‘PC 시스템 시작 비밀번호 변조..금전 결제 강탈’ 새 바이러스 출현

피싱 사이트 약 1만7,200개 탐지...中 누리꾼 8만명 피해

[보안뉴스 온기홍=중국 베이징] 중국에서 지난주 PC 시스템의 시작 비밀번호를 변조하고 사용자의 금전 강탈하는 새로운 바이러스가 출현했다. 또 이 기간 중국 정보보안회사가 탐지한 자국내 피싱사이트 수는 약 1만7,200개에 달했으며, 중국 누리꾼 8만명이 피싱 사이트의 함정에 빠진 것으로 드러났다.

中 6월 8일~14일 주요 PC 바이러스

중국 정보보안회사인 루이싱은 지난 한 주(6월 8일~14일) 동안 자체 ‘클라우드 보안 시스템’의 조사결과를 바탕으로 15일 내놓은 보고에서 이 같이 밝혔다. 먼저 루이싱이 지난 주 보안 시스템을 써서 탐지·퇴치한 횟수를 바탕으로 뽑은 중국내 주간 컴퓨터 바이러스 상위 10개를 공개했다.

특히, 루이싱은 지난 8일~14일 중국에서 크게 주목을 받은 PC 바이러스 가운데 하나로 ‘Trojan.Win32.PolyRansom.a’를 꼽았다. 이 ‘PolyRansom’ 바이러스는 PC가 켜짐과 함께 자동으로 바이러스 활동을 개시하도록 설정을 하며, 레지스트리를 수정하고 자기의 파일 확장명을 숨기는 것으로 밝혀졌다. 이어 PC 바탕화면 상에서 상용되는 실행 프로그램들을 감염시킨다.

또 컴퓨터를 잠그고, 사기성 팝업창을 띄워 PC 사용자로 하여금 상응한 금전을 결제하게 한다. 이와 동시에 컴퓨터 시작 비밀번호를 변조하고 사용자의 금전을 강탈한다고 루이싱은 밝혔다. 컴퓨터가 이 바이러스에 감염되면, 컴퓨터를 켤 수가 없으며 금전도 강탈될 위험에 놓이게 된다.

날짜별로 중국에서 크게 번진 대표적인 컴퓨터 바이러스를 살펴보면, 먼저 8일에는 ‘Trojan.Win32.Downloader.bl’가 꼽혔다. 루이싱의 보안 시스템은 연인원 2만3,080명으로부터 이 바이러스에 대한 신고를 받았다. 이 바이러스는 대량의 백신S/W를 중지시키고 레지스트리를 고쳐 백신프로그램의 탐지·퇴치를 피한다고 루이싱은 밝혔다. 또 인터넷 익스플로러 실행 프로그램을 만들고, 해커가 지정한 서버에서 바이러스 파일과 트로이목마를 PC에 내려 받는다.

지난 9일에는 ‘Trojan.Win32.BHO.gdy’이 중국에서 크게 번졌으며, 연 2만2,406명이 신고했다. 이 바이러스도 많은 유명 백신S/W를 중지시키고, 브라우저 BHO를 수정한다. 또 해커가 지정한 웹사이트에 연결해 트로이목마를 PC에 내려 받아 실행시킨다.

이어 10일 연 2만2,483만명이 신고한 ‘Trojan.Win32.BHO.gdz’도 ‘Trojan.Win32.BHO.gdy’와 같은 악성 행위도 하는 것으로 드러났다. 지난 11일 중국에서 기승을 부린 대표적인 바이러스는 ‘Worm.Script.VBS.Autorun.dd’. 연 2만2,395명이 신고했다. 이 웜 바이러스는 PC 안의 모든 파일 폴더를 숨긴 다음, 같은 이름의 바로가기를 만든다. 사용자가 이를 열 때, 정상적인 파일 폴더로 여길 수 있으며, 이 때 바이러스는 이미 실행된다고 루이싱은 설명했다.

시스템 일자 중의 월과 일이 같을(예 6월 6일) 때마다 시디롬 드라이드가 자동으로 튀어 나온다. 이 바이러스는 ‘해골’ 사진을 써서 컴퓨터 화면을 잠그고, PC 운행 속도가 매우 느려지며 정상적으로 조작할 수 없게 만든다고 정보보안 전문가들은 설명했다.

주말이 낀 12~14일 사흘 동안 중국에서 널리 퍼진 대표적인 바이러스는 ‘Trojan.Script.VBS.StartPage.ux’로, 연 2만2,019명이 신고했다. 이 바이러스는 시스템 파일을 이용해 바이러스 스크립트를 추가하고, 바탕화면에 있는 모든 바로가기를 변조한다. 또 사용자가 정상적인 것과 유사한 아이콘을 클릭하게 한 다음 바이러스를 실행하고, 해커가 지정한 악성 웹주소를 방문하게 한다.

이 바이러스는 바탕화면의 모든 바로가기를 변조하기 때문에 사용자는 자기도 모르는 사이에 악성 웹사이트를 무수하게 방문할 수 있다고 정보보안 전문가들은 설명했다. 이로 인해 컴퓨터 속도가 느려지고, 인터넷 속도도 떨어지며, 악성 웹사이트를 방문한 뒤엔 컴퓨터가 많은 계정 절취류 트로이목마를 내려 받게 되는 것으로 밝혀졌다.

中 6월 둘째 주 피싱 사이트 발생동향

루이싱은 지난 한 주 보안시스템을 써서 탐지한 중국내 피싱 사이트 수가 1만7,183개였다고 밝혔다. 한 주 전보다 1,180개 늘었다. 또 중국 누리꾼 가운데 한 주 전에 비해 1만명 증가한 8만 명이 피싱 사이트들의 공격에 노출됐다.

특히 지난 주 중국에서는 중국판 인기 오락 TV 프로그램인 ‘아빠 어디가’를 사칭한 www.bb2qne.so/, 중국 최대 온라인 게임 서비스회사인 텅쉰의 게임으로 위장한 www.uzzf.com/key/cfshuaqiang/, 지메일(Gmail) 전자우편으로 가장한 http://easyrentcar.kr/wp-admin/FINANCE/ 등이 누리꾼의 인터넷 뱅킹 계정과 비밀번호, 개인 정보들을 노렸다. 실제 이들 피싱 사이트는 바이러스나 트로이목마를 숨기고 있다고 정보보안 업계는 강조했다.

지난 주 피싱 사이트의 공격을 받은 중국 누리꾼 수를 보면, 8일에는 연인원 1만2,548명, 9일 연 1만421명, 10일 연 1만4,071명, 11일 연 1만5,837명, 주말이 포함된 12일~14일 연 4만945명로 각각 집계됐다. 루이싱 쪽이 탐지한 트로이목마 삽입 웹주소는 8일 3,467개, 9일 3,440개, 10일 3,984개, 11일 4,734개, 12~14일 1만1,237개로 각각 파악됐다.

일자별로 중국내 피싱 사이트 톱5를 보면, 먼저 8일에는 △중국판 TV 오락 프로그램 ‘아빠 어디가’를 가장한 http://bb2qne.so/ (프로그램 주관 당첨 정보로 위장해 사용자에게 송금 유도) △의약을 가장한 www.xhfs999.com/ (허위 의약 정보로 사용자를 속여 송금 유도) △중국 최대 은행인 중국공상은행을 사칭한 http://103.30.40.100/ (사용자를 속여 카드 번호와 비밀번호 훔침) △허위 온라인 구매(쇼핑)류 www.sjdm.net/ (허위 구매 정보로 사용자를 속여 금전 빼냄) △지메일(Gmail) 전자우편을 가장한 http://sanatsepeti.net/enyeni/tmp/gdoc/ (사용자를 속여 계정과 비밀번호 훔침) 순으로 나타났다.

지난 9일에는 △중국판 TV 노래 오디션 프로그램인 ‘보이스 오브 차이나’를 가장한 www.viphsyl.cc/ (프로그램 주관 당첨 정보라며 사용자를 속이고 송금 유도) △가짜 의약류 http://cptg.ggpph.com/ △중국공상은행을 사칭한 www.ccbza.cn/ △허위 온라인 쇼핑류 http://cvb.gonghao.cc/index.html △Gmail 전자우편을 가장한 www.hazablanca.com/clean/ 등이 톱5에 지목됐다.

이어 10일 중국에서 기승을 부린 피싱 사이트 톱5는 △TV 프로그램 ‘보이스 오브 차이나’를 가장한 http://viphsyb.cc/ △허위 의약류 http://4g.hsntb120.com/jishu/ △중국공상은행을 사칭한 http://wap.95533xn.cc/ △허위 온라인 쇼핑류 http://chaoshen.lawhome.cc/ △Gmail 전자우편으로 위장한 http://thelifeyouwant.biz/Adewale/ 순이었다.

지난 11일 피싱 사이트 톱5에는 △TV 프로그램 ‘보이스 오브 차이나’를 가장한 http://viphsyh.cc/ △허위 의약류 http://sina.c99j.com/ △중국공상은행을 사칭한 http://wap.ccbmwd.com/ △허위 온라인 쇼핑류 http://s2.wtwshop.com/ △중국 최대 전자상거래 사이트인 알리바바(Alibaba) 전자우편을 가장한 www.nano24.ro/wp-content/languages/login.authxx.php (사용자를 속여 계정과 비밀번호 빼냄) 등 차례로 지목됐다.

주말이 포함된 12일~14일 사흘 동안에는 △TV 프로그램 ‘보이스 오브 차이나’로 위장한 http://viphsyn.cc/ △가짜 의약류 www.ddaww.com/zzrz.html △가짜 p2pfb www.whdaikuan.net/index.html(허위 금전 대출 정보로 사용자의 금전 편취) △허위 온라인 쇼핑류 http://chaoshen.lawhome.cc/ △Gmail 전자우편을 가장한 http://cidadealtamadeiras.com.br/dropbox/ 등이 대표적인 톱5에 꼽혔다.

루이싱 보안시스템의 통계 결과, 웹페이지에 숨은 트로이목마의 공격을 받은 중국 누리꾼 수는 지난 8일 연인원 1만3,677명, 9일 1만1,994명, 10일 연 1만1,924명, 11일 연 1만2,992명, 12일~14일 연 3만5,479명으로 각각 조사됐다. 매일 피해자가 연 1만명을 넘었다.

루이싱이 보안 시스템을 써서 찾아 낸 피싱 웹주소는 8일 7,063개에서, 9일 4,100개로 줄었으며, 10일 4,121개, 11일 4,311개, 12일~14일 1만178개에 달했다.

[중국 베이징 / 온기홍 특파원(onkihong@yahoo.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>