한국CISO협의회

보안 제품정보

[주간 악성링크] 최신 취약점으로 중무장한 채 멀티 공격

2015.08.21

최신 취약점 이용한 새로운 공격 유형으로 국내 웹사이트 공격

[보안뉴스 김경애] 한 주간 국내에 유포된 악성파일이 증가한 것으로 나타났다. 이탈리아 해킹팀 이슈로 발견된 신규 취약점을 이용한 공격이 발견되는가 하면, 을지연습 기간중 관련 사이트에서 악성파일이 발견되기도 했다. 게다가 각종 기법이 결합된 멀티스테이지(Multi-Stage) 공격으로 국내 웹사이트가 몸살을 앓고 있다.

▲ 20일 악성 URL이 삽입된 한미XX협회 사이트 캡처화면

중소기업 사이트 악성링크에 ‘몸살’
먼저 악성코드의 신규 경유지와 파급력이 동반 상승하면서 국내 중소기업 웹사이트가 몸살을 앓고 있다.

특히, 을지연습 기간 마지막 날인 20일 한미XX협회 사이트에서 스윗 오렌지 익스플로잇 킷(Sweet Orange Exploit Kit)을 악용한 악성URL이 삽입된 정황이 포착됐다. 같은 날 XX케어 웹사이트에서도 동일한 공격 정황이 발견됐다.

이를 제보한 닉네임 메가톤은 “보안이 취약한 국내 웹사이트가 반복적으로 공격을 당하며, 악성URL이 삽입되고 있다”며 “단순히 악성URL 삭제 뿐 아니라 근본적인 조치로 보안을 강화해야 한다”고 강조했다.

이어 XX바이오시스템 도메인을 이용한 피싱 사이트도 발견됐다. 이와 관련 메가톤은 “피해사이트 서버를 이용해 1차적으로 개인정보를 요구하고 있다”며 피싱 사이트에 대한 주의를 당부했다.

이외에도 오XX, 스킨XX, 신라XX 등 중소기업 사이트를 중심으로 악성링크가 삽입된 정황이 드러났다.

최신 취약점 이용 등 멀티스테이지 공격

이어 매번 공격 유형이 조금씩 변형되면서 국내 웹사이트를 위협하고 있다. 지난 주에도 발견됐던 네이버 계정 탈취를 목적으로 하는 피싱 공격은 물론 일부 사이트에서는 아이핀 계정을 추가로 요구하는 형태로 변경됐다. 게다가 아이핀 계정 탈취 공격에다 악성코드를 감염시킬 수 있는 악성링크가 추가되는 변형 공격도 나타났다.

▲ 멀티스테이지 공격을 받은 사이트(자료제공: 빛스캔)

지난 18일 빛스캔에 따르면 네이버와 아이핀, 키로깅을 조합한 멀티스테이지 공격이 XX웹, XX데일리, XXXX조합 등의 웹사이트에서 포착됐다고 밝혔다. 특히, CK 익스플로잇 킷(Exploit Kit)에 최신 어도비 플래시 취약점인 CVE-2015-3133이 추가됐다. 이로 인해 지난 14일 정오를 기점으로 위협 수준을 ‘주의’로 상향 조정했다는 게 빛스캔 측의 설명이다.

이와 관련 빛스캔 측은 “멀티스테이지 공격은 악성코드 유포가 주된 목적이라기 보다는 피싱이 주요한 목적이며, 보조적으로 키 값을 훔치기 위해 악성코드가 활용됐다”고 밝혔다.

이어 카운터 서버, 네이버 위장 로그인, 자동화 공격 도구 활용 등 복합적인 공격도계속 등장했으며, 블루X(웹호스팅 업체)의 403 페이지를 이용하는 네이버 위장 로그인 공격도 포착됐다. 또한, 금융정보 탈취를 위한 악성코드 유포도 다시 시작된 것으로 알려졌다. 이와 관련해서 트위터를 이용한 파밍, 키로깅과 맥주소 및 인증서 탈취하는 움직임이 포착된 것.

지난 13일에는 이탈리아 해킹팀 이슈로 발견된 최신 플래시 취약점을 적용한 파밍용 악성코드도 기승을 부린 것으로 나타났다.

▲ CK VIP EK - 플래시 취약점 적용 현황

이보다 앞서 지난 7월 9일에는 파밍 악성코드 유포 조직들이 해킹팀 이슈로 발견된 CVE-2015-5119를 적용했으며, 7월 13일 이후부터는 CVE-2015-5122를 추가 적용한 것으로 분석됐다.

이와 관련 하우리 최상명 CERT실 실장은 “파밍 악성코드 유포 조직도 해킹팀 최신 플래시 취약점(CVE-2015-5122)을 사용하기 시작했다”며 “CK VIP 익스플로잇 킷 8.11 버전부터 적용했다”고 밝혔다.

200여개 사이트, 동시 악성URL 삽입

이어 최대 200여개 사이트에 영향력을 가진 멀웨어넷(MalwareNet)의 활동도 포착됐다. 여기서 말하는 멀웨어넷은 공격자가 효과를 높이고 탐지를 회피하려고 활용하는 다단계 유포 네트워크를 의미한다.

지난 8일에는 소강상태이던 취약점을 악용한 악성 URL이 국내 대표적인 제빵회사인 신라XX 웹사이트에 삽입된 정황도 발견됐다. 해당 악성 URL은 소규모 멀웨어넷(MalwareNet)으로 대략 200여개에 이르는 중소규모 사이트에 악성 URL이 동시 삽입되어 유포된 것이 특징이다.

이와 관련 빛스캔 문일준 대표는 “해당 사이트에서 제품을 사기 위해 방문하는 사용자에게 영향을 줄 수 있다”며 “해당 사이트에서 사용된 공격 킷은 CK VIP 익스플로잇 킷이 사용됐으며, 다운로드된 바이너리는 공인인증서를 탈취해 개인금융정보를 공격자 서버로 보내는 것으로 확인됐다”고 설명했다.
[김경애 기자(boan3@boannews.com)]

자료실

자료실

보안 제품정보