인터넷 사이트 비밀번호·개인정보 빼내는 새 PC바이러스 활개

피싱 사이트 2만3,200여개 탐지돼...중 누리꾼 12만명 공격 노출

[보안뉴스 온기홍=중국 베이징] 중국에서 지난 7월 27일부터 8월 2일까지 한 주 동안 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 악성 프로그램을 내려 받아 시스템 파일로 위장한 뒤 사용자의 여러 인터넷 사이트 계정과 비밀번호, 개인정보를 빼내는 새 바이러스가 기승을 부린 것으로 나타났다.

또한 이 기간 중국에서 정보보안회사가 찾아낸 피싱 사이트 수는 2만3,200여개에 달했으며, 중국 누리꾼 가운데 12만 명이 피싱 사이트의 공격을 받은 것으로 파악됐다.

中 7월 27일~8월 2일 주요 PC 바이러스

중국 정보보안회사인 루이싱정보기술은 지난 7월 27일~8월 2일 한 주 동안 중국에서 주목을 받은 대표적인 PC 바이러스는 ‘Trojan.DL.Tibs.iwt’ 였다고 밝혔다. 이 바이러스는 활동 개시 후 시스템 디렉터리 C:\WINDOWS\system32\adirss.exe 에 자신을 복제하고, 컴퓨터 시작과 함께 자동으로 활성화하도록 만든다.

▲ 7월 27일~8월 2일 중국내 주요 PC 바이러스     (출처:중국 루이싱정보기술)

또 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고, 악성 프로그램들을 내려 받은 다음 시스템 파일로 위장하는 것으로 드러났다. 이로 인해 컴퓨터 사용자의 여러 인터넷 사이트 계정과 비밀번호를 비롯해 중요한 정보들이 유출되는 위험에 놓이게 된다.

2만5,237명으로부터 신고를 받았다. 이 바이러스는 활동 개시 후 ‘%system%’ 디렉토리에 자신을 복제하고, 기타 진행 과정에서 메모리를 신청하는 것으로 나타났다. 또 컴퓨터 시작과 함께 자동으로 활동을 개시하도록 설정한다. 컴퓨터가 이 바이러스에 감염되면 사용자의 인터넷 사이트 계정과 비밀번호, 인터넷 뱅킹 비밀번호 등이 도난당할 수 있다.

이어 지난달 28일에는 ‘Trojan-PSW.Win32.QQPass.cosb’가 중국에서 널리 퍼졌다. 연 2만5,023명이 신고한 이 바이러스는 활동을 시작한 뒤 레지스트리를 수정하고 중국의 대표적인 온라인 메신저 프로그램인 ‘QQ’를 강제로 종료시킨다. 이어 로그인 창을 위조하고 사용자를 꾀어 QQ 계정과 비밀번호를 입력하도록 한다.

이들 정보는 해커가 지정한 웹주소로 보내진다. 최종적으로 이 바이러스는 스스로 삭제한다. 이 때문에 컴퓨터 사용자는 QQ 계정과 비밀번호 도난을 당하고 QQ내 친구도 사기 위험에 놓이게 된다.

지난달 29일 중국에서 크게 활개를 친 대표적인 바이러스는 ‘Worm.Win32.ECode.ad’. 연 2만5,190명이 신고한 이 웜 바이러스는 파일 폴더로 위장해 사용자를 꾀어 클릭해 실행하게 한다. 컴퓨터에 설치된 바이러스 퇴치 프로그램을 강제로 종료시키며, 자신을 다른 디스크에 복사한다.

또 숙주 프로그램을 활성화하고 코드를 주입하며 EIP를 수정해 자신의 코드를 실행한다고 루이싱은 설명했다. 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시키고 다른 악성 프로그램들을 내려 받는다. 이로 인해 네트워크 자원이 점용 당하고 시스템 운행이 느려지며 나아가 시스템 마비까지 일어날 수 있다.

지난 30일에는 ‘Trojan.Downloader.Win32.Hyteod.wih’가 기승을 부렸다. 연 2만4,805명이 신고했다. 이 바이러스는 활동을 시작한 뒤 숙주 프로그램(svchost.exe)을 활성화하며 코드를 주입하고 EIP를 수정해 자신의 코드를 실행한다. 또한 레지스트리를 수정하고, 백그라운드에서 PC를 해커가 지정한 웹주소에 연결시켜 많은 악성 프로그램들을 내려 받는 것으로 드러났다. 이 때문에 사용자의 여러 인터넷 사이트 계정과 비밀번호가 유출되고 인터넷 뱅킹 비밀번호도 도난 당할 위험에 놓이게 된다.

주말이 들었던 7월 31일~8월 2일 사흘 동안 중국에서 널리 퍼진 대표적인 바이러스는 ‘Trojan.Win32.PolyRansom.a’였다. 연 2만3,442명이 신고한 이 바이러스는 컴퓨터 시작과 함께 자동으로 활동을 개시할 수 있도록 설정한다. 레지스트를 수정하고 자신의 파일 확장명을 숨긴다. 컴퓨터 바탕화면에 있는 상용 실행 프로그램들을 감염시키며, 컴퓨터를 잠그고 사기 창을 띄워 사용자에게 상응한 금액을 결제하게 한다. 또 컴퓨터 시작 비밀번호를 변조해, 사용자가 컴퓨터에 들어갈 수 없게 만든다.

中 7월 27일~8월 2일 피싱 사이트 발생 동향

루이싱은 지난 7월 27일~8월 2일 한 주 동안 ‘클라우드 보안시스템’을 써서 탐지한 중국내 피싱 사이트 수가 2만3,230개라고 밝혔다. 한 주 전보다 약 1,900개 늘었다. 이 기간 중국 누리꾼 가운데 12만 명이 피싱 사이트들의 공격을 받았다고 루이싱은 덧붙였다.

피싱 사이트의 공격을 받은 중국 누리꾼 수를 보면, 지난달 27일에는 연인원 1만6,054명, 28일 연 1만8,512명, 29일 연 1만9,161명, 30일 연 1만4,690명, 주말이 포함된 7월 31일~8월 2일 사흘 동안에는 연 3만7,978명이었다.

루이싱이 보안 시스템을 써서 찾아 낸 피싱 웹주소는 27일 3,237개, 28일 4,314개, 29일 4,436개, 30일 3,397개, 7월 31일~8월 2일 7,793개였다. 또한 이 기간에는 애플(Apple)로 위장한 www.ateliers.e-com.pro/wp-admin/css/colors/fr/index.php, 가짜 의약류 www.bebejia.com.cn/aoya/index.asp, 온라인게임을 가장한 www.cfhama.com 등의 피싱 사이트들이 인터넷 뱅킹 계정과 비밀번호, 개인 정보 등을 빼내기도 했다.이들 피싱 사이트는 바이러스나 트로이목마가 숨기고 있으므로 누리꾼들은 주의해야 한다고 루이싱은 강조했다.

일자별로 중국에서 널리 퍼진 피싱 사이트 ‘톱5’ 선정 결과를 보면, 먼저 지난 27일에는 △중국 텅쉰 사이트를 가장한 www.nyshengjian.com/?dzjtU?jd.com/dzjtU (사용자를 속여 계정과 비밀번호 빼냄) △가짜 의약류 www.eaccn.com (가짜 의약 정보로 사용자를 속여 송금 유도) △허위 온라인 구매(쇼핑)류 http://sxngs.com/ (허위 구매 정보로 사용자의 금전 편취) △중국건설은행을 사칭한 http://wap-cbclt.com/ (사용자를 속이고 카드 번호와 비밀번호 빼냄) △지메일(Gmail)로 위장한 http://square9ksa.com/fm-rr/index.htm (사용자의 e메일 계정과 비밀번호 편취) 순으로 꼽혔다.

지난달 28일 중국내 피싱 사이트 톱5는 △중국 최대 전자상거래 사이트 알리바바(Alibaba)를 사칭한 http://pe.ifpr.edu.br/aliba/proudct/ (사용자의 계정과 비밀번호 정보 편취) △가짜 의약류 www.lianbangkabu.cn/ △텅쉰 사이트를 가장한 http://cfzhanlong.com/?jdfwkey=fy0qw1 (허위 S/W 정보로 사용자의 계정과 비밀번호 편취) △중국건설은행을 사칭한 http://wap.cioope.com/ △지메일을 가장한 http://mrdtechsystems.com/googledocs/macbook.html 등 차례였다.

이어 29일에는 △페이팔(Paypal)을 가장한 www.connect.mypbc.org/b0r1s/ (사용자의 계정과 비밀번호 편취) △허위 의약류 www.wangoc.com/ △텅쉰 사이트를 가장한 www.dnf208.com/ △중국건설은행을 사칭한 http://tukccb.com/ △지메일로 위장한 www.mdafurniture.com/recycle/ 순으로 상위 5대 피싱 사이트에 들었다.

지난 30일 피싱 사이트 톱5는 △페이스북(Facebook)을 가장한 www.myfancy.org/ (사용자의 계정과 비밀번호 편취) △허위 의약류 www.sykou.com/ 텅쉰 사이트로 위장한 http://26qq.cc/ △중국건설은행을 사칭한 http://gojjsr.com/ △야후(Yahoo)로 가장한 http://nostyle.paaw.info/lqt/mail.html (사용자의 계정과 비밀번호 편취) 등 차례였다.

주말이 들었던 7월 31일~8월 2일 피싱 사이트 톱5는 △Paypal을 가장한 www.lhall.co.uk/binppv-/www.paypal.co.uk/ △허위 의약류 www.liujiayao.org/ △허위 온라인 구매류 www.ty-iphone.com/ △중국건설은행을 사칭한 http://wap.95533whr.com/ △지메일을 가장한 www.murphyslanding.net/Business/index.php 순이었다.

[중국 베이징 / 온기홍 특파원 onkihong@yahoo.com]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>