트로이 목마의 변종 출현...백신 프로그램과 방화벽 공격
백신 탐지 피하는 ‘Lapka’ 바이러스 주의!
[보안뉴스=BLACKGUEST] 중국 국가 컴퓨터 바이러스 응급 처리 센터에서 발표한 인터넷 모니터링 결과 최근 트로이 목마의 변종으로 보이는 ‘Trojan_MyDown.CMG’가 출현했다.
이 변종 프로그램이 실행되면 끊임없이 운영체제의 백신 프로그램과 방화벽을 공격하고 부팅시 로그온 정보를 변종시키며 컴퓨터가 부팅되면 동시에 실행된다. 뿐만 아니라 컴퓨터가 정상적인 방법으로 안전모드에 들어갈 수 없게 만든다.
그 외에 일단 감염되고 나면 운영체제 뒤에서 스스로 악의적인 공격자가 정해놓은 몇 개의 웹 서버에 접속하고 다른 목마나 바이러스 등을 받은 뒤, 최종적으로 컴퓨터의 기밀정보까지 전송하고 인터넷 뱅킹 개인 정보 등을 훔친다.
중국 보안 전문가들은 이런 상황에 직면하면 국가 컴퓨터 바이러스 응급 처리 센터에 접수하고 다음의 주의사항을 따르도록 하고 있다.
- 이미 해당 목마에 감염된 유저라면 당장 컴퓨터의 백신 프로그램을 업그레이드하길 건의하며 정밀 검사를 통해 치료해야 한다.
- 아직 피해를 입지 않은 유저는 시스템 백신프로그램의 ‘시스템 관리’ 기능에 들어가 등록표, 시스템 프로세스, 메모리, 네트워크 등 여러 곳에 스스로 방지 할 수 있도록 설정하라. 이러면 일단은 알 수 없는 바이러스의 유입활동을 차단할 수 있다.
바이러스 검사 주간 보고(2013.8.18~2013.8.24）
-‘Trojan 다운로더’(Trojan_Downloader) 및 변종 : 이 트로이목마 바이러스는 인터넷 네트워크 망 혹은 인터넷 웹 페이지에 올려서 바이러스를 퍼뜨리는 방식으로 한다. 또한 이 바이러스는 자동으로 백본중의 특정서버에 연결하여 대량의 바이러스를 다운로드 한 후 사용자 컴퓨터 시스템의 중요한 자료를 삭제시킨다.
- ‘Trojan 에이전트’(Trojan_Agent) 및 변종 : 이것은 트로이목마 종류인데 매우 많은 변종을 갖고 있다. ‘Trojan 에이전트’ 및 변종을 실행시키면 임시파일에 대량의 바이러스 파일을 넣고 레지스트리를 수정한 뒤 자동으로 실행한다. 그리고 특정서버에 연결해 이미 감염시킨 컴퓨터에 또 다른 바이러스(트로이목마 등) 프로그램을 다운로드한다.
-‘그레이 피죤’(Backdoor_GreyPigeon) : 이 백도어 변종프로그램은 예전보다 더욱더 은폐성이 뛰어나고, 또한 운영체제 중에 잘 쓰이는 프로그램으로도 위장할 수 있다. 만일 바이러스가 들어있는 파일명을 ‘파일명+스페이스.exe’ 혹은 이 이름의 확장명.exe를 삭제하면 바이러스가 들어있는 파일이 운영체제 중에 있는 프로그램으로 위장할 수가 있다, 또한 아이콘도 원래 있는 프로그램과 같다.
- ‘USB 바이러스’(Worm_Autorun) 및 변종 : 이 바이러스는 한 개의 USB를 이용해서 퍼뜨리는 방식으로 한다. ‘autorun.inf’파일은 대부분 USB, MP3, 이동식 드라이브 목록에 각각 있으면서 사용자가 USB를 더블 클릭해 컴퓨터 안에 설치를 할 때 이 파일은 윈도우시스템에서 자동실행기능을 이용해 실행하게 된다, 그러면서 안에 들어있는 바이러스를 설치하게 되고 사용자의 컴퓨터를 다운시키며 사용자에게 큰 손실을 만든다.
- ‘Hack_Kido’ 및 변종 : MS08-067 마이크로소프트에 빈틈을 이용해 공격하는 해커프로그램이다. 이 프로그램은 직접 공격 선언을 해야 공격을 시작한다. 공격 쓰레드는 무작위로 IP주소를 생성하여 이 IP에 공격을 한다. 감염시킨 후, 시스템을 자동종료 시키고, ‘보안중심’, ‘WinDefend’ 등 서비스를 새로고침 해서, 안에 있는 레지스트리를 삭제해서 ‘보안센터’와 ‘WinDefend’를 더 이상 사용하지 못하게 만든다. 이미 감염된 시스템은 계속해서 마이크로소프트와 보안소프트웨어 웹사이트를 방문할 수 없게 된다.
바이러스 동향 분석
이와 같은 결과에 대한 분석을 통해 앞에 3가지 바이러스 프로그램 순위가 바뀌었다. 저번 주에 비해 앞에 3개의 바이러스 프로그램수가 비교적 적게 발견되었으며 새로 증가된 바이러스수도 낮아졌다.
바이러스의 종류는 주로 트로이목마와 웜 바이러스였으며 ‘웹 페이지 해킹’의 수는 올라가는 추세이고 감염된 컴퓨터 수는 점점 내려가고 있는 추세이다, 주요 바이러스를 퍼뜨리는 경로는 CVE-2013-2251, Apache Struts2 결함(CVE-2013-2251), 시스템결함(MS13-032), 컴퓨터 기억장치, Adobe 결함(BID-43057), Flash Player 결함(CVE-2011-0611), 웹 페이지 바이러스 등의 방식이 있었으며 아직 비교적 위험한 인터넷 보안 바이러스는 발생하지 않았다.
며칠 사이 구글 크롬 29.0.1547.57이전 버전에 보안결함이 많이 발견되었다. 구글 크롬은 구글 회사에서 개발한 간편하고 효율적인 웹 서핑프로그램이다. 구글 크롬 29.0.1547.57이전의 버전에 매우 많은 보안결함이 발견되었으며 해커들이 이 결함을 이용해서 사용자의 정보를 유출시키거나 바이러스를 침투했다. 현재, 이 결함을 해결해서 업데이트 버전을 구글 홈페이지(www.google.com)에 올려 놓았다.
바이러스에 대한 대비책
- 웹 사이트 관리자는 웹사이트의 실시간 감시를 강화하고 주기적으로 웹 페이지상에 올린 파일(만든이, 업데이트날짜, 자료 크기 등)을 비교하며 만약 이상한 파일이 발견되었을 경우 바로 삭제를 하고 새로 업데이트를 해야 한다. 또한 주기적으로 보안프로그램을 업그레이드를 하며 서버에 생긴 보안 문제점을 검사해야 한다.
- 비교적 중요한 웹 페이지(정부 웹 페이지, 대용량 프로그램이 있는 웹 페이지)는 해커들의 공격대상이 되기 쉽다. 우리 응급 센터에서 알맞은 조치를 취하고 중요 웹 페이지 검사체제를 만들어서 바로 문제점을 찾기 쉽게 해야 한다.
- 컴퓨터 사용자는 인터넷 웹 페이지에 있을 때 항상 실시간 바이러스 감지 프로그램을 켜놓고 항상 보안프로그램을 최신 업데이트상태로 유지시켜 트로이목마 등 바이러스의 침투를 막아야 한다.
- 보안 프로그램은 항상 최신 업데이트상태로 유지해야 한다.
- 출처를 알 수 없는 파일은 절대로 바로 열지 않는다.
- USB를 이용할 때 파일을 넣기(혹은 전달)전에, USB(혹은 파일)에 바이러스가 있는지 먼저 검사해야 한다.
- 인터넷 그리고 시스템에 문제가 발견 되었을 때, 바이러스 보안 센터 혹은 보안전문가에게 연락해야 한다.
라이징 보안 주간 보고서(2013.08.26~2013.09.01)
중국의 백신업체 라이징은 트로이 목마, 바이러스 등이 시스템 프로세스에 주입되어 개인정보 보안에 주의할 것을 당부했다.
라이징 클라우드 보안 시스템의 통계에 따르면 이번 주에 라이징에서 수집한 피싱 사이트가 354,832개에 달하며 약 123만 네티즌이 피싱 사이트의 공격을 받았다. 이번 주는 ‘Lapka’라고 하는 바이러스를 주의해야 한다. 바이러스가 실행되면 정상적인 서비스 프로세스에 악성코드를 주입하고 자아삭제가 되어 백신 검출을 피한다.
동시에 바이러스는 백그라운드로 해커가 지정한 주소로 연결되며 해커가 내려준 명령을 받아서 감염된 컴퓨터는 더 많은 바이러스를 감염시킬 것이기에 사용자의 자료와 개인정보 보안에 매우 큰 위협을 끼친다.
이번 주에 주의해야 할 피싱 사이트는 다음과 같다.
- 보이스 오브 차이나로 위장한 피싱 사이트 : www.khdcn.com
- 온라인게임 거래 사이트로 위장한 피싱 사이트 : www.jinxiu998pt.com
- Tencent 회사로 위장한 피싱 사이트 : www.qqqak.com
이와 같은 피싱 사이트들은 사회 공학적 방법으로 네티즌의 인터넷 뱅킹 자료와 개인정보를 탈취하기 때문에 사용자들은 주의해야 한다.
특히, 이번 주에 주의해야 할 바이러스는 ‘Trojan.Win32.Lapka.a’로 바이러스가 실행되면 악성코드를 ‘Svhost.exe’ 프로세스에 원격 주입한다. 그리고 자신 프로세스를 끝내 ‘은신’의 목적을 달성한다. 동시에 바이러스는 새로운 프로세스를 열고 CMD의 Del명령으로 바이러스의 파일을 삭제해서 백신의 검출을 피한다.
이것 외에 바이러스는 백그라운드에서 해커가 지정한 주소로 연결해 해커가 내려준 명령을 받아 감염된 컴퓨터는 더 많은 바이러스에 감염되어 사용자의 자료와 개인정보에 매우 심한 위협을 안겨준다.
[자료출처 : 라이징(중국 백신 업체, http://it.rising.com.cn/)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-05-07] 
.jpg)
