SQL Injection 취약점 이용...한 악성코드 유포 주의보!

변조된 웹 사이트 통해 ARP Spoofing 악성코드 유포 中

국내 많은 사이트들이 지난달 25일부터 SQL인젝션 취약점을 이용한 악성코드 유포에 무방비로 당하고 있다는 소식이다. 이를 통해 크래커는 ARP스푸핑 악성코드를 유포하고 있으며 그 피해가 점차 심각해지고 있어 이용자들의 각별한 주의가 요구된다.

인터넷 보안기업 잉카인터넷(대표 주영흠 http://www.nprotect.com/) 시큐리티 대응센터(ISARC)는 지난 9월 25일경부터 다수의 인터넷 사이트가 SQL인젝션(Injection) 취약점에 노출되어 악의적인 스크립트 공격 코드가 삽입되는 현상이 발견되고 있어 각별한 주의를 당부했다.

악성 스크립트 공격 코드가 삽입된 웹 사이트를 방문하게 되면 다양한 취약점(Multiple Exploit)코드가 포함된 링크(국내 경유지)로 자동 연결되어 다량의 악성코드에 감염되게 된다.

아래 화면과 같이 특정 스크립트 코드가 해킹되어 포함되어 있다.(일부 생략)

<script scr=http://*********/*.js></script>

▲악성 스크립트가 포함된 화면. 일부 주소 모자이크 처리/ 잉카인터넷제공 ⓒ보안뉴스

현재 국내외 다량의 사이트 등이 해킹피해를 입고 있어 감염사용자들의 수가 증가할 수 있으며, 악성 스크립트 파일 등에 의해 2차적으로 아이프레임 연결이 이루어지게 된다. (일부 주소 모자이크 처리)

ISARC 관계자는 “악성 스크립트 코드들은 보안업체 연구원이나 웹 사이트 관리자들의 분석을 방해하기 위하여 다양한 방식으로 암호화 되어 사용되며, 특히 여러 가지 취약점 코드를 동시다발적으로 사용하여 불특정 인터넷 사용자로 하여금 쉽게 악성코드에 노출될 수 있도록 구성되어 있다”고 경고했다.

 ▲악성코드 내부 화면과 연결된 Exploit Code/ 잉카인터넷제공 ⓒ보안뉴스

특히, 이번에 설치되는 파일 중에는 ARP Spoofing 공격기능의 악성코드도 함께 설치되어 감염되기 때문에 네트워크에 연결된 1대의 컴퓨터가 감염될 경우 동일 네트워크 대역의 모든 컴퓨터가 악성코드에 노출되는 위험에 놓일 수도 있게 된다.

따라서 많은 컴퓨터를 사용하는 기업의 경우 그 피해가 기하급수적으로 증가할 가능성이 우려된다. (네트워크 속도 저하 등)

특히, 유포 경유지 URL주소에서 시간차를 두고 변종을 유포하고 있는 것이 확인되어 감염된 네트워크의 경우 ARP Spoofing 기법에 의해서 지속적인 변종이 감염될 수 있다.

잉카인터넷 시큐리티 대응센터 관계자는 “현재 유포가 진행 중인 모든 악성코드를 수집하였으며, 분석 과정을 거친 후 긴급 업데이트를 완료한 상황”이라고 전했다.

한편 모 관계자는 “웹 사이트를 통해서 유포되는 악성코드를 미연에 방지하기 위해서는 최신 보안 패치 프로그램을 반드시 설치하도록 하고, 최신 버전의 보안제품(백신, 개인방화벽) 등을 이용하는 것이 필수적이다”라고 강조했다.

또한, 악성코드 유포로 악용되는 경유지 사이트의 경우 SQL Injection 등의 취약점을 보완하고 변조된 악성코드를 신속하게 제거하는 노력이 필요하겠다.

■주의 사항 

1. 개인사용자의 경우에는 최신 버전의 보안 제품으로 검사하고 치료해야 한다.

2. 기업의 보안관리자는 해킹 당한 웹 사이트의 접속을 차단조치 한다.

[길민권 기자(reporter21@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>