[Statistics] 결제 유도하는 허위 보안 경고 기승

2011년 7월 악성코드 통계

한동안 오토런(Autorun)류의 악성코드 감염이 가장 높은 비율을 나타냈으나 지난 7월에는 JS/Agent 감염 보고가 가장 높은 비율을 나타냈다. 지난 2011년 7월 감염이 보고된 악성코드 현황을 살펴보면 [표 1]과 같다.

 

[표 1] 악성코드 감염보고 Top 20

 

[표 1]에 나타난 바와 같이 2011년 7월의 악성코드 감염 보고는 JS/Agen가 1위를 차지하고 있으며, Textimage/Autorun과 Html/Agent가 각각 2위와 3위를 차지하였다. 신규로 Top 20에 진입한 악성코드는 총 11건이다.

 

2011년 7월의 감염보고건수 중 악성코드를 유형별로 살펴보면, 트로이목마(TROJAN)류가 36.9%로 가장 많은 비율을 차지하였으며, 스크립트(SCRIPT)가 16%, 애드웨어(ADWARE)가 15.3%로 각각 그 뒤를 잇고 있다. [그림 1]은 지난 7월 한달 동안 안철수연구소가 집계한 악성코드의 유형별 감염 비율을 분석한 결과다.

 

 

[그림 1] 악성코드 유형별 감염보고 비율

 

악성코드 유형별 감염보고 비율을 전월과 비교하면 [그림 2]와 같이 애프케어(APPCARE), 클리커(CLICKER)가 전월 대비 증가세를 보이고 있는 반면 스크립트, 웜(WORM), 드롭퍼(DROPPER)는 전월에 비해 감소한 것을 볼 수 있다. 바이러스(VIRUS), 스파이웨어(SPYWARE) 계열들은 전월 수준을 유지하였다.

 

 

 [그림 2] 악성코드 유형별 감염보고 전월 비교
 

 

2011년 7월 웹 보안 통계

안철수연구소의 웹 브라우저 보안 서비스 사이트가드(SiteGuard)를 통해 산출된 2011년 7월 웹사이트 보안 통계 자료를 살펴보면 악성코드를 배포하는 웹사이트의 차단 건수는 145,467건이다. 또한, 악성코드 유형은 677건이며, 악성코드가 발견된 도메인은 799건, 악성코드가 발견된 URL은 4,863 건이다. 2011년 7월은 전월 대비 악성코드 유형은 다소 감소하였으나 악성코드 발견 건수, 악성코드가 발견된 도메인, 악성코드가 발견된 URL 은 증가하였다.

 [표 2] 악성코드 관련 웹 사이트 통계

 

이들 웹사이트를 통해 배포된 악성코드 유형은 [그림 3]과 같다.

 

[그림 3] 웹사이트를 통한 악성코드 유형별 배포 수

 

 

2011년 7월 주요 보안 이슈

 

■ 신용카드 한도초과 안내 메일로 위장한 악성코드 유포

신용카드 한도초과 안내 메일로 위장한 악성코드의 변형이 지속적으로 발견되고 있어 사용자의 각별한 주의가 요구된다.

 

[그림 4] 신용카드 한도초과 안내 메일로 위장한 악성코드

 

 

해당 메일에 첨부된 Customer details.zip(11,750바이트)의 압축을 해제하면 [그림 5]와 같이 전자문서 프로그램 어도비 아크로뱃 리더(Adobe Acrobat Reader) 파일 형식인 PDF와 같은 아이콘을 가진 Customer Details.exe(26,624바이트)가 생성된다.

 

 

[그림 5] PDF 파일 아이콘을 갖고 있는 악성코드

 

해당 파일이 실행되면 윈도우 시스템에 존재하는 정상 파일인 svchost.exe를 강제로 실행시키며, 허위 시스템 복구 프로그램으로 위장한 악성코드를 내려받아 실행한다. 또한 시스템에 존재하는 대부분 파일과 폴더들을 숨김 속성으로 변경하여 사용자로 하여금 시스템에 심각한 문제가 생긴 것으로 인지하게 하고 시스템 전체를 검사하기 시작한다. 검사가 끝나면 [그림 6]과 같이 시스템에 존재하지 않는 허위의 장애들을 보여주고 시스템 사용자로 하여금 심각한 장애가 존재하는 것으로 오인하도록 한다. 이어 복구 후에도 심각한 장애가 시스템에 다수 존재하는 것처럼 보여주며, 이를 복구하기 위해 프로그램을 구매 하도록 유도한다.

 

 

[그림 6] 허위로 표시되는 시스템 오류 내역

 

이번에 발견된 신용카드 한도초과 안내 메일로 위장한 악성코드는 허위 시스템 복구 프로그램을 설치하여, 시스템 사용자의 신용카드 정보와 금전결제를 통한 금전 획득이 최종적인 목적인 것을 알 수가 있다. 이러한 시스템 복구나 시스템 유틸리티 형태로 위장한 악성코드는 기존에 사용자들에게 알려져 있는 허위 백신에 비해 새로운 시도라 할 수 있다.

 

■ 온라인 게임 안내 메일로 위장한 악성코드

지난 7월 13일 새벽 온라인 게임 안내 메일로 위장하여 악성코드가 첨부된 악의적인 스팸 메일(Spam Mail)이 유포되었다. 이번에 발견된 온라인 게임 안내 메일로 위장한 악의적인 스팸 메일은 [표 3]과 같은 형태를 취하고 있다.

 

 

[표 3] 온라인 게임 안내 메일로 위장한 스팸 메일 구성

 

 

메일 본문은 HTML 형태를 가지고 있으며 [그림 7]과 같이 무료로 제공되는 게임이니 첨부된 파일을 실행해보라는 권유를 하고 있다.

 

[그림 7] 첨부 파일 실행을 권유하는 메일 본문

 

해당 메일에는 bonus23983.exe (36,864바이트) 파일이 첨부되어 있으며, 해당 파일을 실행하게 되면 [그림 8]과 같은 윈도우 보안 센터가 실행된다.

 

 

[그림 8] 윈도우 보안 센터에 등록된 허위 백신

 

 

이때 실행된 윈도우 보안 센터에는 과거에 발견된 바 있는 ‘XP Antivirus 2012’라는 국외에서 제작된 허위 백신이 [보안 설정 관리 대상]에 자동으로 포함되어 있다. 이후 시스템 전체를 자동으로 검사하고 시스템에 존재하는 정상 파일 다수를 악성코드로 진단하였다는 허위 문구를 보여준다. 또한 이를 치료하기 위해서는 등록을 하라는 문구를 보여준다. 등록을 위해 'Register'를 클릭하면 [그림 9]와 같이 사용권을 구매하기 위해 개인 정보들을 입력할 것을 유도한다.

 

[그림 9] 금전 결제를 유도하는 허위 백신

 

 

이번에 발견된 온라인 게임 안내 메일로 위장해 국외에서 제작된 허위 백신을 설치하는 악성코드는 V3 제품군에서 다음과 같이 진단한다.

- Win-Trojan/Banker.36864.AS

이 밖에도 보안 관련 통계 및 이슈에 관한 자세한 내용은 ASEC Rerpot 홈페이지(https://www.ahnlab.com/kr/site/securitycenter/asec/asecReportView.do?groupCode=VNI001)에서 확인할 수 있다.@