키로거와 뱅킹 트로잔에 관한 연구가 발표돼 탈취된 은행 계좌 정보, 패스워드, 신용카드 번호 등 암시장 경제 분석에 도움이 될 것으로 보인다.
독일 만하임 대학(University of Mannheim)의 연구자들이 최근 키로거 관련 사례를 통한 암시장에 관한 연구를 통해 손상된 컴퓨터로부터 민감한 정보를 탈취하도록 고안된 맬웨어를 분석했다.(Learning More About the Underground Economy: A Case-Study of Keyloggers and Dr*pzone) 특히 공격자들이 탈취된 정보를 저장하기 위해 사용하는 이른바 “드랍존(dr*pzone)”의 연구를 위한 기술을 개발했다고 외신은 보도했다.
7개월여 간의 조사 기간을 통해 만하임 대학 연구자들은 70개 이상의 고유한 드랍존에 액세스할 수 있었으며 17만대 이상의 손상된 컴퓨터로부터 탈취된 데이터 약 33GB를 발견한 것으로 알려졌다. 이들 데이터에는 1만 7백 개 이상의 온라인 은행 계좌와 14만 9천 개의 이메일 패스워드, 5천 6백 개의 신용카드 상세 정보 등이 포함되어 있었다고 연구자들은 설명했다.
▲드랍존 통계 및 피해 국가/시스템 ZeuS 드랍존이 위치한 국가들(左)과 ZeuS에 감염된 운영 시스템 분포(右)
또한 이들 연구자들은 시만텍의 암시장 연구 결과를 인용, 탈취된 기밀 정보의 잠재적인 가치가 수백만 달러에 이른다고 강조했다. 아울러 감염된 기계의 거의 1/3이 미국과 러시아에 위치하고 있는 것으로 나타났다.
한편, 이들은 범죄자들이 은행이나 기타 사이트에서 사용자로 위장하기 위해 기밀 정보를 훔치고자 하는데서 착안, 그들이 임퍼스네이션 공격(Impersonation attack : 사칭/위장 공격)이라고 부르는 공격으로 분류해 맬웨어를 ‘ZeuS/Wsnpoem’, ‘Limbo/Nethell’ 등 크게 두 가지로 나누어 상세히 살펴봤다.
이러한 임퍼스네이션 공격은 세 가지 요소로 구성된다. 우선, 온라인 뱅크, 이베이나 아마존 같은 온라인 거래 플랫폼, 인터넷 서비스 공급자, 그리고 소셜 네트워크와 같은 와 같은 공급자(P : provider)와 이러한 공급자가 제공하는 서비스를 이용하는 사용자, 즉 피해자(V : victim), 그리고 끝으로 공격자(A : attacker)다.
공격자의 목표는 공급자의 서비스를 비인가된 방식으로 향유하는데 있다고 볼 수 있다. 즉, 공격자는 사용자(피해자)로 위장해(impersonate) 공급자의 서비스를 사용한다는 것이다. 그리고 이를 위해서는 피해자의 인증 정보 등이 필요하다. 다양한 실제 공격들이 이러한 임퍼스네이션 공격에 해당되는데, 피싱, 크로스사이트 스크립팅, 그리고 소셜 엔지니어링을 이용한 공격 등이 대표적인 예라 할 수 있다.
아울러 연구자들의 구분에 따르면 ZeuS/Wsnpoem 계열 맬웨어의 공격 채널은 스팸으로, 이러한 스팸은 첨부 파일에 키로거를 포함하고 있다. 반면 Limbo/Nethell 맬웨어는 피해자를 악성 웹사이트로 유도하는 방식이다.
▲탈취된 은행 계좌 및 신용 카드 데이터 기밀 정보가 탈취된 뱅킹 사이트 및 피해 건수(左)와 신용카드 업체별 탈취된 정보 건수(右)를 확인할 수 있다.
끝으로 이들 연구자들은 이러한 위협을 방지하는 가장 좋은 방법은 패칭이며, 모든 링크나 첨부 파일을 클릭해서는 안된다고 강조했다. 또한 온라인 뱅킹 시 2중 인증을 사용할 것도 권장했다.
[김동빈 기자(foregin@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김동빈기자 기사보기
[2024-05-10] 
.jpg)
