지난 7월 7일 월요일 오후 1시경부터 다수의 국내 웹사이트를 통해 국내 온라인 결제모듈 액티브엑스(ActiveX) 업데이트 파일 변조 취약점 및 국내 DRM 제품모듈 ActiveX 취약점 등을 이용하여 3.20 악성코드의 최신 변종 시리즈가 유포되는 것이 확인돼 이용자들의 각별한 주의가 요구된다.
 
하우리 관계자는 “해당 악성코드에 감염되면 감염 정보를 1차 C&C 서버로 전송하며 추가적인 명령을 수신해 악성행위를 수행하게 된다”며 “1차 C&C 서버는 대부분 제로보드, 케이보드 등 국내 게시판을 사용하는 웹사이트로써 국내 게시판의 취약점을 이용해 C&C 서버를 확보한 것으로 추정된다”고 설명했다.

 
특히 해당 악성코드가 접속하는 C&C 서버 중 일부는 2013년 3.20 방송/금융 사이버테러의 악성코드가 사용한 C&C 서버와 일치한다. 또한 명령을 수신해 복호화하고 정보를 C&C 서버로 전송하는 암호화 로직이 3.20 악성코드와 동일한 로직을 사용하고 있다.
 
또한 1차 C&C 서버로부터 명령을 수신 받아 추가적으로 다운로드해 실행하는 악성코드는 토르(TOR) C&C 서버를 2차 C&C 서버로 사용한다. TOR C&C는 작년 6월 25일에 정부 DNS 서버를 대상으로 디도스 공격을 수행한 악성코드가 사용됐으며, 토르 C&C 서버를 통해서 추가적인 명령을 수신해 악성행위를 수행하도록 되어 있다.
 
최상명 하우리 차세대보안연구센터장은 “작년과는 다르게 관제를 강화한 결과 3.20 악성코드의 최신 변종 시리즈를 조기에 발견하게 되었다”며 “1차 C&C 서버와 2차 TOR C&C 서버를 통해 추가로 수신하는 암호화된 명령을 해독하며 예의주시 중”이라고 밝혔다.
 
<★악성코드 정보 대표 미디어 데일리시큐!★>
 
데일리시큐 길민권 기자 mkgil@dailysecu.com