휴가철, 여행사 사이트 접속만 해도 악성코드가?!

본격적인 휴가철이 시작되면서 국내ㆍ외로 휴가를 떠나는 이들의 몸과 마음이 분주하다. 들뜬 마음으로 계획을 세우는 휴가객을 노리는 악성코드가 발견돼 각별한 주의가 필요할 것으로 보인다.

 

이와 함께 최근 발생한 토렌트 공유 파일과, 영수증 문서를 위장한 악성코드 유포 사례도 함께 소개한다.

 

사이트 방문만 해도 악성코드 감염

최근 여행사 상품을 이용하는 여행객들이 늘면서 여행사 사이트에 악성코드를 삽입하는 형태의 악성코드 유포 사례가 발견됐다. 여행 상품을 검색하기 위해 여행사 사이트에 접속하는 것만으로도 악성코드에 감염되기 때문에 더욱 주의해야 한다.

 

문제는 영세한 규모로 운영되는 상당수 여행사들이 홈페이지 보안에 크게 신경을 쓰지 않고 있어 여행사 홈페이지에 방문하는 접속자들이 무방비로 악성코드에 노출돼 있다는 점이다. 

[그림 1] 악성코드가 삽입된 여행사 홈페이지

위 [그림 1]은 악성코드가 발견된 여행사 홈페이지다. 사용자가 해당 여행사 사이트에 방문하면 홈페이지에 삽입된 악성코드가 자동으로 사용자 시스템에 다운로드되어 악성코드에 감염된다.

 

☞ http://www.**to*r.co.kr http://*ww.op**s**06.co*/server.exe http://6*.2**.1*7.2*/238.exe

 

server.exe 파일은 c:\windows\59378472\svchsot.exe을 생성하고, 작업관리자에 파일을 등록한 뒤 지정된 시간마다 악성코드가 자동으로 실행되도록 한다. 추가적으로 다운로드되는 238.exe는 사용자의 금융정보를 빼내기 위한 악성코드 감염시 hosts.ics 파일을 생성해, 악성코드 제작자가 만들어 놓은 파밍 사이트로 사용자의 접속을 유도한다.

 

해당 파밍 사이트들은 현재 접속이 차단돼 있지만, 최근 변종들이 파밍 사이트 IP만 변경해 지속적으로 제작되고 있는 만큼 각별히 주의해야 한다.

 

악성코드 숨긴 예능 프로그램 토렌트 파일 주의!

토렌트를 이용해 파일을 공유하는 이들이 많아지면서 토렌트 파일 공유 사이트가 악성코드 유포지로 부상하고 있다. 최근 한 예능 프로그램을 토렌트 파일로 속여 악성코드를 유포한 사례가 발견됐다.

토렌트 사이트에서 공유되는 자료의 상당수는 출처가 불분명하고, 저작권의 문제가 있을 뿐 아니라 악성코드가 포함돼 있는 경우가 많으니 특별히 유의해야 한다.

[그림 2] 토렌트 파일로 위장한 악성코드

이번에 발견된 악성코드는 [그림 2]와 같이 .torrent 파일로 위장하고 있지만 실제로는 .exe 확장자명을 가진 실행파일이었다. 특히 유명 예능 프로그램의 이름이 포함돼 있어 사용자들은 무심코 파일을 실행할 가능성이 높다. 사용자에게는 .torrent 파일이 실행되는 화면만 보여지지만, 실제로는 함께 포함된 server.exe라는 악성코드 파일이 사용자 몰래 함께 실행되면서 악성코드에 감염된다.

 

해당 악성코드는 사용자가 PC를 재부팅해도 지속적으로 감염 상태를 유지하기 위해 시작프로그램과 예약된 작업에 악성코드 파일을 등록한 뒤 특정 주소로의 연결을 시도한다.

 

 

고객님, 영수증이 발급됐습니다!

워드 문서 양식의 영수증으로 가장해 사용자의 실행을 유도하는 악성코드가 발견됐다. 아이콘을 보면 일반 워드 문서로 보이지만, 실제 확장자는 .exe였다.

[그림 3] 워드 문서를 가장한 실행 파일

해당 악성코드의 특징적인 행위 중 하나는 윈도우 방화벽에 특정 포트를 허용하는 정책을 추가한다는 점이다. 이러한 상태는 특정 서버로의 정보 유출이나 원격 접속 등 다양한 형태의 공격이 가능하다.

 

 

 

최근 발생한 악성코드 유포 사례에서 보듯, 악성코드 제작자는 다양한 경로를 이용해 악성코드를 감염시키고 있다. 사용자가 많은 사이트에 악성코드를 심어 놓는 경우도 있고, 최신 영화나 TV 프로그램의 공유 파일을 악용한 사례도 있다. 사용자의 실행을 유도하기 위해 영수증이나 택배조회, 업무 관련 파일로 위장하기도 한다.

 

악성코드 감염을 막기 위해서는 보안이 취약한 사이트 접속시 주의하고, 특히 파일을 공유할 때는 합법적인 사이트를 이용하도록 한다. 또한 잘 알지 못하는 파일을 실행할 때에는 파일의 확장자를 살펴본 뒤 파일을 실행하기 전 최신 엔진으로 업데이트한 백신으로 검사를 진행해보는 것이 좋다.@