지난 2월 1일 해외 특정 FTP 서버로 국내 이용자들의 공인인증서(NPKI)파일이 다량으로 유출된 정황이 포착됐다. 해당 악성파일(KRBanker)은 국내 IP주소로 할당되어 있는 곳에서 유포되었는데, 도메인은 지난 1월 21일 중국인으로 추정되는 명의로 생성된 곳이다. 또한 악성파일은 2013년 1월 25일 잉카인터넷 대응팀을 통해서 공개된 바 있는 KRBanker 변종형태로 실제 공인인증서 창의 클래스명(QWidget)을 감시하고 있다가 공인인증서가 활성화되면 조작된 가짜 입력화면을 교묘히 겹쳐서 입력되는 비밀번호를 탈취하게 된다.
 
잉카인터넷 대응팀 관계자는 “기존 정상적인 전자서명 화면을 이용하고 있다는 점에서 각별한 주의가 필요하다. 특히, 전자금융사기 사이버 범죄자들이 운영하는 FTP 서버에 다수의 공인인증서가 탈취된 내역이 공식적으로 확인된 상태이기 때문에 그 심각성이 사실로 입증되었고, 유출된 공인인증서(NPKI) 파일들이 또 다른 범죄에 악용될 소지도 충분히 있을 수 있으므로, 금융보안 강화에 그 어느 때보다 많은 관심을 가져야 할 시기”라고 강조했다.
 
더불어 “이용자들은 보안카드의 전체 비밀번호를 컴퓨터에 보관해 두지 않도록 하며, 인터넷 상에서 보안카드의 모든 비밀번호를 입력하도록 요구하는 경우 100% 금융 피싱(파밍)이라는 점을 명심해야 한다”고 덧붙였다.
 
◇악성파일 상세 기능 및 공인인증서 탈취 과정
잉카인터넷에서 분석한 해당 악성파일(KRBanker)은 웹 사이트의 보안취약점을 통해서 전파되는 수법을 이용하고 있어, 보안이 취약한 이용자가 해킹되어 변조된 특정 웹 사이트의 접속만으로 악성파일에 감염되게 되고, 이용자는 자신이 언제 악성파일에 감염되었는지 인지하지 못하는 경우가 일반적이다.
 
악성파일에 감염이 이루어지면, 윈도우(Windows) 하위폴더에 "hanhelp" 이름의 폴더를 생성하고, 특정 웹 사이트로 접속하여 추가 악성파일을 다운로드한다. 악성파일 유포에 사용된 도메인은 중국인 추정의 명의로 등록되어 있다.
 
각각의 파일은 서버에서 컴퓨터에 다운로드될 때 파일명 앞부분에 ps라는 접두어가 추가되어 생성된다.
 
"psLoginMgr.dll" 파일은 웹 도우미 객체(BHO:Browser Helper Objects)에 등록시켜, 웹 브라우저(Internet Explorer)가 동작시 자동으로 실행되도록 만들며 다양한 기능을 수행한다.
 
특정 금융사이트 도메인 접속시 윈도우 방화벽 서비스를 중지하고, 감염된 컴퓨터의 MAC 주소 등을 외부로 유출 시도한다. 또한 조건에 따라 모든 악성파일을 스스로 삭제하는 기능의 "psDeleteAll.exe" 파일을 실행한다.
 
"psDeleteAll.exe" 명령 수행조건이 아니면, [GetWindowsDirectoryA] API 함수를 통해서 윈도우 경로를 구하고, [WinExec] 명령을 통해서 "hanhelp" 폴더에 포함된 "pskbs.exe" 악성파일을 실행하도록 한다.
 
사용자의 MAC 주소를 체크하고, Internet Explorer 버전을 확인한다.
 
Internet Explorer 버전을 확인 후에 특정 웹 사이트로 접근하여 버전에 따라 "kbstar_IE6.js", "kbstar_IE8.js" 스크립트 파일을 실제 금융사이트의 Body 부분에 삽입하게 된다.
 
자바스크립트 파일 내부에는 인터넷 뱅킹용 보안카드 비밀번호를 입력하도록 유도하고 탈취시도하는 코드들이 포함되어 있다.
 
"pskbs.exe" 파일이 실행되면 "psftp.exe" 파일을 보이지 않도록[SW=HIDE] 실행하기 때문에 실제 화면에는 보이지 않는다.
 
"pskbs.exe" 파일은 이용자가 특정 금융사이트 접속시 공인인증서 화면이 나오는지 감시하기 위해서 전자 서명창의 클래스명인 "QWidget" 이름을 비교하고, [GetWindowTextW] 함수로 만들어진 가짜 입력 폼에 입력되는 공인인증서 암호 등의 탈취를 시도한다.
 
"psftp.exe" 파일이 실행되면 사용자의 하드디스크의 드라이브를 순차적으로 검색하고, 공인인증서(NPKI) 존재여부를 조회한다.
 
공인인증서(NPKI) 파일이 검색되면 FTP 서버(174.139.67.234)로 접속하여 감염된 컴퓨터의 MAC 주소 이름으로 서버에 폴더를 생성하고, 공인인증서를 업로드한다.
 
이러한 과정을 통해서 유출되는 공인인증서(NPKI)들은 미국소재의 [174.139.67.234] IP주소의 FTP로 전송이 되며 내부에는 실제로 다수의 공인인증서 파일이 유출된 내역을 볼 수 있다.
 
이중 FTP 서버에 공인인증서 파일이 등록된 시간기준으로 2013년 01월 31일 오전 07시 56분과 08시 02분에 등록된 공인인증서는 중국인 명의로 추정되는 사용자 파일이 업로드되어 있다.
 
해당 공인인증서는 2012년 09월 29일 발급되었고, 2013년 10월 27일 만료 예정이다.
 
그런데 이 공인인증서는 MAC 주소가 VMWare 프로그램상에서 초기값(00:0c:29:**:**:**)으로 사용되는 코드를 사용하고 있어, 실제 악성파일 유포 조직들이 탈취 테스트를 수행한 것으로 의심되고 있다.
 
또한, 특정 하위 폴더에는 한글로 "새 폴더"가 생성되어 있었고, "down.rar" 압축파일에는 또 다른 변종도 등록되어 있었다.
 
◇피싱 사이트 진위 여부 판단법
잉카인터넷 관계자는 “접속한 곳이 실제 정상적인 금융사이트인지, 아니면 모방 사칭된 금융 피싱사이트인지 판가름하기 어려울 정도로 최근의 피싱사이트들은 매우 정교화되고 디자인도 한글을 포함해서 다양한 방식으로 고급화되고 있는 추세”라며 “여기서 이용자들이 무엇보다 주목해야 할 부분은 바로 사이버 범죄자들이 노리는 공통점이 무엇일까라는 점이다. 그들은 사용자들의 개인 금융정보 탈취를 통해서 예금을 불법 인출하기 위한 목적을 가지고 있다”고 밝혔다.
 
따라서 “과도하게 금융정보를 요구하는 웹 사이트가 있다거나 그동안 여러차례 강조했던 것처럼 절대 공개되어서는 안되는 보안카드의 전체 비밀번호를 동시에 요구하는 경우는 모두 피싱사이트라는 점을 기억하고 있다면 유사한 금융 보안위협을 능동적으로 대처할 수 있을 것”이라고 설명했다.
 
더불어 “2013년은 전자금융사기용 악성파일(KRBanker) 변종이 더욱 더 기승을 부릴 전망이며, 기술적으로도 진화를 거듭할 것으로 예상되는 만큼, 인터넷 뱅킹 이용자들은 보안카드의 번호를 직접 입력하거나 외부에 노출되지 않도록 각별한 주의를 기울여야 할 것”이라고 당부했다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com