18일부터 20일 현재까지 최신 랜섬웨어 포함한 매크로 악성 이메일 유포중
전문업체 등 타깃으로 특정기간 동안 공격하는 EITest 캠페인 관련 악성코드 ‘기승’
과거 사이버대란 때 사용된 스케줄러 재등장... 방문자 많은 사이트 공격 ‘포착’
[보안뉴스 김경애] 한 주간 인보이스로 위장한 매크로 악성코드 이메일이 유포됐으며, 전문업체 등을 타깃으로 특정기간 동안 공격하는 EITest 캠페인(campaign) 관련 악성코드가 줄줄이 발견됐다. 더욱이 과거 사이버대란 때 악용된 바 있는 스케줄러 활용사례가 등장하는 등 사이버공격이 한층 더 지능적으로 변모하는 양상이다. 또한 언론사, 여행사 등 방문자가 많은 사이트를 노린 공격도 이어졌다.
뱅킹 악성코드와 랜섬웨어 심은 매크로 악성메일 기승
지난 18일부터 매크로 악성코드가 이메일을 통해 광범위하게 유포되고 있어 이용자들의 각별한 주의가 요구된다. 20일 현재까지도 전 세계를 대상으로 뿌려지고 있으며, 국내에서도 계속 발견되고 있다.
이와 관련 하우리 최상명 CERT 실장은 “인보이스로 위장한 매크로 실행 악성 이메일이 유포되고 있다”며 “이메일의 첨부파일인 워드문서를 열람하고 매크로를 동작시키면 추가적으로 Dridex(뱅킹 악성코드)를 다운로드해 실행한다. 현재 국내에서 많이 발견되고 있다”고 우려했다.
이와 별개로 최신 랜섬웨어 크립토월 4.0이 포함된 매크로 악성메일도 유포되고 있는 것으로 알려졌다. 랜섬웨어는 매크로가 내장된 워드 문서 형태로 유포되고 있으며, 해당 문서 본문에 매크로를 실행하도록 유도하고 있다.
이에 대해 최상명 실장은 “해당 악성메일은 전 세계에 동일하게 뿌려지고 있으며, 매크로를 실행할 경우, 추가로 크립토월 4.0 최신 랜섬웨어가 다운로드돼 파일들을 모두 암호화한다”며 “원래 파일명을 알 수 없도록 랜덤한 파일명으로 변조한다”고 밝혔다.
사이버대란 때 사용된 스케줄러 재등장
지난 16일 XX시큐리티 사이트에서도 악성코드가 발견됐다. 해당 악성코드는 드라이브-바이-다운로드(Drive-By-Download) 방식으로 감염되며, 백도어가 설치된 것으로 분석됐다. 특히, 사이버대란 당시 사용됐던 수법으로 악성행위 명령 예약 방식인 스케줄러도 발견됐다.
이에 대해 보안전문가 Auditor Lee는 “스케줄러를 통해 C&C 서버로 연결되는 기법이 발견됐다”며 “스케줄러는 몇월 몇일 몇시에 공격자가 명령한 프로그램을 작동하도록 예약하는 작업으로 한동안 발견되지 않다가 최근 들어 다시 발견되고 있다”고 설명했다.
이와 관련 빛스캔 측은 “1월 3주차에는 지난 사이버대란 때 사용된 스케줄러 활용사례가 등장했으며, 다운로드되는 바이너리는 기존 탐지를 우회하기 위해 추가로 다운로드하는 기법이 사용되는 등 연초부터 공격방식이 달라지고 있는 상황”이라고 밝혔다.
EITest 캠페인 관련 악성코드 등 전문업체 공격 ‘기승’
이보다 앞서 지난 15일에는 계측기기 생산 전문 업체 웹사이트에서 EITest 캠페인(campaign) 관련 악성코드가 유포됐다.
EITest 캠페인은 공격자가 특정 기간 동안 공격하는 것을 뜻한다. 이번에 발견된 공격은 자바스크립트 오브젝트 ID값을 ‘EITest’로 사용하는 특징을 가진 악성 스크립트이며, 국내 홈페이지에서 삽입된 정황이 꾸준히 발견되고 있다.
EITest 캠페인은 지난해 12월 국내 유명 동영상 재생 플레이어 공식 블로그를 타깃으로 한 적도 있으며, 해당 블로그와 동일하게 워드프레스 취약점을 악용했다. 해외에서는 보안업체 멀웨어바이트에서 지난해 11월 관련 사항을 발표한 바 있다.
이와 관련 제로서트 측은 “웹사이트를 쉽게 제작하는 도구인 워드프레스 취약점을 이용해 통합관리 솔루션 전문업체, 드라마 및 영화제작 프로덕션, 원자력 발전 등 계측기기 생산 전문업체, 부동산전문자산운용사 웹사이트에서 지속적으로 발견되고 있다”며 “어도비 플래시 플레이어(CVE-2014-0515), 인터넷 익스플로러(CVE-2014-6332) 취약점을 가진 인터넷 사용자 대상으로 앵글러 익스플로잇 킷(Angler Exploit Kit) 공격을 하고 있다”고 설명했다.
이어 제로서트 측은 “공격자가 분석과 탐지를 회피하기 위해 도메인 쉐도잉(Domain Shadowing), 설치 환경(Fiddler, VMware, VirtualBox, Malwarebytes, Trend Micro, Kaspersky) 체크 등 자동화된 공격 툴 킷을 이용하고 있다”며 “워드프레스를 이용 중인 인프라 기반시설 관련 기관과 업체들의 보안점검이 필요하다”고 강조했다.
따라서 워드프레스 최신 버전 4.4.1보다 낮은 버전 사용자는 피해 예방을 위해 반드시 업데이트하고, 어도비 플래시 플레이어, 인터넷 익스플로러 등도 최신으로 업데이트할 것을 당부했다.
언론사 등 방문자 많은 사이트, 타깃 공격 기승
한 주간 사용자 방문이 많은 언론사, 의료기관, 온라인 쇼핑몰, 파일공유(P2P) 사이트를 타깃으로 한 악성코드 유포도 증가했다.
이와 관련 빛스캔 측은 “1월 3주차에는 모바일 기기를 타깃으로 한 공격이 다시 포착됐고, 성인 사이트를 통한 악성링크 삽입이 2주 연속 발견됐으며, 언론사, 파일공유(P2P), 영화사이트 등 광고배너를 통한 악성코드도 대량으로 유포되고 있다”고 밝혔다.
1월 2주차에도 사용자 방문이 많은 사이트에서 악성코드가 계속 유포됐다. 특히, 호스팅 웹사이트를 이용해 악성코드를 유포하는 행위가 계속 포착됐으며, 스윗 오렌지 킷과 CK 익스플로잇 킷 등을 결합한 멀티스테이지 공격도 증가한 것으로 분석됐다.
제로서트 측도 “호텔예약, 여행 커뮤니티, 전문 구매대행 쇼핑몰, 여성의류, 남성의류, 뷰티 쇼핑몰, 미국대학 입학컨설팅, 골프/콘도/헬스 등 회원권 전문 거래소, 신용카드 단말기/POS 시스템 전문업체 등 쇼핑, 여행, 커뮤니티 관련 유명 홈페이지를 통한 악성코드 유포가 확인되고 있다”며 “금융정보 탈취 통한 금전적 피해에 주의해야 한다”고 당부했다.
.jpg)
특히, XXX신문 사이트와 스포츠연예 분야 언론매체인 스포츠XX 사이트에서도 20일 여전히 악성코드가 유포되고 있다.
XXX신문 사이트는 지난 15일과 14일 오후 5시 30분경에도 악성코드가 유포된 바 있다. 당시 해당 사이트는 메인 홈페이지와 영문, 중국어 등 서브 도메인까지 모두 탈취돼 악성코드 유포에 악용됐으며, 지난 12일에는 악성코드 경유지로, 9일경 저녁 6~8시경 사이에는 악성코드 유포지로 활용됐다.
이에 대해 제로서트 측은 “15일 오후 5시 30분경 악성코드 유포 활동이 다시 시작됐으며 20일에도 현재진행형”이라며 “공격자는 상황을 지켜보면서 악성URL과 악성코드를 변경하고 있다”고 분석했다. 이렇듯 언론사를 비롯한 여러 웹사이트에서 이용하는 광고 배너를 통해 악성코드가 유포되고 있는 만큼 각별한 주의가 필요하다.
스포츠XX 사이트의 경우 현재까지(20일 오후 5시 15분 기준) 악성코드가 유포되고 있으며, 앞서 14일에도 스포츠XX 사이트 배너에 악성코드가 삽입된 정황이 포착됐다. 당시 해당 악성코드는 가짜 금감원 팝업창이 뜨는 파밍용 악성코드로 분석됐다.
이에대해 Auditor Lee는 “스포츠XX 사이트에서 포착된 공격기법은 Dehydrating a string Technique으로 스페이스 탭을 이용해 백신 탐지를 우회하기 위한 기법”이라고 분석했다.
최근 2달간 여행 관련 사이트, 악성코드 기승
최근 두 달 동안에는 여행(관광)업체를 중심으로 악성코드 유포가 지속적으로 탐지됐다. 유포 범위 역시 갈수록 확대되는 양상이다.
1월 1주까지만 해도 주로 중소업체 웹사이트가 악성코드 유포지와 경유지로 활용됐다. 하지만 2주차 부터는 XXXX협회중앙회 홈페이지가 악성코드 경유지로 악용되는 등 악성코드가 유포되는 웹사이트의 영향력과 파급력이 갈수록 커지고 있다.
이에 대해 빛스캔 측은 “지난해에도 XX풍선 사이트에서 악성코드가 지속적으로 포착됐으며, 이후 XX투어와 같이 사용자 방문이 많은 사이트로 확대됐다”며 “여행 업계의 보안관리자는 현 상황에 대한 동향 파악이 필요하며, 사이트 보안점검을 강화할 필요가 있다”고 지적했다.
파밍과 피싱용 악성코드, 줄줄이 포착
한 주간 파밍용 악성코드와 피싱 사이트 역시 기승을 부렸다. 19일에는 네이버를 사칭한 피싱 사이트가 발견됐다.
이와 관련 보안전문가 Auditor Lee는 “네이버 피싱 사이트에 업로드된 악성코드에 감염될 경우 추가로 3개의 파일을 다운로드 받게 된다”며 “악성 바이너리 코드를 분석해보면 nrawer.com, naewr.com, nraver.com 3개의 네이버 피싱 사이트가 나오는데, 모두 한 공격지에서 파생된 것”이라고 분석했다.
지난 15일에는 XXX침대가 악성코드 경유지로, XXX다이어리 사이트는 악성코드 유포지로, XXX 기업지원관리 통합시스템 사이트는 파밍 C&C 서버로 악용된 정황이 포착됐다.
특히, 이들 3개의 사이트는 한 공격자에 의해 악용됐으며, XXX침대 사이트에 접속하면 XXX다이어리 사이트로 연결되면서 악성코드가 다운로드되는 것으로 분석됐다. 또한, 악성코드에 감염되면 C&C(명령제어) 서버 역할을 하는 XXX 기업지원관리 통합시스템 사이트로 접속되는 것으로 드러났다.
이에 대해 Auditor Lee는 “특히 이번에 발견된 파밍용 악성코드는 앞서 지난 2015년 10월 24일에 발견된 악성코드의 변종”이라며 “탐지를 우회하기 위해 부분적으로 변경한 흔적이 보인다”고 분석했다.
지난 16일에는 페이팔을 사칭한 피싱 사이트도 발견됐다. 해당 피싱 사이트의 경우 계정정보 탈취 목적으로 이용자의 계정정보 입력을 요구하고 있다.
이와 관련 빛스캔 측은 “개인금융 정보를 노린 공격 역시 1월 2~3주차 계속 발견되고 있다”며, “탐지를 우회하기 위해 추가적인 바이너리 다운로드를 통한 금융정보 유출도 잇따라 포착되고 있으며, 3주차에는 일본 은행을 타깃으로 하는 파밍용 악성코드도 등장했다”고 설명했다.
[김경애 기자(boan3@boannews.com)]
전문업체 등 타깃으로 특정기간 동안 공격하는 EITest 캠페인 관련 악성코드 ‘기승’
과거 사이버대란 때 사용된 스케줄러 재등장... 방문자 많은 사이트 공격 ‘포착’
[보안뉴스 김경애] 한 주간 인보이스로 위장한 매크로 악성코드 이메일이 유포됐으며, 전문업체 등을 타깃으로 특정기간 동안 공격하는 EITest 캠페인(campaign) 관련 악성코드가 줄줄이 발견됐다. 더욱이 과거 사이버대란 때 악용된 바 있는 스케줄러 활용사례가 등장하는 등 사이버공격이 한층 더 지능적으로 변모하는 양상이다. 또한 언론사, 여행사 등 방문자가 많은 사이트를 노린 공격도 이어졌다.
▲지난 18일 매크로 악성코드가 발견된 악성메일 화면
뱅킹 악성코드와 랜섬웨어 심은 매크로 악성메일 기승
지난 18일부터 매크로 악성코드가 이메일을 통해 광범위하게 유포되고 있어 이용자들의 각별한 주의가 요구된다. 20일 현재까지도 전 세계를 대상으로 뿌려지고 있으며, 국내에서도 계속 발견되고 있다.
이와 관련 하우리 최상명 CERT 실장은 “인보이스로 위장한 매크로 실행 악성 이메일이 유포되고 있다”며 “이메일의 첨부파일인 워드문서를 열람하고 매크로를 동작시키면 추가적으로 Dridex(뱅킹 악성코드)를 다운로드해 실행한다. 현재 국내에서 많이 발견되고 있다”고 우려했다.
▲20일 매크로가 실행돼 최신 랜섬웨어 크립토월 4.0에 감염된 화면
이와 별개로 최신 랜섬웨어 크립토월 4.0이 포함된 매크로 악성메일도 유포되고 있는 것으로 알려졌다. 랜섬웨어는 매크로가 내장된 워드 문서 형태로 유포되고 있으며, 해당 문서 본문에 매크로를 실행하도록 유도하고 있다.
이에 대해 최상명 실장은 “해당 악성메일은 전 세계에 동일하게 뿌려지고 있으며, 매크로를 실행할 경우, 추가로 크립토월 4.0 최신 랜섬웨어가 다운로드돼 파일들을 모두 암호화한다”며 “원래 파일명을 알 수 없도록 랜덤한 파일명으로 변조한다”고 밝혔다.
사이버대란 때 사용된 스케줄러 재등장
지난 16일 XX시큐리티 사이트에서도 악성코드가 발견됐다. 해당 악성코드는 드라이브-바이-다운로드(Drive-By-Download) 방식으로 감염되며, 백도어가 설치된 것으로 분석됐다. 특히, 사이버대란 당시 사용됐던 수법으로 악성행위 명령 예약 방식인 스케줄러도 발견됐다.
이에 대해 보안전문가 Auditor Lee는 “스케줄러를 통해 C&C 서버로 연결되는 기법이 발견됐다”며 “스케줄러는 몇월 몇일 몇시에 공격자가 명령한 프로그램을 작동하도록 예약하는 작업으로 한동안 발견되지 않다가 최근 들어 다시 발견되고 있다”고 설명했다.
이와 관련 빛스캔 측은 “1월 3주차에는 지난 사이버대란 때 사용된 스케줄러 활용사례가 등장했으며, 다운로드되는 바이너리는 기존 탐지를 우회하기 위해 추가로 다운로드하는 기법이 사용되는 등 연초부터 공격방식이 달라지고 있는 상황”이라고 밝혔다.
EITest 캠페인 관련 악성코드 등 전문업체 공격 ‘기승’
이보다 앞서 지난 15일에는 계측기기 생산 전문 업체 웹사이트에서 EITest 캠페인(campaign) 관련 악성코드가 유포됐다.
▲지난 15일 EITest 캠페인 관련 악성코드가 유포된 계측기기 생산 전문 업체 사이트 화면
EITest 캠페인은 공격자가 특정 기간 동안 공격하는 것을 뜻한다. 이번에 발견된 공격은 자바스크립트 오브젝트 ID값을 ‘EITest’로 사용하는 특징을 가진 악성 스크립트이며, 국내 홈페이지에서 삽입된 정황이 꾸준히 발견되고 있다.
EITest 캠페인은 지난해 12월 국내 유명 동영상 재생 플레이어 공식 블로그를 타깃으로 한 적도 있으며, 해당 블로그와 동일하게 워드프레스 취약점을 악용했다. 해외에서는 보안업체 멀웨어바이트에서 지난해 11월 관련 사항을 발표한 바 있다.
이와 관련 제로서트 측은 “웹사이트를 쉽게 제작하는 도구인 워드프레스 취약점을 이용해 통합관리 솔루션 전문업체, 드라마 및 영화제작 프로덕션, 원자력 발전 등 계측기기 생산 전문업체, 부동산전문자산운용사 웹사이트에서 지속적으로 발견되고 있다”며 “어도비 플래시 플레이어(CVE-2014-0515), 인터넷 익스플로러(CVE-2014-6332) 취약점을 가진 인터넷 사용자 대상으로 앵글러 익스플로잇 킷(Angler Exploit Kit) 공격을 하고 있다”고 설명했다.
이어 제로서트 측은 “공격자가 분석과 탐지를 회피하기 위해 도메인 쉐도잉(Domain Shadowing), 설치 환경(Fiddler, VMware, VirtualBox, Malwarebytes, Trend Micro, Kaspersky) 체크 등 자동화된 공격 툴 킷을 이용하고 있다”며 “워드프레스를 이용 중인 인프라 기반시설 관련 기관과 업체들의 보안점검이 필요하다”고 강조했다.
따라서 워드프레스 최신 버전 4.4.1보다 낮은 버전 사용자는 피해 예방을 위해 반드시 업데이트하고, 어도비 플래시 플레이어, 인터넷 익스플로러 등도 최신으로 업데이트할 것을 당부했다.
언론사 등 방문자 많은 사이트, 타깃 공격 기승
한 주간 사용자 방문이 많은 언론사, 의료기관, 온라인 쇼핑몰, 파일공유(P2P) 사이트를 타깃으로 한 악성코드 유포도 증가했다.
▲전체 유포된 도메인수(자료제공: 빛스캔)
이와 관련 빛스캔 측은 “1월 3주차에는 모바일 기기를 타깃으로 한 공격이 다시 포착됐고, 성인 사이트를 통한 악성링크 삽입이 2주 연속 발견됐으며, 언론사, 파일공유(P2P), 영화사이트 등 광고배너를 통한 악성코드도 대량으로 유포되고 있다”고 밝혔다.
1월 2주차에도 사용자 방문이 많은 사이트에서 악성코드가 계속 유포됐다. 특히, 호스팅 웹사이트를 이용해 악성코드를 유포하는 행위가 계속 포착됐으며, 스윗 오렌지 킷과 CK 익스플로잇 킷 등을 결합한 멀티스테이지 공격도 증가한 것으로 분석됐다.
제로서트 측도 “호텔예약, 여행 커뮤니티, 전문 구매대행 쇼핑몰, 여성의류, 남성의류, 뷰티 쇼핑몰, 미국대학 입학컨설팅, 골프/콘도/헬스 등 회원권 전문 거래소, 신용카드 단말기/POS 시스템 전문업체 등 쇼핑, 여행, 커뮤니티 관련 유명 홈페이지를 통한 악성코드 유포가 확인되고 있다”며 “금융정보 탈취 통한 금전적 피해에 주의해야 한다”고 당부했다.
▲지난 15일 악성코드 유포가 포착된 XXX신문 사이트
특히, XXX신문 사이트와 스포츠연예 분야 언론매체인 스포츠XX 사이트에서도 20일 여전히 악성코드가 유포되고 있다.
XXX신문 사이트는 지난 15일과 14일 오후 5시 30분경에도 악성코드가 유포된 바 있다. 당시 해당 사이트는 메인 홈페이지와 영문, 중국어 등 서브 도메인까지 모두 탈취돼 악성코드 유포에 악용됐으며, 지난 12일에는 악성코드 경유지로, 9일경 저녁 6~8시경 사이에는 악성코드 유포지로 활용됐다.
이에 대해 제로서트 측은 “15일 오후 5시 30분경 악성코드 유포 활동이 다시 시작됐으며 20일에도 현재진행형”이라며 “공격자는 상황을 지켜보면서 악성URL과 악성코드를 변경하고 있다”고 분석했다. 이렇듯 언론사를 비롯한 여러 웹사이트에서 이용하는 광고 배너를 통해 악성코드가 유포되고 있는 만큼 각별한 주의가 필요하다.
▲20일 악성코드 유포가 포착된 스포츠XX 사이트 화면
스포츠XX 사이트의 경우 현재까지(20일 오후 5시 15분 기준) 악성코드가 유포되고 있으며, 앞서 14일에도 스포츠XX 사이트 배너에 악성코드가 삽입된 정황이 포착됐다. 당시 해당 악성코드는 가짜 금감원 팝업창이 뜨는 파밍용 악성코드로 분석됐다.
이에대해 Auditor Lee는 “스포츠XX 사이트에서 포착된 공격기법은 Dehydrating a string Technique으로 스페이스 탭을 이용해 백신 탐지를 우회하기 위한 기법”이라고 분석했다.
최근 2달간 여행 관련 사이트, 악성코드 기승
최근 두 달 동안에는 여행(관광)업체를 중심으로 악성코드 유포가 지속적으로 탐지됐다. 유포 범위 역시 갈수록 확대되는 양상이다.
▲지난 8일 악성코드 경유지로 악용된 XXXX협회중앙회 홈페이지
1월 1주까지만 해도 주로 중소업체 웹사이트가 악성코드 유포지와 경유지로 활용됐다. 하지만 2주차 부터는 XXXX협회중앙회 홈페이지가 악성코드 경유지로 악용되는 등 악성코드가 유포되는 웹사이트의 영향력과 파급력이 갈수록 커지고 있다.
이에 대해 빛스캔 측은 “지난해에도 XX풍선 사이트에서 악성코드가 지속적으로 포착됐으며, 이후 XX투어와 같이 사용자 방문이 많은 사이트로 확대됐다”며 “여행 업계의 보안관리자는 현 상황에 대한 동향 파악이 필요하며, 사이트 보안점검을 강화할 필요가 있다”고 지적했다.
파밍과 피싱용 악성코드, 줄줄이 포착
한 주간 파밍용 악성코드와 피싱 사이트 역시 기승을 부렸다. 19일에는 네이버를 사칭한 피싱 사이트가 발견됐다.
▲지난 19일 네이버를 사칭한 피싱사이트
이와 관련 보안전문가 Auditor Lee는 “네이버 피싱 사이트에 업로드된 악성코드에 감염될 경우 추가로 3개의 파일을 다운로드 받게 된다”며 “악성 바이너리 코드를 분석해보면 nrawer.com, naewr.com, nraver.com 3개의 네이버 피싱 사이트가 나오는데, 모두 한 공격지에서 파생된 것”이라고 분석했다.
지난 15일에는 XXX침대가 악성코드 경유지로, XXX다이어리 사이트는 악성코드 유포지로, XXX 기업지원관리 통합시스템 사이트는 파밍 C&C 서버로 악용된 정황이 포착됐다.
▲지난 15일 악성코드 경유지와 유포지로 악용된 XXX다이어리 사이트 화면
특히, 이들 3개의 사이트는 한 공격자에 의해 악용됐으며, XXX침대 사이트에 접속하면 XXX다이어리 사이트로 연결되면서 악성코드가 다운로드되는 것으로 분석됐다. 또한, 악성코드에 감염되면 C&C(명령제어) 서버 역할을 하는 XXX 기업지원관리 통합시스템 사이트로 접속되는 것으로 드러났다.
이에 대해 Auditor Lee는 “특히 이번에 발견된 파밍용 악성코드는 앞서 지난 2015년 10월 24일에 발견된 악성코드의 변종”이라며 “탐지를 우회하기 위해 부분적으로 변경한 흔적이 보인다”고 분석했다.
지난 16일에는 페이팔을 사칭한 피싱 사이트도 발견됐다. 해당 피싱 사이트의 경우 계정정보 탈취 목적으로 이용자의 계정정보 입력을 요구하고 있다.
이와 관련 빛스캔 측은 “개인금융 정보를 노린 공격 역시 1월 2~3주차 계속 발견되고 있다”며, “탐지를 우회하기 위해 추가적인 바이너리 다운로드를 통한 금융정보 유출도 잇따라 포착되고 있으며, 3주차에는 일본 은행을 타깃으로 하는 파밍용 악성코드도 등장했다”고 설명했다.
[김경애 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
김경애기자 기사보기
[2024-04-24] 
.jpg)
.jpg)
