올해만도 5번째 악성코드 유포...사용자 계좌의 예금인출 우려 커져

[보안뉴스 권 준] 최근 해커들의 공인인증서 탈취 행위가 공식 확인돼 파장이 커지고 있는 가운데 설날연휴에도 공인인증서가 탈취된 것으로 나타나 인터넷 뱅킹의 보안위협이 매우 심각한 상황인 것으로 드러났다.  
     

본지가 지난 2월 3일자 ‘인터넷뱅킹 악성코드 유포로 공인인증서 대량 탈취!’ 제하의 기사에서 공인인증서 탈취 증거를 처음 보도한 이후, 금융당국에 의해 해커들의 공인인증서 탈취사실이 공식 확인된 상황이다. 

그러나 공인인증서 탈취가 금융당국이 밝힌 461개에 그치지 않고, 오늘(12일) 오전까지도 공인인증서 탈취가 계속 이어졌다는 게 보안전문기업 하우리(대표 김희천, www.hauri.co.kr) 측의 설명이다.  

하우리 측은 “1월 말부터 공인인증서를 탈취하는 악성코드가 지속적으로 발견됐으며, 설 연휴에도 수십 개의 공인인증서가 탈취된 것을 확인했다”며, “해당 악성코드로 12일 오전까지도 공인인증서가 탈취됐다”고 밝혔다.

해커들은 악성코드가 설치 동의 없이 바로 설치되는 드라이브 바이 다운로드(Drive-by Download) 방식을 통해 인터넷뱅킹용 악성코드를 유포한 후, FTP를 통해 공인인증서를 전부 수집하여 탈취한 것으로 분석됐다.

특히, 해커들은 정상적인 금융기관 사이트에 접속해도 해커가 만들어 놓은 금융사기 사이트에 연결되도록 악성코드를 심어놓은 파밍(pharming) 수법을 통해 사용자의 금융정보를 추가 확보하고, 공인인증서를 탈취한 다음 직접적으로 사용자의 계좌에서 예금인출을 시도할 것으로 추정돼 위기감이 더욱 높아지고 있다.

또한, 변종 악성코드가 공인인증서 수집 및 금융정보 탈취에 정상적으로 동작하는지, 백신 프로그램에서 제작된 악성코드가 진단이 되는지 등의 테스트를 진행한 후, 악의적으로 배포되는 것으로 하우리 측은 추정하고 있다. 또한, 변종 악성코드 발견 당시 국내외 백신 프로그램에서 진단되지 않는 사실을 확인했다는 것.

하우리 김희천 대표는 “최근 파밍 기법이 점차 조직화·체계화되고 있으며, 감염시 사용자가 인지할 수 없도록 빠르게 지능화되어 가고 있다. 이번에 확인된 공인인증서 탈취용 악성코드는 일부분에 불과하며, 지금 이 순간에도 또 다른 변종 악성코드가 제작·배포되고 있으므로 사용자 주의가 필요하다”며, “사용자의 금융정보를 탈취하려는 시도는 지속적으로 발견될 것으로 보여 PC 사용자들은 기본적인 보안수칙을 철저히 지켜야 한다”고 강조했다.

또한, 이번 악성코드 제작자들을 추적하고 있는 하우리 최상명 선행연구팀장은 “12일 오전까지도 공인인증서 탈취가 행위가 계속 되고 있는 것으로 보인다. 올해 들어서만 악성코드가 5번째로 유포됐다”고 밝혔다. 

덧붙여 그는 “악성코드 유포조직이 크게 3개 조직으로 파악되고 있는데, 요즘 활동이 없는 1개 조직을 제외하고, 2개 조직이 활발히 활동하고 있다. 하나는 중국에서 제작한 걸로 추정되는데 FTP를 통해 암호화 안하고 그냥 올리고, 나머지 1개 조직은 파밍 기법을 통해 암호화해서 FTP로 올리고 있다”며, “폴더들이 다 암호화되고 숨겨지기 때문에 보안전문가들도 공인인증서를 확인하기가 쉽지 않고, 유출규모를 파악하는 데도 어려움이 많다”고 설명했다.

한편, 하우리 측이 제시하는 사이버 금융보안 기본수칙과 이번 공인인증서 탈취사건에 대한 상세분석 자료는 다음과 같다.     

[사이버 금융보안 기본수칙]

1. 은행에서는 보안카드 전체 번호 입력을 요구하지 않으므로, 절대 입력하지 않는다.

2. 취약점을 통해 악성코드에 감염되는 경우가 많으므로 OS 및 어플리케이션의 보안패치는 즉각적으로 적용하여 PC를 사용한다.

3. 정부기관의 권고사항 및 보안사고의 관심을 가져야 한다.

4. 백신 프로그램은 자동 업데이트 설정과 실시간 감시기의 설정을 활성화한다.

5. 지나친 금융정보를 요구할 경우는 의심하고, 해당 기관에 확인해야 한다.

6. 가능한 한 공인인증서 비롯한 중요 금융정보는 PC에 저장하지 않도록 한다.

[하우리 상세분석 자료]

http://www.hauri.co.kr/customer/security/colum_view.html?intSeq=179&page=1&keyfield=&key=

[권 준 기자(editor@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>