이를 통해 이용자 PC가 악성코드에 감염될 경우 각종 금융기관을 사칭한 파밍사이트로 연결된다.

연결되는 파밍 사이트 중에는 금융감독원을 사칭한 ‘개인정보유출 2차피해예방등록 안내’ 팝업창 화면이 뜨거나, 국민은행을 사칭한 ‘금융정보 유출 피해 예방서비스가 전면 시행됩니다!’ 문구의 팝업창이 뜨는 파밍사이트로 연결되기도 한다. 또는 e-금융보안센터을 사칭한 ‘금융정보 유출2차 피해 예방서비스를 등록’ 웹페이지 화면이 뜨기도 한다.

이렇게 연결된 파밍사이트에서는 성명, 주민번호, 핸드폰, 공인인증서 비밀번호 입력을 유도한다.

이와 관련 한 보안전문가는 “사용자 PC의 기본 설정 DNS를 127.0.0.1(루프백)으로 변경시키고 DNS 캐시에 공격자가 만든 파밍사이트 주소를 삽입해 이용자가 네이버 등에 접속 시 파밍사이트로 연결시키는 것”이라고 설명했다.

또 다른 보안전문가는 “파밍사이트가 갈수록 진화하고 있어 네이버, 다음, 네이트 등 실제 포털사이트가 구동 중인 상태에서 금융감독원 등을 사칭한 팝업창이 플로팅 배너기법으로도 뜨고 있다”며 “기존처럼 가짜 이미지 배경이 아니라 실제 포털 사이트이기 때문에 X버튼을 누르면 팝업만 사라지고 실제 포털사이트가 남게 된다”고 설명했다.

이와 관련 빛스캔 측은 “해당 악성링크는 모두 같은 것으로 확인됐으며, 동일한 공격자가 이를 활용한 것으로 추정된다”며 “W사이트를 통해 유포된 모바일 악성앱과 PC 악성코드를 분석한 결과, 사용자의 금융정보 탈취가 목적인 것으로 확인됐다고 밝혔다. 또한, 악성앱의 경우는 부가적으로 전화번호부, 문자메세지를 탈취해 공격자의 관리자 페이지를 통해 실시간으로 살펴볼 수 있는 기능도 포함된 것으로 분석됐다.