합법적 웹사이트 매개로 악성SW 유포

악의적 광고ㆍSQL 인젝션 공격으로 '멀웨어' 설치
모든 SWㆍ보안제품 항상 최신 상태로 업데이트를


오늘날 웹은 정보 공유, 전자상거래, 사회 교류를 위한 필수 요소로서 일상 생활과 비즈니스 모두에서 높은 비중을 차지하고 있습니다. 이에 따라 최근 금전적인 이익을 목적으로 웹을 통해 사용자를 공격하는 웹 기반 공격이 증가하고 그 방식 역시 매우 정교해지고 있습니다.

특히 주로 불법 사이트를 통해 웹 기반 공격이 이뤄지던 과거와 달리, 현재는 모든 사이트가 사용자 컴퓨터 공격의 매개체로 사용되고 있어 문제가 더욱 심각합니다. 시만텍이 조사한 자료에 따르면 지난해 온라인 쇼핑, 게임, 뉴스, 여행, 정부 등 대형 웹사이트 80만8000개의 도메인에서 웹 공격을 발견했습니다. 사이버 범죄자들은 웹 공격 대상을 최대화하기 위해 이 같은 대형 웹사이트를 대상으로 하고 있습니다.

웹 기반 공격의 종류는 다양하지만 대부분 공격자가 합법적인 웹사이트에 침입해 악의적 목적의 소프트웨어인 멀웨어를 설치하고 멀웨어가 웹사이트를 방문한 사용자의 컴퓨터를 공격하도록 합니다.

합법적인 사이트를 악용하는 방법으로는 악의적 광고와 SQL 인젝션 공격을 들 수 있습니다. 대형 웹사이트의 광고는 대부분 외부의 광고 콘텐츠 업체를 통해 제공되는데 공격자들은 이런 광고 업체를 통해 합법적인 사이트에 악의적인 광고를 게시합니다. 악의적 광고는 1000 페이지마다 한 번씩만 표시되거나 특정 지역의 사용자들에게만 표시되는 등 검색 및 제거가 어렵습니다.

SQL 인젝션 공격은 데이터베이스(DB)를 손상시키는 일반적인 공격 유형입니다. 공격자는 로그인 또는 계정 조회 양식과 같은 웹 입력 양식을 통해 SQL 명령을 삽입하고 DB에 악의적 콘텐츠를 추가합니다.

위와 같은 방식으로 웹사이트에 설치된 악성 콘텐츠는 웹사이트에 접속하는 것만으로 사용자가 알지 못하게 콘텐츠를 컴퓨터로 다운로드 하는 `드라이브 바이 다운로드' 기술이나 각종 응용 프로그램의 취약점을 통해 자동으로 전송된 후 사용자 시스템을 공격합니다.

웹 기반 공격은 속임수나 사기를 이용한 소셜 엔지니어링 기법도 함께 활용, 평소 보안에 충분히 대비하고 있는 사용자 역시 안심할 수 없습니다. 대표적 기법으로는 멀웨어를 멀티미디어 콘텐츠를 재생하기 위한 코덱으로 속이는 허위 코덱, 인기 애플리케이션에 악성 콘텐츠를 삽입해 P2P 사이트에 게시하는 악의적 P2P 파일 등이 있습니다.

블로그를 악용하는 블로그 스팸 역시 늘고 있습니다. 합법적인 블로그 댓글에 악의적인 웹페이지로 연결되는 링크와 유인 문구를 게시해 사용자가 악성 콘텐츠를 다운로드받도록 유도하는 방식으로 이런 과정을 자동화할 수 있는 툴이 거래되기도 합니다.

웹사이트에서 전송된 멀웨어는 사용자 컴퓨터에서 어떤 피해를 유발할까요. 현재 웹 기반 공격에서 가장 일반적으로 사용되는 멀웨어는 `로그웨어', `스케어웨어' 또는 가짜 안티바이러스 프로그램으로 알려진 `허위 알림ㆍ위장 애플리케이션'입니다. 허위 알림ㆍ위장 애플리케이션은 컴퓨터의 보안 상태에 문제가 있다고 알려 사용자가 존재하지 않거나 허위로 날조된 보안 위험을 제거하기 위해 가짜 보안 소프트웨어를 구입하도록 합니다. 또 허위 주문 페이지로 연결, 비용을 지불할 뿐 아니라 신용카드 번호 등 개인 정보를 제공하게 합니다.

키보드 입력 내용을 기록하는 키로거의 경우는 사용자가 온라인 뱅킹, 쇼핑, 게임, 이메일 등을 사용하면 ID 및 암호와 같은 개인 정보를 캡처, 공격자에게 전송합니다. 또 봇 감염을 통해 좀비 컴퓨터를 만들어 원격으로 제어해 스팸 발송, 불법 웹사이트 호스팅 등이나 분산서비스거부(DDoS) 공격에 악용하는 사례도 있습니다.

이런 웹 기반 공격의 피해를 막기 위해서는 평소 보안에 주의를 기울여야 합니다. 또 합법적인 웹사이트만을 방문하는 사용자라도 웹 기반 공격으로부터 안전할 수 없다는 사실을 인식해야 합니다.

가장 중요한 것은 운영체제(OS), 애플리케이션, 웹 브라우저 등 모든 소프트웨어를 최신 상태로 유지하는 것입니다. 새로운 취약점 악용은 웹 기반 공격에서 사용자 컴퓨터에 침입하기 위해 가장 일반적으로 이용되는 방법이므로 취약점 해결을 위한 업데이트 설치를 게을리 해서는 안됩니다.

이와 함께 사용 중인 보안 제품 역시 항상 업데이트 해야 합니다. 또 다양한 문자를 조합한 암호를 사용하고 온라인 뱅킹, 이메일 등 중요한 계정에 대해서 만이라도 고유한 암호를 설정하는 것이 안전합니다. 웹사이트 방문, 링크, 액티브X 설치 등 웹에서 발생하는 모든 사항들에 대해 주의를 기울여야 하며 의심스러운 광고나 안내 문구에 대해 웹이나 이메일의 내용을 전적으로 믿기보다 전화 등으로 확인할 필요가 있습니다.

강진규기자 kjk@

<자료제공=시만텍코리아>