단 한 줄의 악성 코드...자바스크립트 스니퍼 다운로드 받아
결국 지불 카드 정보가 도난당해...업체들이 고객 보호위해 나서야
[보안뉴스 문가용 기자] 최소 7개의 온라인 쇼핑몰이 사이버 공격자들에 의해 침해됐다. 이 때문에 최소 수천~수만 명의 고객들의 지불 카드 정보가 새나갔다고 한다. 놀라운 건 공격자들의 악성 코드가 딱 한 줄이었다는 것이다.
이 한 줄짜리 공격에 당한 온라인 쇼핑몰 중 6개는 미국에 있고, 1개는 영국에 위치해 있다고 한다. 이 공격을 발견한 보안 업체 그룹IB(Group-IB)는 공격자들이 사용한 한 줄짜리 악성 코드가 자바스크립트 스니퍼(JavaScript Sniffer)를 다운로드 받는다고 설명하며 이 스니퍼에 GMO라는 이름을 붙였다.
모스코바의 보안 업체 그룹IB는 “제일 먼저 영국 필라(Fila)의 웹사이트에서 GMO를 발견했다”며 “그것이 3월 초반의 일”이라고 밝혔다. “이에 조사를 더 진행했더니 멀웨어가 2018년 5월부터 활성화되어 있다는 게 드러났습니다. 또한 미국의 웹사이트 6곳도 GMO에 감염되어 있는 것을 알게 됐습니다.”
그룹IB가 밝힌 바에 따르면 공격을 받은 6개의 사이트는 다음과 같다.
1) forshaw.com
2) absolutenewyork.com
3) cajungrocer.com
4) getrxd.com
5) jungleeny.com
6) sharbor.com
이 사이트들의 월별 사용자의 수를 전부 합치면 약 35만 명이다.
그룹IB에 따르면 GMO는 JS 스니퍼의 일종이며, 마젠토(Magento)를 기반으로 한 전자 상거래 웹사이트를 공격한다고 한다. 지불 카드 정보와 크리덴셜을 훔치는 데 특화된 JS 스니퍼 패밀리는 대략 38개 정도 된다고 하며, 아직 알려지지 않은 마젠토의 취약점이나 웹사이트 관리자 크리덴셜 침해를 통해 웹사이트를 감염시킨다고 한다.
공격자들의 한 줄 악성 코드가 웹사이트 감염에 성공하면, 사용자가 해당 사이트의 결제 페이지에 접속할 때마다 GMO를 다운로드 한다. GMO는 해당 페이지에 입력되는 신용카드 관련 정보를 가로채며, 로컬 기계 내에 저장한다. 그리고 나중에 그 정보를 공격자들의 서버나 시스템으로 전송한다.
이번에 공개된 GMO 공격은 작년 온라인 상거래 시스템을 집중적으로 공격한 메이지카트(Magecart) 공격과 비슷하다. 메이지카트 역시 카드 정보를 훔쳐내는 가벼운 멀웨어를 약 800개의 웹사이트에 설치했었다. 이 때 사용된 악성 코드도 한 개의 줄로 된 카드 스니퍼였다.
그룹IB에 의하면 이런 식의 ‘가벼운’ 공격은 특히나 위험한데, 그 이유는 거의 모든 사이트에 적용하는 게 가능하기 때문이라고 한다. “GMO나 메이지카트라는 범죄 단체가 사용했던 악성 코드나, 한줄 정도밖에 되지 않지만 정말로 큰 위협입니다. 실제로 수만 명의 온라인 쇼퍼들의 카드 정보가 유출되기도 했죠. 직접 피해를 보는 사람들은 고객들인데, 그렇기 때문에 온라인 쇼핑몰 운영자들이 이 위협을 간과할 수 있다는 게 위험의 본질입니다. 또한 이 위협에 면역인 웹사이트도 사실상 존재하지 않기도 하고요.”
그러나 그룹IB는 GMO 운영자들과 메이지카트가 동일한 그룹이라고 보지 않는다. “GMO 운영자들은 비교적 최근에 탄생한 그룹인 것으로 보입니다. 그런 그룹이 필라와 같은 대형 업체의 웹사이트를 감염시켰다는 건 놀라운 일입니다.”
현재 온라인 세상에는 GMO의 친척뻘 되는 JS 스니퍼를 사용하는 사이버 범죄 단체들이 여러 개 있다. “JS 스니퍼는 패밀리들마다 독특한 특징을 가지고 있습니다. 어떤 스니퍼들은 다목적, 다기능이고, 어떤 스니퍼들은 특정 기능에 특화되어 있기도 하죠. 특정 콘텐츠 관리 시스템만을 노리기도 하고, 서드파티 웹 요소들을 노리는 패밀리들도 있습니다. 따라서 탐지와 방어가 상당히 까다롭습니다.”
3줄 요약
1. 최근 7개 온라인 쇼핑 사이트를 감염한 단 한 줄짜리 악성 코드!
2. 이 악성 코드는 GMO라고 하는 자바스크립트 스니퍼를 다운로드.
3. 이 자바스크립트 스니퍼는 지불 정보를 중간에서 가로챔.
[국제부 문가용 기자(globoan@boannews.com)]
결국 지불 카드 정보가 도난당해...업체들이 고객 보호위해 나서야
[보안뉴스 문가용 기자] 최소 7개의 온라인 쇼핑몰이 사이버 공격자들에 의해 침해됐다. 이 때문에 최소 수천~수만 명의 고객들의 지불 카드 정보가 새나갔다고 한다. 놀라운 건 공격자들의 악성 코드가 딱 한 줄이었다는 것이다.
[이미지 = iclickart]
이 한 줄짜리 공격에 당한 온라인 쇼핑몰 중 6개는 미국에 있고, 1개는 영국에 위치해 있다고 한다. 이 공격을 발견한 보안 업체 그룹IB(Group-IB)는 공격자들이 사용한 한 줄짜리 악성 코드가 자바스크립트 스니퍼(JavaScript Sniffer)를 다운로드 받는다고 설명하며 이 스니퍼에 GMO라는 이름을 붙였다.
모스코바의 보안 업체 그룹IB는 “제일 먼저 영국 필라(Fila)의 웹사이트에서 GMO를 발견했다”며 “그것이 3월 초반의 일”이라고 밝혔다. “이에 조사를 더 진행했더니 멀웨어가 2018년 5월부터 활성화되어 있다는 게 드러났습니다. 또한 미국의 웹사이트 6곳도 GMO에 감염되어 있는 것을 알게 됐습니다.”
그룹IB가 밝힌 바에 따르면 공격을 받은 6개의 사이트는 다음과 같다.
1) forshaw.com
2) absolutenewyork.com
3) cajungrocer.com
4) getrxd.com
5) jungleeny.com
6) sharbor.com
이 사이트들의 월별 사용자의 수를 전부 합치면 약 35만 명이다.
그룹IB에 따르면 GMO는 JS 스니퍼의 일종이며, 마젠토(Magento)를 기반으로 한 전자 상거래 웹사이트를 공격한다고 한다. 지불 카드 정보와 크리덴셜을 훔치는 데 특화된 JS 스니퍼 패밀리는 대략 38개 정도 된다고 하며, 아직 알려지지 않은 마젠토의 취약점이나 웹사이트 관리자 크리덴셜 침해를 통해 웹사이트를 감염시킨다고 한다.
공격자들의 한 줄 악성 코드가 웹사이트 감염에 성공하면, 사용자가 해당 사이트의 결제 페이지에 접속할 때마다 GMO를 다운로드 한다. GMO는 해당 페이지에 입력되는 신용카드 관련 정보를 가로채며, 로컬 기계 내에 저장한다. 그리고 나중에 그 정보를 공격자들의 서버나 시스템으로 전송한다.
이번에 공개된 GMO 공격은 작년 온라인 상거래 시스템을 집중적으로 공격한 메이지카트(Magecart) 공격과 비슷하다. 메이지카트 역시 카드 정보를 훔쳐내는 가벼운 멀웨어를 약 800개의 웹사이트에 설치했었다. 이 때 사용된 악성 코드도 한 개의 줄로 된 카드 스니퍼였다.
그룹IB에 의하면 이런 식의 ‘가벼운’ 공격은 특히나 위험한데, 그 이유는 거의 모든 사이트에 적용하는 게 가능하기 때문이라고 한다. “GMO나 메이지카트라는 범죄 단체가 사용했던 악성 코드나, 한줄 정도밖에 되지 않지만 정말로 큰 위협입니다. 실제로 수만 명의 온라인 쇼퍼들의 카드 정보가 유출되기도 했죠. 직접 피해를 보는 사람들은 고객들인데, 그렇기 때문에 온라인 쇼핑몰 운영자들이 이 위협을 간과할 수 있다는 게 위험의 본질입니다. 또한 이 위협에 면역인 웹사이트도 사실상 존재하지 않기도 하고요.”
그러나 그룹IB는 GMO 운영자들과 메이지카트가 동일한 그룹이라고 보지 않는다. “GMO 운영자들은 비교적 최근에 탄생한 그룹인 것으로 보입니다. 그런 그룹이 필라와 같은 대형 업체의 웹사이트를 감염시켰다는 건 놀라운 일입니다.”
현재 온라인 세상에는 GMO의 친척뻘 되는 JS 스니퍼를 사용하는 사이버 범죄 단체들이 여러 개 있다. “JS 스니퍼는 패밀리들마다 독특한 특징을 가지고 있습니다. 어떤 스니퍼들은 다목적, 다기능이고, 어떤 스니퍼들은 특정 기능에 특화되어 있기도 하죠. 특정 콘텐츠 관리 시스템만을 노리기도 하고, 서드파티 웹 요소들을 노리는 패밀리들도 있습니다. 따라서 탐지와 방어가 상당히 까다롭습니다.”
3줄 요약
1. 최근 7개 온라인 쇼핑 사이트를 감염한 단 한 줄짜리 악성 코드!
2. 이 악성 코드는 GMO라고 하는 자바스크립트 스니퍼를 다운로드.
3. 이 자바스크립트 스니퍼는 지불 정보를 중간에서 가로챔.
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-04-18] 
.jpg)
