빛스캔, "파밍 공격에 새로운 수법 등장"

보안업체 빛스캔(대표 문일준)은 지난달 말부터 기승을 부리고 있는 파밍 악성코드에서 새로운 공격기법이 확인됐다고 20일 밝혔다.

이 수법은 기존에 악성코드가 파밍 사이트로 연결할 때 사용하던 DNS, 호스트(hosts.ics) 변조 방식이 아닌 PAC(Proxy Auto-config) 기능을 이용하는 것으로 밝혀졌다.

김설원 빛스캔 선임 연구원은 "PAC를 통해서 파밍 사이트에 연결하는 방식은 악성코드에 감염된 사용자가 입력한 주소를 내부 스크립트와 비교 한 후 값이 일치하면 파밍 사이트 주소로 연결하고, 일치하지 않을 경우에는 정상적인 사이트로 접속한다"며 "악성코드의 지속적인 실행을 위해 레지스트리를 통해 시작 프로그램에 등록하였고, 시작 페이지를 네이버로 강제적인 변경과 함께 커넥션 테스트를 하는 것으로 분석되었다"고 말했다.

지창훈 빛스캔 연구원은 "감염 직후 실행되는 바이너리는 랜덤한 파일이름을 가진 DLL 파일을 생성하여 rundll32.exe 파일에 인젝션하고, 이 과정에서 PAC(Proxy Auto-Config) 설정값 변조 및 공인인증서, 네트워크 어댑터 정보 등을 공격자 서버에 전송한 것으로 분석되었다"며 "공격자 서버로 전송한 이후에는 해당 파일을 삭제하여 사용자가 인지를 할 수 없게 하는 치밀함도 보였다"고 말했다. 아직 PAC 기능을 이용해 해킹 세력이 어느 정도 효과를 얻었는지는 파악되지 않았으나, 다양한 공격 방식이 등장한다는 점에서 주의할 필요가 있다는 지적이다.

파밍은 실제 유명 웹사이트나 공식 웹사이트와 유사하게 꾸민 웹사이트로 접속하도록 유도한 뒤 이를 통해 개인정보를 요구하거나 결제를 하게끔 꾀하는 등의 사이버 범죄 행위를 의미한다.

이재운기자 jwlee@dt.co.kr