빛스캔은 한국 인터넷 환경에서 악성코드를 유포하는 웹 사이트에 대해 집중 관찰 및 분석을 통해, 국내에서 지속적으로 발생하는 피싱, 파밍 등 이용자 개인정보나 금융정보를 유출하는 악성코드를 꾸준히 추적해 정보를 수집하고 있다. 탐지된 정보를 기반으로 악성코드 유포지(웹사이트)·경유지(URI)뿐 아니라 유포되는 악성파일과 공격도구, 감염 이후 연결되는 명령·제어(C&C)서버에 관련된 일체의 정보를 확보하고 있는 보안 전문회사이다.
위협 관찰 이래 매년 반복되는 특징으로, 추석 연휴 직후 강도 높은 악성코드의 유포가 있었다. 항상 새로운 공격기법을 실험하고 적용하던 형태가 관찰 되었으나, 올해는 새로운 공격 기법 보다는 기존의 공격 방식이 그대로 이용 하는 것으로 확인 되고 있다. 한동안 관찰되지 않던 대형 유포망인 MalwareNet의 움직임도 더불어 관찰되고 있어서 위험성이 단기간에 높아진 상태를 보이고 있어서 대응이 필요한 상황이다.
MalwareNet의 역할을 하는 악성 URI는 주로 배너광고 링크를 활용한다. 배너광고 URI에 악성링크가 삽입되면, 그 즉시 해당 링크를 사용하고 있는 모든 웹 서비스들에서 일제히 악성코드 유포가 발생되는 구조라 대응과 탐지가 매우 어려운 부분이라 할 수 있다.
[그림 1. XX배너 웹 사이트에 삽입된 악성 URI – 2016년 9월 20일]
위 [그림 1]는 날씨정보를 나타내는 배너광고의 웹 사이트로, 9월 20일에 해당 웹 서비스가 해킹 되어, 악성코드를 유포하도록 코드의 변조가 발생되었다. 날씨정보가 필요한 웹 사이트의 관리자들이 위 서버의 링크만 등록시키면 날씨가 등록이 되는 구조이다. 즉 인터넷 사용자가 배너 광고를 클릭하면 자동적으로 날씨정보를 보여주는 역할을 한다. 만약 악성링크가 삽입이 되어 있다면 같이 실행되고, 자신도 모르게 악성코드에 감염이 되는 구조이다.
9월 4주차부터 악성코드의 활동이 지속적으로 증가하고 있으며, 10월이 되기 전까지 증가 할 것으로 예상이 된다. 또한 10월 1일부터 10월 8일까지는 중국의 국경절이 포함되어 있어서 현재의 증가 추세가 계속될 것인지는 관찰이 필요하다. 관찰 결과에 따라 오랜 기간 주의 등급을 유지한 한국 인터넷 위협 지수는 상향되어야만 하는 상황이다.
웹 서핑만으로도 감염되는 악성코드의 경우, 대부분 PC내의 인증서 유출이 먼저 발생되고, PC의 모든 정보가 유출된다. (2015년에는 스마트폰도 동시 감염 시키고 인증서도 동일하게 유출하는 현상도 관찰됨.) 또한 공격자가 만들어 놓은 파밍 사이트로 강제로 이동시키는데, 연결된 이후 개인 정보를 입력하게 된다면, 공격자는 그 정보를 토대로 개인의 계좌에서 그대로 금액을 인출하여 피해자가 되는 것이다. 그 피해를 막기 위해 개인 사용자가 취할 수 있는 대책은 정보의 입력에 대해서 의심하는 것뿐이라고 할 정도로 대책은 많지 않은 현실이다.
[그림 2. 서울XX외 3개 언론사 웹 사이트에 삽입된 악성 URI – 2016년 9월 20일]
[그림 2]과 같이 최근에 언론사의 외주 서비스들에서도 유포 사례가 발견되고 있고, 다수의 파일공유 사이트에서도 이례적으로 유포가 발생되고 있어서 다수의 감염자가 발생되고 있을 것으로 추정되고 있다. 감염이 발생되면 백신 탐지를 우회하고, PC내에 저장되어 있는 공인인증서 및 PC 정보를 탈취하여 전달하고 원격에서 조정할 수 있는 형태가 되므로 또 다른 추가 피해가 발생 될 수 있다.
[그림 3. 감염된 이후 공격자가 만들어 놓은 파밍 사이트]
감염이 되면, PC의 정보도 탈취가 되는데, 꾸준히 제공해왔던 파밍 피해 기록을 살펴보면, [표 2]와 같이 1월부터 9월까지 최소 3만여건에서 최대 30만여건까지피해가 꾸준하게 확인 되고 있다.
[표 1. 감염 IP 기록 통계]– bitin.me 2016.09.05 기준통계]
추석 연휴 이후, 9월 4주차에 발견된 악성 URI에 의해서 감염된 PC의 공인 IP가 단 하루에 1만건이 넘는 대규모 감염 현상이 관찰되고 있어 피해가 심각할 것으로 예상되고 있다. 기업 및 기관의 경우 인터넷 접속 시 사용하는 공인 IP에 감염 기록이 있을 경우 알려지지 않은 악성코드가 내부 망에 감염된 상태일 수도 있으므로 대응을 강화하는 용도로 사용할 수 있다. 악성코드 감염 이후 정보의 전달이나 기록을 남기는 것이 모두 공인 IP를 기준으로 하고 있어서 내부의 사설 IP를 특정하여 확인할 수는 없지만, 내부 감염이 있었음은 분명한 상황이라 추가적인 정보유출과 내부 사고 발생 가능성에 대해 담당자들의 높은 주의가 필요하다. 해당내용은 (http://bitin.me) 사이트에서 감염여부를 확인할 수 있다.
현재 빛스캔는 국내/외 410여만개(2016년 1월 1일 기준)의 웹 서비스들을 5년 이상 지속적으로 모니터링하고 있으며, 악성코드 유포에 이용되는 악성링크를 추적하고 있다. 특히, 전세계에서 공격이 매우 높은 국내의 상황에서 대응을 위해 특화된 기술과 역량을 통해 집중적인 노력을 기울이고 있다. 매주 화요일 한 주간의 한국 인터넷 위협현황에 대해 정보를 제공하고 있으며, 알려지지 않은 위협 (Unknown APT)에 대해 대응을 하는 기업과 기관이 참고할 수 있다.
문의: info@bitscan.co.kr
[뉴스] 로크웰 오토메이션, 산업 사이버보안 솔루션 ‘SecureOT’ 신규 제품 3종 출시 
