 보안카드의 모든 비밀번호를 동시에 요구하는 경우는 없다는 점을 명심한다면 유사한 보안위협을 효과적으로 예방할 수 있다”고 덧붙였다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com
■ 보안 사건사고 제보 하기

▷ 이메일 : mkgil@dailysecu.com

▷ 제보 내용 : 보안 관련 어떤 내용이든 제보를 기다립니다!

▷ 광고문의 : jywoo@dailysecu.com

★정보보안 대표 미디어 데일리시큐 / Dailysecu, Korea's leading security media!★