9일 팔로알토네트웍스코리아(대표 최원식)는 팔로알토네트웍스의 보안 정보팀 '유닛42(Unit 42)'의 조사 결과를 인용, 국내 온라인 뱅킹 사용자들의 금융정보탈취를 위한 악성파일 'KR뱅커(KRBanker)' 활동이 급증하고 있다고 밝혔다.
자체 보안 인텔리전스 분석 서비스 '오토포커스(Autofocus)'를 통해 지난해부터 KR뱅커를 인지하고 추적해 온 유닛42는 올해 초부터 감염 대상이 꾸준히 증가해 최근 6개월 동안 2000여개 이상의 공격 샘플과 200여개 이상의 파밍(pharming) 서버 주소가 존재하는 것을 확인했다. 파밍 방식은 사용자를 위변조한 웹사이트로 접속하도록 만든 뒤 개인정보를 빼내는 방식이다.
'블랙문(Blackmoon)'이라는 이름으로 불리기도 하는 이 악성코드는 '카이신(Kaixin)'이라고 불리는 익스플로잇키트(EK)를 통해 설치되며 '뉴스포트(NEWSPOT)'이라고 불리는 악성 애드웨어를 이용해 유포된다. 뉴스포트는 원래 온라인 쇼핑 사이트에서 매출 증진을 위해 사용해 온 일반적인 애드웨어였으나, 지난해부터 멀웨어를 유포하는데 악용되고 있는 것으로 분석된다. 윈도 방화벽이 1차적으로 이를 차단하고 실행 여부를 묻는데, 대부분의 사용자들은 해당 프로세스가 마이크로소프트가 게시한 것으로 인식해 실행을 허용하면서 문제가 불거진다.
팔로알토네트웍스는 "현재 KR뱅커가 다수의 국내 금융사를 대상으로 공격을 시도하고 있다"고 분석했다. 파밍 공격의 대상이 된 사용자가 해당 금융 기관을 방문하는 경우, 사용자는 금융 정보를 탈취하기 위한 위조 사이트로 이동하게 되고, 이 사이트는 브라우저 주소창에 유효한 URL이 표시되며, 아래 그림과 같이 원본 사이트와 유사하게 제작되어 금융 정보 탈취를 유도한다.
팔로알토네트웍스는 "KR뱅커는 온라인 뱅킹 정보에 접근하기 위해 NPKI 디렉터리의 인증서를 탈취하는 한편 안랩(Ahnlab) V3 보안 소프트웨어를 종료시키는 기능을 가지고 있다"며 "이 공격은 오래된 취약점을 보유한 익스플로잇 킷과 사용자가 직접 설치하는 애드웨어를 사용하는 만큼 더 많은 사용자들이 감염 경로를 정확히 이해하는 것이 중요하다"고 설명했다.
이재운기자 jwlee@dt.co.kr
악성코드 KR뱅커가 유도하는 파밍 사이트 화면. 팔로알토네트웍스 제공
KR뱅커 실행 시 나타나는 경고 화면. 윈도 방화벽이 실행을 멈추고 이 메시지를 띄우지만, 게시자가 마이크로소프트로 돼있는 탓이 대부분의 사용자가 액세스 허용을 눌러 피해가 우려되고 있다. 팔로알토네트웍스 제공
