잉카인터넷 시큐리티대응센터 블로그

금융정보 탈취하는 KRBanker 분석 보고서 1. 개요 최근 악성코드 제작자는 현금을 목적으로 하는 악성코드를 주로 만들고 있다. 랜섬웨어와 같이 사용자 파일을 인질로 하여 현금을 요구하거나, 사용자의 직접적인 금융 정보를 탈취하여 이를 악용하기도 한다. 이번 분석 보고서에서는 자동 구성 프록시(PAC) 설정으로 사용자를 파밍 사이트로 유도하여 금융정보 탈취를 시도하는 KRBanker 에 대하여 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보구분내용파일명adinstall.exe파일크기478,208 byte진단명Banker/W32.Agent.478208.B악성동작파밍, 금융정보 탈취네트워크103.***.***.86 – 공격자 서버 2-2. 유포 경로해당 악성코드의 정확한 유포 방식은 밝혀지지 않았지..

인터넷 뱅킹 파밍 KRBanker 악성코드 분석 보고서 1. 개요 인터넷뱅킹 파밍 악성코드는 정부 및 금융기관의 노력에도 불구하고 해커들의 공격 수단으로 계속 사용되고 있다. 다수의 안티 바이러스 업체에서 파밍 악성코드를 진단 치료하지만, 이러한 대응이 무색하게 끊임없이 변종을 양산해 내고 있어 치료에 한계가 따른다. 이 보고서에서는 활동이 급증하고 있는 악성파일 'KRBanker'을 분석하여, 금융권 파밍 악성코드의 감염방식에 대해 알아보고 대응책을 알아보고자 한다. 2. 분석 정보 2-1. 파일 정보 구분 내용 파일명 KRBanker_d8dba.exe 파일크기 338,944 byte 진단명 Banker/W32.Agent.338944 악성동작 금융정보 탈취 네트워크 104.***.***.27 (파밍서버..

1. 국산 애드웨어 유통서버를 통한 악성파일 전파 패러다임의 변화 잉카인터넷 대응팀은 국산 애드웨어 서버나 프로그램 모듈을 은밀하게 위변조하여 온라인 게임계정 탈취와 메모리 해킹 등의 전자금융사기용 악성파일을 배포되고 있는 정황을 여러차례 공개한 바 있었는데, 최근들어 이 방식이 유행처럼 번져나가고 있어, 긴급대응 및 집중 모니터링 상태를 유지하고 있다. 이렇게 애드웨어에 끼워팔기식으로 유포하는 기법은 기존의 [Drive By Download] 기법이나 [Watering Hole] 방식을 이용한 웹 보안 관제만으로는 탐지하기가 매우 어렵고, 이용자들의 환경에 보안 취약점이 존재하지 않아도 부지불식간에 악성파일을 몰래 전파시킬 수 있기 때문에 사이버 범죄자들에게 감염율이 높은 공격기법으로 활용되고 있다. ..

1. 국산 Adware 프로그램 변조를 통한 인터넷 뱅킹 공격 시도 2013년 12월 23일 잉카인터넷 대응팀은 국내에 지속적으로 유포 중인 변칙적 광고프로그램(Adware)을 조작한 후 메모리 해킹용 인터넷 뱅킹 악성파일(KRBanker) 변종을 몰래 유포시키고 있는 정황을 포착하였다. 이 수법은 전자금융사기 범죄자들이 보안업체의 관제 및 탐지를 우회하기 위해서 애드웨어 모듈까지 은밀히 변조하여 사용하고 있는 지능적 공격방식이다. 잉카인터넷 대응팀은 지난 2013년 07월 경에도 이와 관련된 정보를 최초 공개한 바 있으며, 2013년 12월에 동일 방식의 메모리 해킹 기능의 인터넷 뱅킹용 악성파일(KRBanker) 변종이 다수 전파되고 있는 사실을 확인했다. [주의]공공의 적 애드웨어 전자금융사기 파밍..

1. 구글 크롬 브라우저 파일로 둔갑 잉카인터넷 대응팀은 국내 이용자를 노린 악성파일이 구글 크롬 파일처럼 위장하고 있는 형태를 발견했다. 이 악성파일은 2가지 형태의 크롬 위장 아이콘 리소스를 보유하고 있으며, 파일의 속성 정보에도 구글의 크롬처럼 설명을 포함하고 있다. 이용자들은 아이콘과 파일정보 만으로 정상파일로 오인하지 않도록 주의를 살펴야 할 것으로 보인다. 악성파일은 "css.exe" 파일명으로 국내 특정 웹 사이트를 통해서 유포 중에 있으며, 파일 속성의 정보에는 원본 파일 이름이 "chrome.exe" 이라고 지정되어 있다. 유포지 : h**p://happy***.co.kr/***/css.exe (일부 * 표시) 2. 악성파일 감염 동작 정보 악성파일은 "css.exe" 파일명으로 유포 중..

1. 한국맞춤형 전자금융사기 악성파일(KRBanker) DLL 파일로 귀환 잉카인터넷 대응팀은 국내 시중은행의 인터넷 뱅킹 이용자들을 겨냥한 악성파일을 집중 모니터링하던 중 기존과 다르게 작동하는 유형을 발견했다. 이번 악성파일은 워드패드 파일의 아이콘처럼 자신을 위장하고 있으며, 중국어로 제작되어 있다. 최근 며칠 사이에 변종이 계속 증가하고 있는 추세이다. 악성파일이 작동되면 루트 드라이브에 임의의 폴더를 생성하고 내부에 정상적인 "csrss.exe" 파일과 임의의 파일명으로 악성 dll 파일을 생성한다. 특징적인 점은 기존에 윈도우 운영체제에서 사용하던 "rundll32.exe" 파일을 "csrss.exe" 파일명으로 생성한다는 점인데, 이것은 악성파일 자신을 최대한 은닉하기 위한 수법으로 활용했다..

1. 불청객 애드웨어와 KRBanker, 내 안에 너 있다. 잉카인터넷 대응팀은 최근 금융사 보안모듈의 메모리를 변조하는 지능화된 공격방식의 파밍용 악성파일이 변칙적인 광고성 악성 프로그램(애드웨어)을 통해서 은밀하게 전파되는 정황을 포착하였고, 그 실체를 처음으로 공개하고자 한다. 그동안 전자금융사기를 위한 악성파일들은 불특정 다수의 웹 사이트에 각종 보안 취약점 코드를 삽입하고 보안상태가 허술한 이용자들에게 무작위로 감염시키는 이른바 Drive By Download 기법이 주류를 이루고 있어, 웹 관제 감시센서 등을 통해서 조기에 탐지하여 차단하는 효과를 발휘하고 있다. 그러나 이번과 같이 포털사이트의 블로그나 인터넷 카페 등에 마치 정상적인 프로그램처럼 둔갑한 애드웨어 파일의 내부에 별도 악성파일을..

1. 호스트파일(hosts) 변조기법이 아닌 지능화된 금융보안 위협 가속화잉카인터넷 대응팀은 2013년 07월 14일에 제작되어 국내에 다수 유포된 신종 금융정보 탈취용 악성파일을 발견했다. 이 악성파일은 기존에 널리 보고된 바 있는 호스트파일(hosts) 조작 방식을 적용하지 않고, 기존과 다르게 Winsock(LSP) 조작 방식을 도입했다. LSP(Layered Service Provider)를 이용한 악성파일은 이미 2007년도에 온라인 게임계정 악성파일이 사용했던 고전적인 수법 중에 하나이다. 이처럼 호스트 파일 변조기법이 아닌 다양한 형태의 감염사례가 속속 등장하고 있어, 인터넷 뱅킹 이용자들의 각별한 주의가 필요하다. 잉카인터넷 대응팀은 해당 악성파일에 감염되는 것을 사전에 차단시키고, 피해..

1. 금융감독원 팝업으로 사칭한 금융사기 주의국내 다수의 웹 사이트가 변조되어 각종 보안취약점 공격기법과 결합한 악성파일 유포 수법이 꾸준히 이어지고 있다. 이른바 드라이브 바이 다운로드(DBD:Drive By Download)라고 일컬어진다. Exploit Code 등의 악성파일이 숨겨진 웹 사이트에 보안취약점이 존재하는 상태로 접근시 이용자가 느끼지 못하는 사이에 악성파일에 자동노출되고 감염되는 과정을 의미한다. 이 방식은 지난 2005년경부터 지금까지 국내 주요 웹 사이트를 대상으로 무차별적으로 이뤄지고 있으며, 2012년까지는 국내 온라인 게임계정 탈취용 악성파일이 대다수였으나, 최근에는 국내 인터넷 뱅킹용 악성파일이 급격히 증가하고 있는 추세이다. 특히, 악성파일이 다단계 과정을 통해서 실시간 ..

1. 소액결제사기형 스미싱, 스마트뱅킹 피싱과 결합잉카인터넷 대응팀은 모바일 보안관제를 진행 중에 최근까지 소액결제사기범들이 다수 사용하는 한국내 스미싱(Smishing) 사기기법과 스마트 뱅킹 이용자만을 노린 맞춤형 피싱 악성앱이 결합된 정황을 새롭게 포착하였다. 기존에는 스마트 뱅킹 앱처럼 꾸며진 가짜 앱을 구글 플레이 등을 통해 실제 유포한 사례를 잉카인터넷 대응팀에서 여러차례 보고한 바 있었고, 감염 작동시 단순히 전자금융 피싱형태를 그대로 모바일로 옮겨진 방식이었다. 그러나 이번에 발견된 수법은 소액결제사기범들이 이용하는 문자메시지(SMS) 탈취 등을 기본적으로 수행함과 동시에 특정 금융사의 모바일 뱅킹 서비스 설치여부를 체크 후 조건이 성립되면, 정상적으로 설치되어 있던 금융앱을 이용자가 느끼..