포티넷이 지난 2012년 10월부터 12월까지 3개월간 진행한 4분기 보안 위협 보고서를 발표했다.

포티넷이 운영하는 악성코드 연구소 ‘포티가드 랩(FortiGuard Labs)’에서 조사한 이번 보고서에 따르면 금전 탈취를 목적으로 하는 네 가지 종류의 악성코드 샘플이 발견됐다. 또 안드로이드 기반의 애드웨어(Adware)인 ‘Android/Plankton’의 변종 애드웨어의 출현, 그리고 핵티비스트의 웹 서버 취약성 스캐닝 활동이 급증한 것으로 나타났다.

1. 2013년 주목해야 할 대표적인 금전 탈취 악성코드

지난 3개월 동안 급증한 네 가지 종류의 악성코드를 탐지했으며, 이는 1일~7일이라는 짧은 기간 동안 매우 강한 수준의 활동량을 보였다. 이번에 탐지된 네 가지 악성코드는 금전 탈취를 목적으로 최근 사이버범죄에 이용되고 있었다.

 Simda.B: 마치 플래시 업데이트인 것처럼 사용자를 속여 모든 설치 약관에 동의하도록 유도하는 Simda.B 악성코드는 일단 설치되고 나면 사용자의 비밀번호를 탈취한다. 이를 통해 사용자 e메일이나 소셜 네트워킹 프로그램에 로그인하여 스팸이나 악성코드를 자동으로 유포하는 방법을 통해 확산된다. 여기서 탈취한 사용자 정보를 통해 악성 웹 사이트를 운영하고 온라인 지불 시스템을 통해 자동으로 사용자의 돈을 탈취한다.

FakeAlert.D: 안티바이러스 프로그램인 것처럼 시스템 트레이에서 팝업창을 통해 컴퓨터가 바이러스에 감염되었다는 경고를 띄운다. 바이러스 제거를 위해서는 일정 금액을 지불하여야 한다는 메시지를 통해 지불을 유도한다.

▲ FakeAlert.D에 감염된 PC 화면

Ransom.BE78: 일종의 랜섬웨어로 일단 설치가 되면 사용자는 자신의 데이터에 접근을 할 수 없게 된다. 일반적으로 사용자의 장치의 부팅을 못하게 만들거나 데이터를 암호화하는 방법으로 사용자 접근을 차단하여 일정 금액을 지불하면 해독용 프로그램을 준다고 하면서 금품을 요구하는 악성코드다. 앞서 소개한 거짓 안티바이러스 프로그램이 사용자 동의를 유도하여 사용자 스스로 설치하도록 만드는 것과 달리 랜섬웨어는 사용자 동의 없이 몰래 잠입하여 자동으로 설치되고 제거를 위해서는 비용을 지불해야 한다.

Zbot.ANQ: Zbot.ANQ는 악명 높은 Zeus 툴의 클라이언트 역할을 하는 봇넷 트로이목마 악성코드로 일단 설치가 되면 사용자가 온라인뱅킹 사이트에 접속시 입력하는 정보를 탈취한다. 이후 각종 소셜 엔진을 통해 사용자 스마트폰에 악성코드 프로그램을 설치하도록 유도한다. 사용자 스마트폰에 악성코드가 설치되고 나면 은행 인증번호 문자 등을 탈취하여 이를 통해 사용자 통장에서 대포통장으로 돈을 송금한다.

포티넷 코리아의 최원식 사장은 “금전 탈취를 위한 악성코드의 방법이 매년 진화하고 있고 최근 사이버범죄는 단기간에 수익을 내기 위해 더욱 개방적으로 접근하고 돈을 요구하는 방식 또한 매우 노골적으로 변모하였다”라며, “예전처럼 조용히 잠입하여 비밀번호만 탈취하는 것에서 벗어나 사용자로 하여금 비용을 지불하도록 만드는 행위를 스스럼없이 저지른다”라고 밝혔다.

그는 또한 “하지만 사용자가 스스로 보안을 유지하기 위한 기본적인 방식에는 변함이 없다”라며, “자신의 컴퓨터에 적절한 보안 솔루션을 설치하고 사용중인 소프트웨어를 지속적으로 최근 버전이나 패치를 통해 업데이트를 진행하며 주기적인 바이러스 검사를 실시해야 한다”고 덧붙였다.

2. 안드로이드 기반의 변종 애드웨어 출현

안드로이드에서 활동하는 모바일 애드웨어(Adware)인 Android/Plankton이 빠르게 확산되고 있다. Plankton은 사용자의 안드로이드 단말기에 침입하여 해당 모바일기기 상태창에 원하지 않는 광고를 지속적으로 노출하거나 IMEI(International Mobile Equipment Identity/국제 모바일 기기 식별코드) 번호를 통해 사용자를 추적하기도 하며 데스크톱 상의 아이콘을 삭제시키는 증상을 유발하는 악성 애드웨어다.

하지만 지난 4분기 Plankton의 활동이 크게 감소한 것으로 감지되었는데, 이는 Plankton의 활동이 약해진 대신 Plankton에 영향을 받아 개발된 새로운 애드웨어 툴이 출현했기 때문이다.

포티넷은 이러한 변종 애드웨어가 지난 3분기에 보였던 Plankton 활동량에 견줄만한 수준으로 확산되었다고 밝혔다.

최원식 사장은 “이렇게 변종 애드웨어의 활동이 급증하게 된 것은 Plankton의 제작자가 바이러스 탐지를 피하기 위해 새로운 변종 툴을 개발했거나, 애드웨어로 수익을 내기 위한 악성코드 개발자 사이의 경쟁적으로 비슷한 애드웨어를 개발한 것일 수도 있다”라며, “어떠한 이유에서건 안드로이드 사용자를 공격하는 애드웨어의 활동이 급증하고 있는 것은 사실이기 때문에 안드로이드 기반의 기기를 사용하는 사용자는 애플리케이션을 설치할 때 특히 주의해야 할 것이다”라고 밝혔다.

포티넷은 안드로이드 악성 코드가 설치되는 것을 방지할 수 있는 가장 좋은 대비책으로 애플리케이션 설치 시 설치 동의약관을 꼼꼼하게 읽어볼 것을 권고한다. 높은 평점이나 리뷰가 많고, 다운로드 횟수가 많은 애플리케이션만 설치하는 것도 좋은 대비책이라고 밝혔다.

3. 핵티비스트의 스캐닝 활동 급증

포티넷은 지난 2012년 3분기 보고서를 통해 루마니아 해커들에 의해 개발된 웹 취약성에 대한 대규모 스캐닝 시도를 보고한바 있다. ZmEu라고 불리는 이 스캐닝 툴은 서버의 통제권을 장악하기 위해 취약한 버전의 mySQL 관리 소프트웨어(phpMyAdmin)에서 웹 서버 스캐닝을 시도됐다. 이러한 종류의 스캐닝 활동은 지난 9월을 시작으로 12월까지 9배나 증가했다.

최원식 사장은 “스캐닝 활동의 급증이 시사하는 바는 전 세계적으로 발생되는 다양한 시위 활동이나 사회 운동에서 더 용이한 입지를 굳히기 위한 핵티비스트의 관심이 증가했다는 것을 의미한다”라며, “이러한 스캐닝 공격은 핵티비스트로 하여금 계속 증가하는 다양한 목표를 추구하고 자신들의 성공을 알리기 위해서라도 앞으로 높은 수준의 활동량을 유지할 것이다”라고 밝혔다.