10월 3주차 한국 인터넷 위협 분석 브리핑 ( 노골적인 공격의 시작)

[빛스캔+KAIST] 10월 3주차 브리핑

 

한국 인터넷 위협분석 보고서( 노골적인 공격의 시작 )

 

빛스캔과 KAIST 정보보호대학원이 공동 운영하는 보안정보 제공 서비스 10월 3주차 국내 인터넷 환경의 위협 분석내용이며 본 보고서는 PCDS( Pre Crime Detect System )의 탐지역량과 KAIST 정보보호대학원의 분석역량이 결집된 분석 보고서입니다. 매주 수요일 한 주간의 국내 인터넷의 실질적인 위협 동향을 분석하고 대응 방안 제시를 하고 있습니다. 본 정보제공 서비스는 국내에서 발생되는 악성코드 유포에 대해 직접적으로 분석을 함으로써 위험의 흐름과 대응에 대해서 알 수 있도록 하기 위한 것이 주된 목적이며, 공격 형태의 변화에 따라, 대규모로 확장 및 개선된 상황을 유지하며 운영되고 있습니다. 본 보고서의 활용 용도는 다음과 같은 활용이 가능합니다.

 

         1.       악성링크 및 악성코드 유포에 이용되는 IP 대역 차단을 통한 좀비 PC 감염 방지

         2.       악성링크가 공격에 활용에 활용하는 주된 취약성에 대한 내부 보안 강화 정책 – 패치

         3.       내부 감염된 APT 공격의 확인 및 제거에 활용(기술 분석 문서 참고)

 

보고서 내용 중에 기술분석 보고서에는 악성링크의 유형과 실제 감염을 시키는 악성코드의 타입에 따라 보고서가 기술되어 있습니다. 각각은 별개이므로 악성링크(사용자 PC에 악성코드를 내리기 위한 공격코드)에 대한 분석과 실제 악성코드 행위와 기능에 대한 분석 시에 참고 하세요. 각각의 악성링크의 분석에는 최종 다운로드 되는 악성코드까지 기술이 되어 있습니다.

 

요약:

 

10월 3주차 동향은 10월 2주차에 비해 주중 공격이 감소한 형태를 보이고 있습니다. 주말 공격은 전과 동일하게 일정 수준을 유지하고 있습니다.  10월 2주차에는 주중에도 공격하는 양상을 보였으나 금주에는 주중 공격이 감소 하였습니다.  동향보고서를 참고하시면 매주 금요일에는 반복하여 상당 수준과 규모의 공격이 이루어 지고 있음을 알 수 있습니다. 10월 2주차에 대규모로 발견된 C&C 연결을 시도하는 봇넷 에이젼트의 경우 금주차에서는 감소된 형태를 보이고 있습니다. 그러나 이미 뿌려져서 감염이 된 상태의 좀비 PC들이 상당한 수치에 이를 것이므로 추가 피해를 예방 하기 위해 전주차에 제공해 드린 C&C 서버들의 주소는 반드시 차단을 하고 네트워크 장비를 이용하여 해당 URL 및 IP로 접속하는 PC가 있을 경우 내부적으로 분석 및 추가 피해 방지를 위해 충분한 조치를 취하시기 바랍니다. 백신 점검으로는 되지 않으며, 초기화가 바람직한 형태가 될 것입니다.   <금주에는 지금까지 비슷한 양상으로 주중에 공격이 감소>   금주에는 국내 최대 지상파 방송 웹사이트인 KBS에서 악성코드를 유포한 정황이 포착되었습니다. 해당 악성코드는 10월 19일(금요일) 20시 56분경 최초 발견됐으며 이후 자정까지 계속해서 관찰되었습니다. 해당 악성코드 유포 사례에서 주목할 점은 뉴스 시작 시점인 밤 9시를 기점으로 악성코드 유포가 본격적으로 이루어졌다는 점인데, 이와 같은 사실을 통해 상당수 많은 방문자들의 PC가 향후 DDoS 공격에 사용될 좀비 PC가 됐을 가능성이 높습니다. KBS는 DDoS를 방어하기 위해 LoadBlancing 웹서버를 여러 대 두었습니다. 그중에 한 군데가(서버 A) 해킹을 당해서 악성코드를 유포한 정황이 발견되었습니다. 이에 접속할 때마다 접속하는 웹서버가 A였다가 B로 바뀌고 C로 바뀝니다. 그리하여 악성코드가 유포가 발생 하는 경우도 있고 (서버 A 접속시) 유포되지 않는 경우도 관찰 되었습니다.    KBS를 통해 유포된 악성코드는 게임계정 탈취와 원격 통제를 위한 RAT 성격을 지닌 악성코드가 유포 되었으며 금요일 이후 토요일까지도 계속 영향을 받은 것이 관찰 되었습니다. 국내 최대의 방송국 메인 웹서비스도 자유자재로 변경을 하는 공격자들이 못하는 것은 무엇이 있을까요?  항상 말씀드리듯이 웹 서비스가 변경이 되었다는 의미는 서버의 모든 권한이 탈취 되었다는 것과 동일하며 웹서비스와 연결 되어 있는 데이터베이스의 정보또한 손쉽게 탈취가 됨을 의미 합니다. 권한을 가지고 있는 상태에서 하지 못할 일은 아무 것도 없는 상태라 할 수 있습니다. 농협의 사례에서 보듯이 내부로 유입된 악성코드들은 추가 공격을 내부망에 대해서 시도를 할 수 있으며 원격에서 직접 통제를 할 수 있는 상태가 됩니다. 민감한 시기에 국영방송국에 대한 해킹과 악성코드 유포는 공격자들의 또 다른 자신감을 의미 하고 있습니다.  언제든 권한을 획득하고 컨텐츠를 변경하며 내부망을 교란 할 수 있는 상태에 도달해 있는 시점이라 단언 할 수 있습니다.   * KBS 웹 서비스 방문자 PC를 공격하는 취약성은  최신 Java, IE, Flash 취약성을 복합적으로 공격하는 공격기법들이 이용 되었으며 방문자 상당수에게 직접적인 영향을 미쳤을 것으로 판단 됩니다. 최소 60% 이상의 감염 비율 예상됩니다. 악성링크는 금요일 저녁부터 토요일까지 영향을 미쳤습니다.   <10월 19일(금요일) 20:56 경, 국내 최대 지상파 KBS에서 악성코드 유포 정황 포착>   ※ DDoS(Distributed Denial-Of-Service attack, 분산서비스거부) : 인터넷상에서 다수의 시스템이 협력하여 하나의 대상 시스템을 공격함으로써 대상시스템은 과부하가 발생하게 됩니다. 이에 따라 정상적으로 서비스를 이용하려는 사용자조차도 서비스를 받을 수 없는 상황을 칭합니다.   <다수의 자동차가 좁은 길로 통과하려고 할 때 발생하는 병목현상이 DDoS라고 이해하시면 쉽습니다.>   ※ LoadBalncing 서버 : 하나의 웹서버의 과부하를 막기 위해 여러대의 동일한 웹 서버를 두어 다수의 사용자가 접속하여도 정상적인 서비스를 할 수 있는 서버를 칭합니다. 즉, 서비스 제공자측에서 원래는 과다 접속자를 처리하기 위한 용량 확보 방안 이였으나 경우에 따라서는 DDoS를 방어하기 위한 기본적인 대응체계로도 활용 되기도 합니다.   <하나의 서버가 있는 곳에 DDoS 공격 혹은 과다접속 시 서비스 중지 발생>   <KBS처럼 LoadBalancing을 이용한 다중 접속자 처리 체계 및 서비스 운영>     KBS에 삽입되었던 악성링크는 space, tab 방식으로 난독화되어 삽입되었습니다. 해당 난독화 방법은 악의적인 코드가 외형적으로 보이지 않도록 제작되어 있습니다. 혹여 관리자들이 소스를 볼 수 있다고 해도 '단순히 공백이구나' 라는 생각밖에 들지 않습니다.  또한 웹소스상에서 자주 사용 되는 Function을 흉내내어 작성 되어 있어서 관리자가 판별하기에는 상당한 어려움이 있을 것으로 예상이 됩니다.   <KBS 내에 삽입된 악성링크 난독화 방법>   ※ space, tab 방식 악성코드 난독화 방법 출처(http://www.blackhat.com/presentations/bh-usa-08/Hoffman/Hoffman-BH2008-CircumventingJavaScript.ppt)   페이지 내에 포함된 악성링크는 오디션 정보를 제공하는 국내 웹 사이트이며, 최종 다운로드 악성코드는 게임계정 탈취와 원격제어도구(RAT, Remote Administration tool) 기능을 가지고 있는 것으로 각각 확인 됐습니다. 국내의 사이트를 해킹하고 악성코드와 공격코드를 올려둔 후에 국영 방송국의 웹서비스를 해킹하고 악성링크를 넣어두는 현재의 상태를 볼 수 있습니다. 또한 기존 악성코드 유포형태가 금요일을 기점으로 방문자가 많은 불특정 다수 사이트를 대상으로 한다면 향후에는 금번 사례에서와 같이 좀 더 지능화 되고 타깃화 된 양상의 악성코드 유포 형태로 발전할 것이라는 점도 충분히 예상 할 수 있습니다.   금주에는 온라인 도박 게임 정보 수집 악성코드가 출현하였습니다. 일명 뷰어(Viewer)라고도 불립니다. 해당 악성코드는 자신을 맥아피(McAfee) 백신으로 위장하여 서비스를 등록시키며, 사용자가 감염된 PC를 통해 도박 게임 사이트에 접속 시 특정 목적지로 게임 패 정보를 전송하거나 사용자의 화면을 전송하게 됩니다. 불특정 다수인 웹서비스 방문자들을 대상으로 유포된 상태로서 그만큼 목적이 다양하며 공격과 악성코드 유포가 쉬워진 상태를 의미 하고 있습니다.   <상대방의 패를 볼 수 있는 악성코드, 일명 뷰어(Viewer)라고 불림, 출처:KBS>   - 관련 기사 : http://news.kbs.co.kr/society/2012/03/23/2454124.html   또다른 특징으로는 금주차에 발견된 악성코드 중에서 아이콘으로 위장한 형태가 발견되었습니다. 아예 아이콘들을 통째로 올려놓아 공격자의 입맛에 맞게끔 사용하고 있다는 정황이 포착되었습니다. 이 유형은 기업이나 백신 업체에 대한 신뢰를 이용하여 사용자를 속이기 위한 기법들이며 9월 4주차부터 꾸준히 사용되고 있으니 주의를 당부 드립니다.   국내 사이트(banner.xxx.co.kr)를 해킹해서 공격세트들을 업로드 하였으며, 웹 서버 설정 중 하나인 디렉토리 리스팅 금지가 원래 사이트에 되어 있지 않아서 흔적들이 그대로 노출이 된 것을 볼 수 있습니다. 배너광고를 제공하는 곳은 이런 형태로도 공격에 이용이 되고 있습니다.   <악성코드 유포 사이트 Directory Listing, 악성코드 및 아이콘들>   <정상 프로그램으로 위장하기 위한 아이콘들. 11번가, 구글, 지마켓, 네이트 등>

 

현재 빛스캔에서 탐지하는 유형은 단순히 이메일을 통한 타켓형 APT가 아닌 웹서비스를 방문하는 모든 방문자 를 대상으로 한 대규모 유포이며, 확산도가 높아서 위험성이 높은 상태입니다. 따라서 기업/기관별로 인터넷 접 근 시에 많은 보호대책을 적극 반영 하여 대응을 하셔야 할 것으로 보입니다. 기존 악성코드들의 분석 결과도 단순 게임계정 탈취에서 계속 변화하는 형태를 보이고 있어 앞으로의 변화를 가늠하기 어려운 상황입니다. 이미 농협의 사례를 통해 APT나 내부망을 공격 하는 악성코드가 가진 위험성과 파괴력은 충분히 경험을 한 상태이므로 현재 웹서비스를 통해 감염시도를 하는 악성코드 자체의 위험성은 높 은 수준이라 할 수 있습니다.

 

금주 공격의 특징을 정리하면 다음과 같습니다.   •          국내 최대 지상파 방송 KBS 악성코드 유포 정황 포착. 해당 악성코드 발견 어렵게 하기 위하여 space, tab으로 난독화 •          온라인 도박 게임 정보 수집 악성코드 출현 •          정상 프로그램으로 위장하기 위한 아이콘들 악용. 11번가, 구글, 지마켓, 네이트 등 •          8월 1주차에 발견되었던 sl.php 유형의 Mass SQL Injection 공격 여전히 발생 •          10월 3주차는 10월 2주차에 비해 주중 공격 감소 •          8월 3주차 대거 관찰된 루트킷, 백도어 유형의 경우 금주 차 활동 계속 – 부가적인 위험 증가(감염된 좀비PC 들을 활용한 추가 위험이 발생할 수 있는 상태) •          APT 형태의 악성코드 유포 계속 - 권한 획득, 내부망 스캔, 추가 코드 다운을 위한 다운로더 다수 확인 지속 •          MalwareNet( 다단계 유포통로)을 적극 활용한 루트킷 및 백도어의 유포 시도 활성화 적극적 으로 이용됨 •          3.4 및 7.7 DDos 형태와 유사성을 지니는 다운로더 발견 ( 긴장을 늦춰선 안되겠습니다. 당장이라도 발생 가능한 상황입니다. 1:29:300 하인리히의 법칙을 상기하시기 바랍니다. 이미 대형사고가 발생하기 위한 전제조건은 모두 갖추어진 상황입니다. ) •          최초 악성링크 내에 추가적인 연결 링크들을 갖추고 있는 형태 및 다양한 취약성을 공격하는 복합적인 형태 의 악성링크 공격 확대 계속. 다단계 유포 형태를 띄고 있으며, 탐지 및 추적에 어려움이 예상됨 •          백신에 탐지 되지 않는 다운로더 및 백도어 형태의 악성코드 유포 계속 •          게임 계정 이외에 문화상품권 및 게임 머니 거래 사이트에 대한 계정 탈취 형 악성코드 계속 •          백신 업데이트 IP 주소 목록을 내장한 악성코드 발견 계속. 향후 추가적 피해 예상됨   * 최근 언론상에 많이 나타나고 있는 은행권에 대한 Host file 변조를 통한 피싱 공격은 이미 5, 6월 정보제공 서비스에서 언급을 드렸던 부분으로서 당시 상당수의 악성코드가 유포 되었을 것으로 추정되며, 이후 피해가 지금에서야 계속 드러나는 것으로 볼 수 있습니다. 백신들에 대한 업데이트 주소 변경 내용들도 마찬가지 입니다. 예상대로 직접적인 ARP 스푸핑 공격코드 출현하였으므로 피해 발생이 예상되며, 지금까지 설명한 사항 모두 이미 악성코드의 유포 단계에서 사전 분석되어 정보 제공이 된 내용입니다.   *MBR (Master Boot Record)을 변경하는 악성코드의 경우 이미 9월 1주차부터 본 브리핑을 통해 대량으로 웹서비스를 통해 사용자들에게 감염이 되고 확산이 되고 있음을 알린바 있습니다. 국내 백신사에서 일부 샘플에 대한 대응을 위한 전용 백신을 현재 배포 하고 있으므로 참고 하시기 바랍니다. http://www.ahnlab.com/kr/site/download/vacc/vaccView.do?seq=108

 

 

 

MalwareNet ( 범위와 변화)

 

※ MalwareNet: 공격자들이 공격효과를 높이고 탐지를 회피하기 위해 활용하고 있는 악성코드 유포 네트워크를 의미합니다. 일반적인 사이트에 악성링크를 직접 입력하는 것이 아닌 몇 단계를 거친 링크들을 입력하여 추적 을 회피하고 악성코드 유포 효과를 극대화 하기 위해 사용 되는 프레임을 MalwareNet으로 정의하고 있습니다. 즉, 단 한번 악성링크의 내용을 변경하면 최대 300에서 최소 10여 곳에 이르기까지 동시에 동일한 악성코드 유포가 발생되는 상황을 나타내고 있습니다.   본 정보제공 서비스에서는 MalwareNet의 특성상 대규모 피해가 상시적으로 발생될 수 있으므로 상위 리스트에 한해 부분 공개를 하고 있습니다.   MalwareNet을 통해 영향력을 가지는 악성링크들은 탐지 회피를 위해 비정기적이고 수시로 변경됩니다. 금주 차에서는 사후 대응으로는 탐지할 수 없는 형태인 MalwareNet의 활용 사례를 살펴 보겠습니다. 공격자의 의도 에 의해 조종당하고 있는 현실에서 사후대응과 사전대응의 차이는 매 우 큰 차이를 가질 수 밖에 없으며 , 선제적인 사전대응이 얼마나 중요한지 확인할 수 있습니다. MalwareNet 자체를 여러 곳 활용 하는 형태도 전주에 이어 계속 발견 되고 있으며, 금주에는 Impact 지수는 99을 나타내고 있으며, 다수의 MalwareNet을 또 하위 유포채널로 유지하고 있는 형태를 지니고 있어서 공격자는 단 한 번의 변경만으로도 최소 99여 곳 이상의 웹서비스에서 동시다발적으로 악성코드를 배 포할 수 있는 상태입니다. 이용된 주소는 MalwareNet주소 이며 현재는 삭제되었습 니다. 그러나 다른 사이트들에 추가된 gaxxx.xxxxx.com/assets/js/tooltip/jquery.vlew.js 주소는 현재도 그대로 유지된 정황을 보이고 있습니다. 공격자가 다시 악성링크를 동일 주소로 생성할 경우 그대로 이용할 수 있는 상황입니다.   현재 시간에도 영향력을 유지하고 있으므로 대응이 필요하며 수시로 최종 악성코드들이 변경되고 있어서 탐지 및 대응에 어려움이 있을 것으로 판단됩니다. 최종 악성코드들에 대한 탐지율도 높지 않아 항상 위험에 노출 되어 있는 상태라 볼 수 있습니다. 단기간에 대규모 유포망 구축을 하는 형태가 끊임없이 관찰이 되고 있습니 다. 주중에는 통계정보를 수집하고 간헐적으로 공격에도 이용 되고 있는 형태를 보이고 있습니다. 평상시에는 해당 링크가 존재하지 않다가 공격 시점에만 활성화되고 있는데 이 점은 공격 자가 해당 서비스에 대한 완벽 한 권한을 행사하고 있음을 의미 합니다. 단순한 링크 삭제로는 해 결책이 되지 않음을 염두에 두어야 할 것입니다.   MalwareNet으로 이용된 악성링크는 점포개발, 창업컨설팅, 상권분석, 수익성 점포 양도양수, 점포입지 분성 등에 주력하는 창업 포털사이트입니다. 단 하루만에 100여 곳 이상의 웹서비스에서 악성코드를 배포하는 통로로 이용 되었습니다.   <MalwareNet 파급력>   *PCDS Impact Factor는 내부 수집된 체계에서 전파 범위를 고려한 내부 위험지수이며 MalwareNet의 추적과 영향도 추적을 위해 활용되는 수치입니다. 높을수록 은밀하면서도 파급력이 높은 상태라는 점을 의미하고 있습 니다.

 

현재의 상황은 사용자 PC에 설치되는 악성코드들은 항상 백신을 우회해서 설치가 되고 또 계속해서 변형들이 출현하고 있는 현 상황에서 웹 서핑만 해도, 웹 서비스에 방문만 해도 감염이 되는 공격코드들은 창궐하고 있 습니다. 기본적인 문제를 해결할 수 있는 보안패치는 반드시 적용해야만 위험을 줄일 수 있으니 반드시 기관/ 기업 내부적으로 강력한 권고가 되어야 합니다. Oracle Java취약성, Adobe Flash 취약성, MS의 XML, Midi 및 IE 취약성이 복합적으로 사용되어 공격 성공 비율을 높이는 경우가 꾸준히 관찰되고 있으므로 전체 보안 수준 관리에 노력을 기울일 필요가 있습니다.   기술분석 보고서에 기술된 루트킷 및 키로거, 백도어 기능을 가진 악성코드들은, 사용자PC의 드라이버 및 시스템 파일 교체, 윈도즈 서비스 등록 등을 실행하고, 내부망 스캔 및 키로깅 그리고 외부에서 명령을 대기하는 행위가 지속 관찰되고 있어서 위험성이 높습니다. 또한 백도어 기능의 설치 시에는 시스템상의 백신 프로세스 Kill 이후에 루트킷 형태를 설치하고 이후 다운로드 받은 모든 악성코드와 실행 주체를 삭제하여 정체를 은폐하 고 있으므로 사전 대응에 만전을 기하시기 바랍니다.   기술 분석 보고서에 전체 URL이 공개된 국내 사이트들은 악성링크로 직접 이용 되거나 최종 악성코드가 다운로드 된 곳들의 주소는 여과 없이 공개가 되고 있으니 참고하시고 금주 차에는 언론사 및 국내 기업, 기관들의 주소가 직접 기술 되어 있습니다.   기술분석보고서에 언급된 게임계정 유출 악성코드들은 전체 악성코드의 80% 이상이 이용되고 있어서 현재 공격자들이 주력하는 부분으로 판단됩니다. 모두 시스템에서의 백신 프로세스를 중지 시키고 국내.외 거의 모든 게임에 대한 프로세스를 지속적으로 모니터링 하고 있습니다. 현재 가장 다수를 차지하는 게임계정 탈취형 악성코드들이 변화된 형태를 보이고 있으며 외부 도메인 연결과 업데이트를 통해 다른 형태로 전환이 계속 되고 있습니다. – 8월 2주차 부터 관찰된 변화는 금주 차에도 계속 강도가 높아지고 있어서 즉시적인 대응책이 지금 당장 필요합니다.

 

PCDS(Pre-Crime Detect System) 탐지 내역

 

PCDS 상에서는 최초 악성링크 탐지와 MalwareNet에 대한 추적, 최종 악성파일에 대한 수집까지 같이 운영이 되고 있습니다.   본 PCDS에 탐지된 내용을 바탕으로 하여 공격자들의 전략을 확인해 보면, 비정기적이고 수시로 악성링크와 최 종 악성코드를 바꾸고 있습니다. 변경하는 이유는 백신 탐지 회피를 하기 위한 목적이 가장 크며, 때로는 1시간에 한 번씩 최종 악성코드를 변경하는 지금의 상황에서 대응이 가능한 보안체계는 거의 없습니다. 백신은 백신만의 역할 부분이 있으며, 현재 상태의 문제 해결을 위해서는 확산 이전에 대응을 할 수 있어야 합니다. 최종 설치되는 바이너리의 변화는 계속 되고 있으므로, 대응적인 측면에서 한계를 보일 것으로 판단됩니다.   <빛스캔 PCDS를 활용한 동일 악성링크를 통해 배포된 최종악성코드 변경 수집 내역> *현재도 해당 악성링크는 활성화된 상태이며 최종 악성파일은 계속 변경이 되어 국내 백신 체계를 우회하고 있으며 사용자 PC에 직접 영향을 미치고 있는 상태입니다. 국내 사이트들 여러 곳에서 지금도 유포가 계속 되고 감염이 되는 실제 상황입니다.   해당 악성링크는 9월 25일부터 다단계유포망(MalwareNet)으로 사용되었습니다. 한 달이 지난 현재에도 여전히 악성코드를 유포하고 있습니다. 악성코드 유포통로는 여전히 존재하며 최종 악성코드만 바뀔 뿐입니다. 한 달 동안에 15번이나 바뀌었지만 전혀 대응이 되지 않고 있습니다.

 

* 최종 바이너리 수집의 경우 체크섬 값이 다르거나 변경이 되었을 때 수집이 되도록 되어 있으며 위의 항목은 빠르면 1시간 이내에도 최종 파일을 변경하는 형태를 직접 볼 수 있습니다. 이와 같은 악성코드들이 순식간에 수십여 곳의 서비스를 통해 즉시 감염을 시키고 있는 것이 현실입니다. 공격자들의 전술과 기동력은 타의추종을 불허합니다. 그 반면 대응은 어떤가요? 현재의 실상은 과연 어떨까요?   지금 분석되고 예상되는 모든 내용들은 지금 이 순간에도 발생 하고 있는 현실입니다. 사건이 발생 된 이후에는 돌이키기 어렵듯이 사전 탐지와 사후 대응은 전혀 다른 범위입니다. 사전에 얼마나 대응을 하느냐가 가장 중요하며, 빠른 정보를 확보하여 대규모로 유포된 악성코드에 대응할 수 있도록 사후대응 측면에서도 현재 수준 보다는 강도 높은 방안들이 절실히 요구됩니다.

 

게임 계정 탈취 및 백신 Kill, 게임 머니 및 아이템 거래 사이트 계정탈취 계속

 

* 본 내용은 최근의 악성코드들이 기본적으로 탑재하고 있는 기능이며 6월 4주차 까지 발견 되었던 백신과 게임 계정 탈취 이외에도 문화상품권과 게임 머니 사이트에 대한 계정 탈취 기능이 추가 되었습니다. 모든 기능은 BHO 관련된 공격에 연관 되어 있으며 해당 문제들은 이전 보고서에 첨부된 BHO 공격에 대한 전문분석 자료를 참고 하세요. ( 정식구독 기업/기관 대상)신규 가입 및 최근가입으로 인하여 전문분석 보고서를 받지 못한 곳들은 본 메일로 회신을 주시면 전달 드리겠습니다.   9월 1주차부터 신용정보 조회, 아이템 매니아, 아이템 베이 사이트까지 계정 탈취 기능이 추가 되었습니다. 신용정보 조회 사이트에서 자신의 신용정보를 검색하다가는 자신의 개인정보가 노출될 수도 있습니다. 또한 아이템 매니아, 아이템 베이 사이트는 온라인 게임 아이템 거래 사이트입니다. 게임 계정을 탈취해서 아이템을 판매하던 공격자들이 이제는 게임 계정 탈취 이외에도 게임 아이템 거래 사이트까지 노리고 있습니다. 돈이 되는 곳은 모두가 대상이 되어 있는 상태입니다. 다른 모든 기기와 장비들에서도 금전화가 가능한 순간부터 현재의 공격 수준은 그대로 확장이 될 것입니다. 아직은 때가 안되었을 뿐입니다. 그 때는 머지 않았습니다.

 

1.        백신

 

프로세스명	프로그램명
sgbider.exe, vcsvc.exe, vcsvcc.exe	바이러스체이서
NVCAgent.npc, Nsvmon.npc, Nsavsvc.npc, NVC.npc, NaverAgent.exe	네이버백신
V3sp.exe, V3svc.exe, V3up.exe, MUpdate2.exe, SgSvc.exe, Sgui.exe,	AhnLab V3
SgRun.exe, InjectWinSockServiceV3.exe,	AhnLab V3 Lite
V3Light.exe, V3LTray.exe, V3Lsvc.exe, V3LRun.exe	AhnLab SiteGuard
AYUpdSrv.aye, AYRTSrv.aye, SkyMon.exe,	알약 (ALYac)
AYServiceNT.aye, AYupdate.aye, AyAgent.aye
avp.exe	Kaspersky
avgnt.exe, avcenter.exe, avguard.exe, avscan.exe, avupgsvc.exe	Avira AntiVirus
avwsc.exe, AvastSvc.exe, ashUpd.exe, AvastUI.exe	avast!
shstat.exe, Mctray.exe, UdaterUI.exe	McAfee
msseces.exe	MSE
egui.exe, ekrn.exe	ESET NOD32
ccSvcHst.exe, Navw32.exe	Symantec Norton
updatesrv.exe, vsserv.exe, seccenter.exe, bdagent.exe, bdreinit.exe	BitDefender
avgam.exe, avgemc.exe, avgnsx.exe, avgrsx.exe	AVG
avgfrw.exe, avgwdsvc.exe, avgupd.exe
PCOTP.exe	넥슨 OTP

 

2.     게임

 

프로세스명	프로그램명
gamehi.co.kr	게임하이
hangame.com, id.hangame.com	한게임
laspoker.exe	한게임 라스베가스포커
duelpoker.exe	한게임 맞포커
hoola3.exe	한게임 파티훌라
highlow2.exe	한게임 하이로우
poker7.exe	한게임 7포커
baduki.exe	한게임 로우바둑이
ExLauncher.exe, TERA.exe, tera.hangame.com	테라
netmarble.net	넷마블
pmang.com	피망
ff2client.exe, fifaonline.pmang.com	피파 온라인2
Raycity.exe	레이시티
www.nexon.com, login.nexon.com	넥슨
df.nexon.com, dnf.exe	던전 앤 파이터
DragonNest.exe, dragonnest.nexon.com	드래곤 네스트
baramt.exe, WinBaram.exe, baram.nexon.com	바람의 나라
mabinogi.nexon.com, heroes.nexon.com, heroes.exe	마비노기 영웅전
MapleStory.exe, maplestory.nexon.com	메이플 스토리
x2.exe, elsword.nexon.com	엘소드
dk.halgame.com, dkonline.exe	DK 온라인
clubaudition.ndolfin.com	클럽 오디션
www.capogames.net, samwinfo.capogames.net	삼국지w
fairyclient.exe	로한
plaync.co.kr	엔씨소프트
bns.plaync.com	블레이드 & 소울
lin.bin	리니지
AION.bin, aion.plaync.jp	아이온
kr.battle.net	블리자드 배틀넷
wow.exe	월드 오브 워크래프트
Diablo III.exe	디아블로III

 

3.     게임 머니 & 게임 아이템 & 문화상품권

 

사이트 주소	사이트 이름
www.booknlife.com	북앤라이프
www.cultureland.co.kr	컬쳐랜드
www.happymoney.co.kr	해피머니
www.teencach.co.kr	틴캐시
auth.siren24.com	신용정보 조회
itemmania.com	아이템 매니아
www.itembay.com	아이템 베이

 

* URL의 경우는 브라우저 상에서 BHO (Browser Helper Object)로 등록이 되어 모니터링을 하다가 해당 URL로 주소가 입력이 되거나 접속이 될 경우에 html 내용을 변조 하거나 계정에 관련된 키 입력값을 빼내도록 고안이 된 상황입니다.

 

 

차단 권고 대역

 

아래 영역은 이미 공격자가 권한을 통제하고 있는 IP대역들이며 해당 IP 대역들은 이전 리스트에서도 계속 재 활용이 되고 있습니다. 기업 및 기관에서는 해당 IP 대역 차단 이후 ( 업무 관련성 여부에 대해서는 각 기관 및 기업별 검토 필요)차단 수치에 대해서 살펴 보시면 현재 상태의 위험이 얼마나 되는지 실감 하실 수 있으시며 매우 높은 수치임을 아실 수 있습니다. 악성링크에 이용 되는 미국의 EGI Hosting 사의 IP 대역 상당수를 직접 악성링크로 활용한 사례가 발견 되어 해당 IP 대역에 대해 강력한 차단을 유지하실 것을 권고 합니다.   •          기술 분석 보고서에는 별도의 차단 대역들을 제공하고 있으므로 참고하시기 바라며, 사안별로 모니터링 및 차단에 적극 활용 바랍니다. •          국내 통신사의 경우 C Class가 아닌 직접 IP를 등록 하였으며 이미 공격자가 권한을 가진 상태에서 악성코드 유포 경로로 직접 활용하고 있는 상태여서 제한적인 차단이 필요하며, 업무와 연관성이 있는지 여부는 각 기업 및 기관에서 잘 판단 하셔서 차단에 활용하시기 바랍니다. 9월 4주차부터 차단 권고 대역은 최근 1~2개월을 기준으로 전달 드리도록 하겠습니다. 이전의 차단 목록이 필요한 기업 및 기관은 (info@bitscan.co.kr)으로 요청해 주세요.   - 69.46.78.104, 245  LIUBUYAO, CALIFORNIA, USA 10/3 * Example로 한 곳만 예시함. 정상 브리핑 및 정식 보고서에는 다수 기재됨

 

악성코드 감염 이후 접속 URL - 차단 및 모니터링 필요한 부분

 

본 내용은 악성코드가 PC에 감염된 이후에 외부로 연결 시도를 하고 명령을 받는 주소들입니다. 즉 C&C 연결을 시도하는 봇넷과 같은 개념으로 볼 수 있습니다. C&C 서버의 차단과 관련된 핵심적인 내용입니다. 차후 별도 차단 서비스를 기획하고 있으며 해당 내용은 별도 서비스 확산 시에 보고서 상에서만 일부 제공될 예정입 니다. 실험적으로 Outbound 연결시에 Destination IP가 본 URL일 경우는 100% 좀비 PC및 백도어,루트킷 등 에 감염된 것이므로 직접 내부망에서 감염된 좀비 PC를 찾아내는 것이 가능해 집니다. 기술 분석 보고서 내에는 추가적인 차단 정보들이 존재함으로 확인 하시고 적용 하시는 것이 필요합니다.    hxxp://up.bsdmwh.com/update/witer2.rar  hxxp://up.bsdmwh.com/update/witer1.rare.gif * Example로 일부만 예시함. 정상 브리핑 및 정식 보고서에는 다수 기재됨   * 붉은색으로 선택된 도메인들은 모두 현재 다수가 국내 환경에 뿌려져 있는 다운로더 및 C&C 서버로 이용되 는 파일 및 도메인들입니다. 해당 도메인은 불시에 활성화 되어 추가적인 피해가 계속 될 수 있으므로 본 메일 을 받으시는 기관 및 기업에서는 그에 맞는 대응을 하시기 바랍니다. 기업은 해당 도메인으로 접속하는 PC가 있을 경우 이미 좀비 PC화가 되었으므로 절차에 맞게 처리를 하시면 되고 국가기관 차원에서는 차단 정책을 즉시 수행 하여야 할 것으로 보입니다. 10월 2주차에는 다수의 C&C 서버 주소를 제공해 드렸습니다. 반드시 대응이 되어야만 추가적인 문제가 발생 되지 않을 것입니다.   현재 공격자들도 전략적인 움직임을 보이고 있어서 공개적으로 IP 대역을 알리는 부분은 보고서 구독 고객에게만 한정하여 제공될 예정입니다. 금주의 총평으로는 국내 최대 지상파 방송사도 안전하지 않은 현실, 온라인 도박 게임 정보 수집으로 인한 금전화 가속, 향후 대형사고가 일어날 것 같은 하인리히의 법칙, Mass SQL Injection 공격 재 시작, 대규모 유포체계의 지속적인 활용, 목적을 가진 다운로더들의 대규모 유포, 봇넷 에이젼트들의 MalwareNet을 활용한 대규모 유포 입니다. 민감한 시기입니다. 적극적인 대응과 노력으로 피해를 예방해야 합 니다. MalwareNet의 활용과 위험에 대해 계속 언급 하였습니다. 그리고 지금 관찰되는 상태는 최종 악성코드의 성격과 범위 모두 일정 수준의 임계치를 넘은 상황입니다.   2년 이상을 온라인상에서 꾸준히 공격을 시도하고 있는 공격자들을 모니터링 한 결과에 따르면 공격기법과 기술은 한 주가 다르게 변화하고 진화하고 있습니다. 그 반면에 대응 기술 측면에서는 발전은 지지부진함을 보이  있습니다. 공격은 적극적인 유포망 확대, 감염 기술의 고도화, 최고 공격기법들의 즉시적인 실전투입으로 귀결이 됩니다.

 

발전적인 협력

 

빛스캔의 PCDS에 탐지 및 분석되는 정보들은 현재 최초의 악성링크, 악성링크의 구조정보, 최종 악성파일 보관, 악성파일 변화 관찰, 봇넷 구축을 위해 감염 이후 연결 시도하는 C&C 서버의 정보들이 수집 및 축적되고 있으며 각 부분별로 발전적인 협력을 원하시는 부분에 대해서는 메일로 문의를 주시면 답변 드리겠습니다. (info@bitscan.co.kr) 감사합니다.

 

✓       본 정보제공 서비스는 공개, 재 배포 금지(내부에서만 활용), 비영리 목적으로만 활용 가능합니다. 공익적인 목적으로 기관에 제공되는 서비스들은 내부 사정에 의해 언제든 종료 될 수 있습니다. ✓       시범 서비스는 순차적으로 1개월 경과 시 종료 됩니다. 4회 이상을 보고서를 받으셨다면 그 이전에 정식 구독서비스를 신청하셔야 보고서가 누락되지 않습니다. ✓       정식 구독 서비스 가입 및 시범 서비스 신청은 info@bitscan.co.kr 이며 기관명/담당자/연락처 기재가 필요하며 시범은 기관/기업별 1회에 한정 합니다. ✓       본 서비스의 권리는 빛스캔에 있으므로 공개적 활용 및 영리적 목적으로 활용 하실 수 없습니다. ✓       본 분석은 악성링크 자체의 수집은 빛스캔의 PCDS (Pre-Crime Detect System)를 통해 수집하며, 악성링크 및 악성코드 분석은 KAIST 정보보호대학원과 공동으로 진행합니다.