피싱사이트 2만 1,400개 탐지...누리꾼 10만명 피해
[보안뉴스 온기홍= 중국 베이징] 중국에서 3월 셋째주 정보보안업체가 찾아낸 피싱 사이트는 2만1,400개로 한 주전보다 줄었고, 피싱사이트들이 중국내 누리꾼 10만 명에게 피해를 끼친 것으로 나타났다. 또한, 이 기간 중국에서는 컴퓨터 일반 프로그램으로 위장해 바이러스 퇴치 SW의 탐지·퇴치를 피하고 컴퓨터에서 사용자의 인터넷 사이트와 인터넷 뱅킹 계정과 비밀번호를 훔치는 새로운 바이러스가 출현했다.
中 3월 셋째주 주요 컴퓨터 바이러스
중국 정보보안업체 루이싱은 지난 16일~22일 중국 정보보안 업계와 누리꾼의 주목을 받은 대표적인 컴퓨터 바이러스는 ‘Trojan.Heur.JP.avW’였다고 24일 밝혔다.
루이싱은 “이 바이러스는 컴퓨터에서 이른바 숙주 프로그램을 활성화하고 코드를 주입한다”며 “또 EIP를 수정해 자기의 코드를 실행하며, 사용자가 이를 정상적인 프로그램으로 여기게 만들고, 바이러스 퇴치 SW의 탐지·퇴치를 피한다”고 덧붙였다. 이어 컴퓨터 안의 네트워크 계정·비밀번호를 훔친다. 이 때문에 사용자는 정보 유출과 인터넷 뱅킹 계정·비밀번호 도난 피해를 끼칠 수 있다.
지난 주 날짜 별로 중국에서 기승을 부린 대표적인 컴퓨터 바이러스를 보면, 먼저 16일에는 누리꾼 연 2만 5,033명이 신고한 ‘Trojan.PSW.Win32.QQPass.eyg’가 꼽혔다. 이 바이러스는 지난 주 10일에도 중국에서 가장 널리 퍼진 대표적인 바이러스로 꼽혀 2주째 중국에서 널리 퍼졌다.
이 ‘Trojan.PSW.Win32.QQPass.eyg’는 파일 폴더 아이콘으로 위장해 사용자를 꾀어 클릭하게 한다. 레지스트리를 수정해 컴퓨터 시작과 함께 자동으로 활동할 수 있게 한다. 동시에 자기 속성을 숨김으로 설정한다. 또 악성 프로그램 C:\Program Files\Windows Media Player\c\을 투입한다.
이 바이러스는 백그라운드에서 컴퓨터를 해커가 지정한 웹주소에 연결시키고 다른 바이러스들을 컴퓨터에 내려 받으며, 온라인 메신저 ‘QQ’ 계정과 비밀번호를 훔친다. 컴퓨터가 이 바이러스에 감염되면, ‘QQ’에 연결된 친구와 지인들이 악의적 사기에 당할 위험에 빠질 수 있다.
지난 17일 중국에서 활개를 친 대표적인 바이러스는 ‘Worm.Win32.FakeFolder.c’ 였다. 루이싱의 보안 시스템은 연인원 2만4,802명으로부터 신고를 받았다. 이 웜(worm) 바이러스는 ‘C:\WINDOWS\system32’ 아래 ‘lbkxuwwmad’과 ‘cfnaicqdme’ 등 2개 파일 폴더를 만들고, 각각 자기를 explorer.exe와 smss.exe로 복사를 한 다음, 이 2개 프로그램을 활성화한다. 이 바이러스는 또 컴퓨터 바탕화면에 피싱사이트의 바로가기를 만들고, 바이러스퇴치 프로그램을 중지시킨다. 이어 사용자의 중국 온라인 메신저 ‘QQ’와 동영상 사이트 ‘쉰레이’의 계정을 통해 스스로 퍼져 나간다.
컴퓨터가 이 ‘Worm.Win32.FakeFolder.c’에 감염되면, 컴퓨터 속도가 느려지고 네트워크 자원이 대량 점용되며 사용자는 인터넷 피싱 사기를 당할 위험에 놓이게 된다고 루이싱은 강조했다.
3월 18일 중국에서 많이 퍼진 대표적인 바이러스에는 ‘Trojan.DL.Win32.VBdl.b’가 꼽혔다. 연 2만4,655명이 신고한 이 바이러스는 지난 3월 둘째 주에도 중국에서 기승을 부린 대표적인 바이러스로 꼽혔다.
이 바이러스는 ‘C:\WINDOWS\system\wincal.exe’에 자기 복제를 하고, 컴퓨터 시작과 함께 자동으로 활성화하도록 설정한다. 또 백그라운드에서 컴퓨터를 해커가 지정한 서버에 연결시켜 다른 바이러스를 내려 받는다. 컴퓨터가 이 바이러스에 감염될 경우, 중요 정보들이 유출되고 인터넷 뱅킹 계정·비밀번호가 도난당할 수 있다.
지난 19일에는 ‘Trojan.PSW.Win32.QQPass.fiv’가 중국에서 크게 퍼졌다. 연 2만4,581명이 신고한 이 바이러스는 백그라운드에서 사용자의 컴퓨터 입력 내용을 감시하고, 온라인 메신저 ‘QQ’ 계정과 비밀번호를 훔쳐 해커에게 보내는 것으로 밝혀졌다.
주말이 낀 20일~22일 사흘 동안 중국에서 가장 성행한 바이러스는 ‘Worm.Win32.Agent.aym’ 였다. 연 2만4,333명이 신고했다. 이 웜 바이러스는 이동형 저장장치, 인트라넷, DLL를 통해 여러 상용 SW들에 접근하고 압축 형식의 파일을 감염시키는 수단을 통해 퍼져나간다. 또 여러 수단을 이용해 여러 바이러스퇴치 SW를 중지 시킨다. 이 바이러스는 ‘생성기’도 갖추고 있어 임의로 다운로드 웹주소와 기능을 만들 수 있다고 루이싱은 설명했다.
▲ 3월 16일~22일 중국내 주요 컴퓨터 바이러스(출처:중국 루이싱)
루이싱의 보안 시스템의 통계에 따르면, 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼 수(연인원)은 3월 16일 1만5,277명, 17일 1만4,963명, 18일 1만3,599명, 19일 1만3,610명, 주말이 든 20일~22일 연 3만8,791명을 기록했다.
루이싱의 보안시스템이 찾아낸 웹페이지 삽입 트로이목마는 16일 9,765개, 17일 8,523개, 18일에는 8,617개로 줄었고, 19일 8,960개, 20일~22일 2만5개에 달했다.
中 3월 셋째 주 주요 피싱 사이트
루이싱은 3월 16일부터 22일까지 ‘클라우드 보안’ 시스템을 써서 2만1,390개의 피싱 사이트를 찾아냈다고 밝혔다. 한 주전에 견줘 4,000개 줄었다. 루이싱의 보안시스템이 탐지한 피싱 웹페이지 수는 16일 3,707개에서 17일 3,232개로 줄었다가 18일 3,822개, 19일 5,298개로 증가했으며, 20일~22일 1만2,787개를 기록했다.
피싱사이트의 공격을 받은 중국 누리꾼 수는 10만 명에 달했다. 날짜별로는 지난 16일 1만1,981명, 17일 1만249명, 18일 1만2,789명, 19일 1만3,344명, 20일~21일 4만1,509명이었다.
지난 주 중국 보안업계와 누리꾼의 주목을 받은 대표적인 피싱 사이트들은 △중국 유명 인터넷 메신저·게임사이트 텐센트를 가장한 www.cfpls5.com/vip/ △구글(Google) 메일함으로 가장한 www.ventageneradores.com/support/shares/ △가짜 의약류 http://50.118.50.187/ 등이었다. 이들 피싱 사이트는 바이러스 또는 트로이목마를 숨기고서 누리꾼들을 속여 인터넷 뱅킹 계정과 개인정보를 노렸다.
날짜별로 중국내 ‘피싱사이트 톱5’를 보면, 먼저 중국 최대 온라인 쇼핑몰 타오바오를 가장한 △http://tyr.vsfd.xavshit.com/(16일) △http://zhifb.daooys.cn/web/(19일) 등은 허위 정보로 사용자를 속여 계정과 비밀번호를 빼냈다. 타오바오의 모기업으로 전자상거래 업체인 알리바바(Alibaba)를 가장한 피싱 사이트 △http://s2.imgmaster.net/alibaba/alibaba.html(16일) △ http://s2.imgmaster.net/alibaba/alibaba.html?UsingSSL(20일~22일) 등도 사용자를 속여 카드번호와 비밀번호 정보를 빼냈다.
또 허위 온라인 구매류 △http://wlc.paddy516.com/(16일) △www.adfjld.com/qf/(17일) △www.cppqg.com/(18일) △http://test.xu1514.com/(20일~22일) 등은 허위 구매 정보로 사용자의 금전을 편취했다. 허위 의약류 피싱 사이트인 △www.xinbake315.com/(16일) △http://gzhailu.com.cn/(17일) △http://zxrj.lxnkm.com/(18일) △www.lianbangkabu.cn/kefu/index.htm(19일) 등은 가짜 의약 정보로 사용자를 속여 송금하게 했다.
은행을 사칭한 피싱 사이트들로는 중국공상은행을 사칭한 △http://wap.icbcdtm.com/login.asp(17일) △www.jzidc.net/icbc/default.htm(18일) 등이 활개를 쳤다. 이들 가짜 공상은행 웹사이트들은 사용자를 속여 카드번호와 비밀번호를 훔쳤다.
중국과 해외 유명 인터넷 사이트들을 사칭한 피싱사이트들로 기승을 부렸다. 중국 텐센트를 사칭한 △http://cfpls5.com(16일) △www.5sq.cc/(17일) △www.cfak47w.com/(18일) 등은 허위 S/W 정보로 사용자를 속여 계정과 비밀번호를 훔쳤다. 구글(Google) 메일로 위장한 △http://tweetblog.net/dpbx/index.php(17일) △http://yrws.goodykids.com/support/shares/(18일) △http://foroeolo.cl/wp-settings.ch/(19일) 등은 사용자의 계정과 비밀번호를 노린 것으로 드러났다.
중국 최대 이동통신업체인 중국이동통신을 사칭한 http://wap.usd10086.com/(20일~22일)는 ‘포인트를 현금으로 바꿔준다’는 허위 정보로 사용자를 속여 카드 번호와 비밀번호를 빼냈다.
신문 매체를 사칭한 피싱 사이트도 나타났다. 가짜 ‘정법 보간’ 사이트인 www.zzyfl.cn/(19일)는 위조 웹사이트로, 사용자의 정보를 편취했다. 가짜 온라인게임 피싱 사이트인 www.lt400.cc/?jdfwkey=brn4c3(20일~22일)의 경우, 허위 정보로 사용자의 계정과 비밀번호를 훔치는 것으로 드러났다. 가짜 P2P 피싱 사이트인 △www.dz-xd.com(19일) △www.samc.org.cn(20일~22일) 등은 허위 금전 대출 정보로 사용자를 속여 금전을 훔쳤다.
[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-04-29] 
