보안 전문가들이 동유럽의 ATM 기기에 지난 18개월간 잠복해온 데이터 탈취 트로잔을 확인했다. 특히 강제적으로 기계 안의 모든 현금을 내주게 하는 것으로 확인돼 충격을 주고 있다.

보안업체 트러스트웨이브(Trustwave)사의 보안연구팀 스파이더랩(SpiderLabs)이 최근 “ATM 맬웨어 분석 보고서(Automated Teller Machine (ATM) Malware Analysis Briefing)”를 발표하고 지난 18개월간 동유럽의 ATM 기기에 존재하고 있는 트로잔을 확인했다고 전했다.

스파이더랩(SpiderLabs)의 설명에 따르면 이 맬웨어는 감염된 기계에서 사용된 마그네틱 선의 데이터와 카드의 개인 식별 번호를 기록하고 ATM 수신 프린터를 이용해 정보 검색을 위한 인터페이스를 제공한다.

또한 이 맬웨어는 설치되면 입력된 카드에 저장된 트랙 2 데이터에 대한 ATM의 트랜잭션 메시지 큐(queue)를 모니터한다. 특히 은행 고객의 데이터가 포함되어있을 경우 입력된 PIN 코드와 함께 이를 기록해 둔다.

스파이더랩은 특히 이 트로잔이 컨트롤러 카드(controller card)와 함께 작동돼 공격자가 감염된 기계를 작동할 수 있게 한다고 설명했다. 충격적인 것은 하위 메뉴를 이용해 강제적으로 기계 안의 모든 현금을 내주게 할 수 있다는 것이다.

스파이더랩의 설명에 따르면 컨트롤러 카드가가 삽입될 경우 ATM의 디스플레이는 키패드를 이용해 선택할 수 있는 10개의 커맨드 옵션을 제시하는 창을 보여준다. 이러한 커맨드 옵션에는 수집된 데이터 프린트, 맬웨어 설치 전의 상태에 대한 로그파일 복구, 맬웨어 전체 삭제 등의 기능도 포함되어있다고 스파이더랩은 덧붙였다.

또한 컨트롤러 카드의 칩에 가로챈 카드 데이터를 업로드할 수 있는 또 다른 기능도 발견되었으나 아직 이 기능은 작동되는 것 같지는 않다고 스파이더랩 연구자들은 덧붙였다.

한편, 컴퓨터 보안업체 소포스(Sophos)는 지난 3월 독일 ATM 기기 및 전자투표기기 제조업체 Diebold사의 ATM 기기를 노리는 카드 스니핑 트로잔에 대한 보고서를 발표한 바 있다.

이와 관련해 스파이더랩은 자사 연구 결과가 소포스 랩의 리포트와 같은 내용인지에 대해서는 알지 못 한다고 말했다. 다만 소포스의 조사는 Diebold사의 ATM 기기들에 한정된 반면 스파이더랩의 연구는 비록 제조업체를 언급하지는 않았어도 동유럽 지역 내 다수의 ATM 기기들에 대한 조사라는 점에서 차이가 있다.

[김동빈 기자(foreign@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>