2 May 27 5 인터넷침해사고동향및분석월보
본보고서내정부승인통계는웜 바이러스피해신고건수, 해킹 ( 스팸릴레이, 피싱경유지, 단순침입시도, 기타해킹, 홈페이지변조건수 ) 에한하며, 침해사고동향분석에대한이해를돕기위하여기술된악성봇감염률, PC 생존시간, 허니넷통계등은해당되지않습니다. 본보고서내용의전부나일부를인용하는경우에는반드시출처 [ 자료 : 한국정보보호진흥원인터넷침해사고대응지원센터 ] 를명시하여주시기바랍니다.
Contents Part 월간동향요약... 침해사고통계분석 -. 증감추이 ( 전년, 전월대비 )...2-2. 침해사고통계요약...2-3. 침해사고통계현황 웜 바이러스신고건수추이...3 주요웜 바이러스별현황...4-4. 해킹 해킹사고접수 처리건수추이...5 피해기관별분류...6 피해운영체제별분류...6 피싱경유지신고처리현황...7 홈페이지변조사고처리현황...9 악성봇 (Bot) 현황... Part 2 허니넷 / 트래픽분석 2-. PC 생존시간분석...2 2-2. 허니넷트래픽분석 전체추이...4 Top 3 국가별공격유형...5 해외 국내...6 국내 국내...8 2-3. 국내인터넷망트래픽분석...2 2-4. 바이러스월탐지웜 바이러스정보...2 Part 3 월간특집 악성코드를이용한피싱사례분석...22 < 별첨 > 악성코드유포지 / 경유지조기탐지및차단조치...3 < 부록 > 주요포트별서비스및관련악성코드...32 < 용어정리 >....33 -Ⅰ-
표차례 [ 표 ] 월간침해사고전체통계...2 [ 표 2] 월별국내웜 바이러스신고건수...3 [ 표 3] 주요웜 바이러스신고현황...4 [ 표 4] 해킹사고처리현황...5 [ 표 5] 해킹사고피해기관별분류...6 [ 표 6] 해킹사고피해운영체제별분류...6 [ 표7] 피싱경유지신고건수...7 [ 표 8] 홈페이지변조사고처리현황...9 [ 표 9] 국내악성봇 (Bot) 감염률... [ 표 ] 악성 Bot의전파에이용되는주요포트목록... [ 표 ] Windows XP Pro SP, Windows 2 Pro SP4 생존가능시간...2 [ 표 2] 허니넷에유입된스캔트래픽국가별비율...5 [ 표 3] 해외 국내 ( 허니넷 ) 스캔탐지현황...6 [ 표 4] 국내 국내 ( 허니넷 ) 스캔탐지현황...8 [ 표 5] 수집된주요웜 바이러스현황...2 그림차례 ( 그림 ) 월별침해사고전체통계그래프...2 ( 그림 2) 월별국내웜 바이러스신고건수...3 ( 그림 3) 해킹사고접수 처리건수유형별분류...5 ( 그림 4) 해킹사고피해기관별분류...6 ( 그림 5) 월별피싱경유지신고건수...7 ( 그림 6) 월별홈페이지변조사고처리현황...9 ( 그림 7) 월별국내악성봇 (Bot) 감염률추이... ( 그림 8) 전세계악성봇 (Bot) 감염 IP 수와국내감염 IP 수의비교... ( 그림 9) 악성봇관련포트비율 ( 해외 )... ( 그림 ) 악성봇관련포트비율 ( 국내 )... ( 그림 ) 월별평균생존가능시간변동추이...2 ( 그림 2) Windows XP SP 생존시간분포분석...3 ( 그림 3) Windows 2 SP4 생존시간분포분석...3 ( 그림 4) 월별허니넷유입트래픽규모...4 ( 그림 5) 허니넷유입트래픽 Top3 국가별공격유형...5 ( 그림 6) 해외 국내 ( 허니넷 ) 스캔탐지현황...7 ( 그림 7) 국내 국내 ( 허니넷 ) 스캔탐지현황...9 ( 그림 8) 국내인터넷망에유입된포트트래픽 Top 일별추이...2 ( 그림 9) 국내인터넷망에유입된공격유형...2 -Ⅱ-
월간동향요약 핫이슈 MS Excel, Word 및 MS Exchange( 메일서버 ) 제품의취약점에대한보안패치가발표되었으므로해당제품사용자는신속히보안업데이트를실시하여침해사고피해사전예방필요 주요취약점, 웜 바이러스 제목영향받는제품 / 사용자영향력 / 예방및대책참고사이트 [MS 보안업데이트 ] 27 년 5 월 MS 월간보안업데이트권고 o MS Office 제품다수 ( 참고사이트참조 ) - 최신보안업데이트설치 http://www.krcert.or.kr/ 보안정보 보안공지 [MS 보안업데이트 ] 27 년 5 월 MS 월간보안업데이트권고 보안공지사항에대한보다자세한내용은 KISA 인터넷침해사고대응지원센터홈페이지보안공지사항 (http://www.krcert.or.kr/ 보안정보 보안공지 ) 에서확인할수있습니다. 통계분석 웜 바이러스피해신고는전월에비하여 2.8% 감소 해킹신고처리는전월대비 2.3% 감소 ( 피싱경유지, 기타해킹, 홈페이지변조는각각 23.3%, 2.4%, 62.9% 증가, 스팸릴레이, 단순침입시도는각각 25.8%, 2.6% 감소 ) 전세계 Bot 감염 PC 대비국내 Bot 감염 PC 비율.8% 로전월대비.8%p 감소 PC 생존시간 Windows XP SP : 36 분 46 초 ( 전월대비 8 분 59 초증가 ) Windows 2 SP4 : 4 분 23 초 ( 전월대비 8 분 27 초증가 ) 인터넷침해사고동향및분석월보
Part 침해사고통계분석 Part 2 Part 3. 침해사고통계분석 -. 증감추이 ( 전월대비 ) 구분웜 바이러스해킹신고처리 스팸릴레이 피싱경유지 단순침입시도 기타해킹 홈페이지변조악성봇 (Bot) 통계요약총 39 건 : 전월 ( 395건 ) 대비 2.8% 감소총,946건 : 전월 (2,22건 ) 대비 2.3% 감소총 972 건 : 전월 (,3건 ) 대비 25.8% 감소총 9건 : 전월 ( 73건 ) 대비 23.3% 증가총 522건 : 전월 ( 536건 ) 대비 2.6% 감소총 27 건 : 전월 ( 22 건 ) 대비 2.4% 증가총 45 건 : 전월 ( 89건 ) 대비 62.9% 증가전세계 Bot 감염추정PC 대비국내감염율은.8% 로전월 (.6%) 대비.8%p 감소 -2. 침해사고통계요약 구분웜 바이러스 [ 표 ] 월간침해사고전체통계 26 27 27 총계 2 3 4 5 6 7 8 9 2 7,789 58 622 329 395 39 해킹신고처리 26,88 2,58 2,89 2,247 2,22,946 스팸릴레이 4,55,225,473,477,3 972 피싱경유지,266 9 78 96 73 9 단순침입시도 3,7 327 84 44 536 522 기타해킹 4,57 229 26 97 22 27 홈페이지변조 3,26 287 48 63 89 45 악성봇 (Bot) 2.5% 3.7% 3.%.9%.6%.8% 총계 2,73,76 6,457 527,983,6 732 2.2% 웜 바이러스신고접수건수스팸릴레이신고처리건수피싱경유지신고처리건수,4.2, 8 6 4 2 329 395 39 2,,5, 5,477,3 8 972 73 2 6 2 4 단순침입시도 + 기타해킹신고처리홈페이지변조사고처리건수악성봇 (Bot) 감염비율 2,, 3%,5, 5 6 748 739 8 6 4 2 2% % 63 89 45.9..6.8 ( 그림 ) 월별침해사고전체통계그래프 2 27 년 5 월호
www.krcert.or.kr -3. 침해사고통계현황 웜 바이러스신고건수추이 [ 표 2] 월별국내웜 바이러스신고건수 구분 26 총계 27 27 2 3 4 5 6 7 8 9 2 신고건수 7,789 58 622 329 395 39 2,73 웜 바이러스신고건수는 KISA, ㄜ안철수연구소, ㄜ하우리가공동으로집계한결과임 총계,4,2, 8 6 4 2 329 395 39 ( 그림 2) 월별국내웜 바이러스신고건수 7 년 5 월에국내백신업체와 KISA 에신고된웜 바이러스신고건수는 39 건으로전월 (395 건 ) 에비하여 2.8% 감소하였다. - 5 월에는 DOWNLOADER 를비롯하여 XEMA 등에의한피해가비교적고르게분포되었던지난달과달리 NSANTI, XEMA 에의한피해신고가많았던것으로나타났다. NSANTI, XEMA 모두자체전파력이없는것으로보아보안이취약한웹사이트를통하여감염되어지는것으로보인다. 인터넷침해사고동향및분석월보 3
Part 침해사고통계분석 Part 2 Part 3 주요웜 바이러스별현황 [ 표 3] 주요웜 바이러스신고현황 27 순위 2 3 4 5 6 명칭건수명칭건수명칭건수명칭건수명칭건수명칭건수 BAGLE 2 BAGZ 3 BANLOAD 4 DOWNLOADER 5 IRCBOT 6 VIKING 7 PARITE 8 XEMA 9 DELLBOY LINEAGEHACK 기타합계 5 AGENT 36 DOWNLOADER 32 XEMA 9 HUPIGON 5 LINEAGEHACK 5 KORGAMEHACK 4 QQPASS 3 GRAYBIRD 3 BAGLE IRCBOT 기타 58 73 IRCBOT 64 DOWNLOADER 45 XEMA 44 AGENT 27 VIKING 26 BAGLE 7 LINEAGEHACK 5 MATORYHACK 4 KORGAMEHACK 3 BO 284 기타 622 3 DOWNLOADER 22 XEMA 6 KORGAMEHACK 6 EXPLOIT-ANI 3 LINEAGEHACK AGENT VIRUT VIKING 9 ROOTKIT 8 BAGLE 82 기타 329 28 NSANTI 26 XEMA 24 DOWNLOADER 8 KORGAMEHACK 8 VIRUT 6 EXPLOIT-ANI 2 VIRTUMONDE IRCBOT 7 VIKING 6 LINEAGEHACK 23 기타 395 5 33 7 7 4 4 3 2 8 8 22 39 신고된웜 바이러스를명칭별로분류한결과지난달에 위를차지하였던 DOWNLOADER 는이번달에피해신고가감소하였으며, 자체전파기능없이주로감염된시스템으로부터특정정보를유출하거나, 시스템을악용하는등에이용되는것으로알려진 NSANTI 가 위를차지하였다. 4 27 년 5 월호
www.krcert.or.kr -4. 해킹 해킹사고접수 처리건수추이 [ 표 4] 해킹사고처리현황 구분 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 스팸릴레이피싱경유지단순침입시도기타해킹홈페이지변조 4,55,266 3,7 4,57 3,26,225 9 327 229 287,473 78 84 26 48,477 96 44 97 63,3 73 536 22 89 972 9 522 27 45 6,457 527,983,6 732 합계 26,88 2,58 2,89 2,247 2,22,946,76 피싱 (Phishing) 경유지신고건수는 KISA가국외의침해사고대응기관이나위장사이트의대상이된기관또는업체, 일반사용자로부터신고 받아처리한건수로서실제피싱으로인한피해사고건수가아니라보안이취약한국내시스템이피싱사이트경유지로악용되어신고된건수 단순침입시도 : KISA 에서접수 처리한해킹사고중웜 바이러스등으로유발된스캔 ( 침입시도 ) 을피해자 ( 관련기관 ) 가신고한건수 기타해킹 : KISA 에서접수 처리한해킹사고중스팸릴레이, 피싱경유지, 단순침입시도를제외한나머지건수 7.5%.2% 26.8% 4.6% 49.9% 스팸릴레이 피싱경유지 단순침입시도 기타해킹 홈페이지변조 ( 그림 3) 해킹사고접수 처리건수유형별분류 7.5 월 KISA 에서처리한해킹사고는,946 건으로전월 (2,22 건 ) 대비 2.3% 감소하였다. - 해킹사고항목별로전월대비증감을파악한결과, 스팸릴레이, 단순침입시도는각각 25.8%, 2.6% 감소하였으며, 피싱경유지, 홈페이지변조, 기타해킹은각각 23.3%, 62.9%, 2.4% 증가한것으로나타났다. - 항목별로차지하는비율은스팸릴레이 (49.9%) 가가장많았으며, 다음으로단순침입시도 (26.8%), 기타해킹 (.2%) 순이었다. 인터넷침해사고동향및분석월보 5
Part 침해사고통계분석 Part 2 Part 3 피해기관별분류 [ 표 5] 해킹사고피해기관별분류 기관 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 기업대학비영리연구소네트워크기타 ( 개인 ) 합계 3,689,94 74 6 37 2,988 435 95 46 27,554 24 75 33,829 88 73 23 7,855 26,88 2,58 2,89 2,247 277 6 2 7,763 2,22 278 39 22 2,495,946,49 643 36 2 64 8,496,76 기관분류기준 : 기업 (co, com), 대학 (ac), 비영리 (or, org), 연구소 (re), 네트워크 (ne, net), 기타 (pe 또는 ISP 에서제공하는유동 IP 사용자 ) 해킹사고를피해기관별분류한결과, 기타 ( 개인 ), 기업, 대학, 비영리의순으로나타났다. 전월과마찬가지로기타 ( 개인 ) 으로분류된경우가 76.8% 로가장많았는데, 침해사고관련 IP 가주로 ISP 에서제공하는유동 IP( 주로개인용컴퓨터 ) 인경우에기타 ( 개인 ) 으로분류하였다. 개인 76.8% 기업 4.3% 대학 7.% 네트워크.6% 비영리.% 피해운영체제별분류 [ 표 6] 해킹사고피해운영체제별분류 ( 그림 4) 해킹사고피해기관별분류 운영체제 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 Windows 22,93,868,98 2,8 2,53,739 Linux 3,66 2 48 9 23 62 Unix 48 2 3 기타 95 9 59 48 43 42 합계 26,88 2,58 2,89 2,247 2,22,946 운영체제별분류자료는각운영체제의안전성과는상관관계가없으며, 단지신고에따른분석자료임 9,748 723 7 282,76 해킹사고처리결과를운영체제별로분류한결과는전월과마찬가지로 Windows, Linux 운영체제순이었다. Windows 운영체제가차지하는비율은전월과마찬가지로 89.4% 로가장많았다. 6 27 년 5 월호
www.krcert.or.kr 피싱경유지신고처리현황 [ 표 7] 피싱경유지신고건수 26 27 27 구분총계 2 3 4 5 6 7 8 9 2 총계피싱경유지신고건수,266 9 78 96 73 9 527 피싱 (Phishing) 경유지신고건수는 KISA 가국외의침해사고대응기관이나위장사이트의대상이된기관또는업체, 일반사용자로부터신고받아처리한건수로서실제피싱으로인한피해사고건수가아니라보안이취약한국내시스템이피싱사이트경유지로악용되어신고된건수임 2 6 2 8 4 96 73 ( 그림 5) 월별피싱경유지신고건수 이번달피싱경유지신고건수는총 9 건으로, 전월 (73 건 ) 대비 7 건이증가하였다. 피싱대상기관유형별로는여전히금융기관이 68.9% 로가장큰비중을차지하였고, 전자상거래 3.% 로나타났다. 기관별로는전자상거래업체인 ebay(28 건 ) 가가장많았고 PayPal(23 건 ), BB&T(4 건 ) 등의순으로집계되었다. 기관 건수 금융기관전자상거래기타합계 62 28 9 금융 전자상거래 기타 금융기관 68.9% 전자상거래 3.% 기타.% 인터넷침해사고동향및분석월보 7
Part 침해사고통계분석 Part 2 Part 3 피싱대상기관및신고건수를국가별로분류한결과, 총 7 개국 25 개기관으로집계되었다. 소속국가별로는미국이 8 개 (72.2%) 기관, 신고건수 78 건 (86.7%) 을차지하여, 이달에도전월과동일하게국내신고건의대부분이미국과관련되었음을알수있다. 구분 기관분류 기관수 신고건수 금융기관 7 5 미국 전자상거래 28 78 기타 - - 스페인 금융기관 2 2 이탈리아 4 브라질 3 영국캐나다호주총7개국 - 25 9 국내피싱경유지사이트의기관유형별로는기업 33 건 (36.7%), 교육 건 (.%), 비영리 4 건 (4.4%), 개인 / 기타 건 (.%) 순으로집계되었다. 홈페이지가없거나 Whois 정보에 ISP 관리대역만조회되는경우에해당되는 ISP 서비스이용자 유형은 42 건 (46.7%) 으로나타났다. 기관유형 건수 기업교육비영리개인 / 기타 ISP 서비스이용자합계 33 4 42 9 기업 교육 비영리 개인 / 기타 ISP 서비스이용자 개인 / 기타.% ISP 서비스이용자 46.7% 기업 36.7% 비영리교육 4.4%.% 피싱경유지시스템에서이용된포트는이달에도표준 HTTP 포트인 8 포트를이용한경우가 8 건 (9.%) 으로가장많았고, 84 포트 6 건 (6.7%) 으로그뒤를이었다. 그밖에기타포트로 87, 22, 88 포트가각각 건씩이용된것으로나타났다. 포트 건수 84 포트 6.7% 기타 3.3% 8 8 84 87 22 88 6 8 포트 84 포트 기타 8 포트 9.% 합계 9 8 27 년 5 월호
www.krcert.or.kr 홈페이지변조사고처리현황 [ 표 8] 홈페이지변조사고처리현황 구분 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 피해홈페이지수피해시스템수 3,26,47 287 95 48 8 63 37 89 29 45 45 732 286 피해시스템수는피해 IP 수를기준으로산정한것으로단일 IP 에수십 ~ 수백개의홈페이지를운영하는경우도있으므로피해홈페이지수는 피해시스템수보다많을수있음 5 4 3 2 45 89 63 37 45 29 ( 그림 6) 월별홈페이지변조사고처리현황 이번달에는 45개시스템 (IP) 의 45개사이트 ( 도메인 ) 에대한홈페이지변조가발생하여피해시스템수는전월 (29개) 대비 55.2% 증가하였으며, 피해홈페이지수는전월 (89개) 대비 62.9% 증가한것으로나타났다. - 이번달에는특히낮은버전의리눅스플랫폼에서아파치웹서버 (.3.x) 로구동되며, 하나의시스템에서다수의홈페이지를운영하는웹호스팅서버의피해가발생하여전월에비하여홈페이지변조피해가증가한것으로나타났다. - 이처럼낮은버전의웹서버를운영하는업체 ( 기관 ) 의웹서버관리자는빠른시일내에좀더보안성이강화된최신버전의웹서버로업그레이드함으로써홈페이지변조및악성코드은닉등추가침해사고피해를예방하여야하겠다. 참고사이트 웹어플리케이션보안템플릿 : http://www.krcert.or.kr 초기화면 왼쪽 웹어플리케이션보안템플릿 홈페이지개발보안가이드 : http://www.krcert.or.kr 초기화면 왼쪽 홈페이지개발보안가이드 ModSecurity 를이용한아파치웹서버보안 : http://www.krcert.or.kr 보안정보 기술문서 ModSecurity 를이용한아파치웹서버보안 WebKnight 를이용한 SQL Injection 공격차단 : http://www.krcert.or.kr 보안정보 기술문서 WebKnight 를이용한 SQL Injection 공격차단 인터넷침해사고동향및분석월보 9
Part 침해사고통계분석 Part 2 Part 3 악성봇 (Bot) 현황 [ 표 9] 국내악성봇 (Bot) 감염률 구분 26 평균 27 27 2 3 4 5 6 7 8 9 2 국내비율 2.5% 3.7% 3.%.9%.6%.8% 2.2% 전세계 Bot 감염추정 PC 중국내 Bot 감염 PC 가차지하는비율임 봇 (Bot) : 운영체제취약점, 비밀번호취약성, 웜 바이러스의백도어등을이용하여전파되며, 명령전달사이트와의백도어연결등을통하여스팸메일전송이나 DDoS 공격에악용가능한프로그램또는실행가능한코드 평균 25% 2% 5% % 5%.9% %.8% ( 그림 7) 월별국내악성봇 (Bot) 감염률추이, 8, 6, 4, 2, 3 ( 그림 8) 전세계악성봇 (Bot) 감염 IP 수와국내감염 IP 수의비교 27 년 5 월호
www.krcert.or.kr 전세계 Bot 감염추정 PC 중에서국내감염 PC 비율은.8% 로지난달에비해.8%p 감소하였다. 지난달에비하여 TCP/2967 포트트래픽이국외 / 국내모두감소하였으며, 국내의경우 TCP/445 포트트래픽이많지않아 Bot 감염률이소폭감소하였다. - Bot의전파에사용되는주요포트는 NetBIOS 관련포트인 TCP/445, TCP/39 와웹관련 TCP/8 포트, Symantec 보안제품의취약점관련포트인 TCP/2967 포트, MS-SQL 관련포트인 TCP/433 순이다. 지난달에가장많은트래픽양을보였던 TCP/2967 포트트래픽의비율은지난달에비해절반이하로감소하였다. ( 그림 9) 전월악성 Bot Top5 포트 : TCP/2967, TCP/445, TCP/8, TCP/39, TCP/433 TCP/445 TCP/8 TCP/39 TCP/2967 TCP/433 기타 TCP/39 TCP/8 TCP/35 TCP/433 TCP/2967 기타.8% 5.4%.8% 32.6% 5.3% 7.%.% 27.5% 3.7% 25.8% 6.3% 23.% ( 그림 9) 악성봇관련포트비율 ( 해외 ) ( 그림 ) 악성봇관련포트비율 ( 국내 ) [ 표 ] 악성 Bot 의전파에이용되는주요포트목록 포트 관련취약점및웜 / 악성 Bot 포트 관련취약점및웜 / 악성 Bot 23 Cisco Telnet 2967 Symantec Exploit 8 WebDAV, ASN.-HTTP, Cisco HTTP 2745 Bagle, Bagle2 35 DCOM, DCOM2 327 MyDoom 39 NetBIOS, ASN.-NT 34 Optix 43 IMail 5 UPNP 445 NetBIOS, LSASS, WksSvc, ASN.-SMB, DCOM 6 Veritas Backup Exec 93 NetDevil 629 Dameware 25 DCOM 73 Kuang2 433 MS-SQL 27347 Sub7 인터넷침해사고동향및분석월보
Part Part 2 허니넷 / 트래픽분석 Part 3 2. 허니넷 / 트래픽분석 2-. PC 생존시간분석 5 월평균생존가능시간은 Windows XP SP 는 36 분 46 초, Windows 2 SP4 는 4 분 23 초로측정되었다. 전월에비하여 Windows XP SP 는 8 분 59 초, Windows 2 SP4 는 8 분 27 초증가하였다. 아래의그래프변화추이에서보이는바와같이생존시간은 월이후전반적으로상승하고있으며, 이번달또한전월에비하여생존시간이크게증가하였다. 이러한추이를미루어국내에서네트워크서비스취약점을이용하는자동웜의전파활동이 월이후감소하는경향을보이고있는것으로추정된다. 생존시간이증가하는추이를보이고있지만사용자가패치를적용하지않고인터넷을사용할경우, 매우짧은시간내에웜에감염되게되므로인터넷사용시에는반드시 OS 를최신으로업데이트하고추측하기어려운윈도우암호를설정및백신을설치하여악성코드감염을예방하도록해야하겠다. 생존시간의측정은암호설정및보안업데이트를하지않고, 모든포트가열려있는전용선인터넷환경에서 Windows XP SP 과 Windows 2 SP4 2 개군으로분류하여 여회를실시하였다. WinXP SP2 는개인방화벽이기본으로설치되므로웜감염피해를상당부분예방할수있음 생존가능시간 : 취약한시스템이인터넷에연결된상태에서웜이나악성코드에감염될때까지의시간 6min 5min 4min 3min 2min min ( 그림 ) 월별평균생존가능시간변동추이 [ 표 ] Windows XP Pro SP, Windows 2 Pro SP4 생존가능시간 Windows XP SP 구분 Windows 2 SP4 최장최단평균 최장최단평균 27 2 3 4 5 6 7 8 9 2 27 8 48 25 365 3 365 54 524 29 5 5 9 37 2 363 4 454 3 26 59 593 55 5 9 5 4 4 4 6 47 26 45 27 47 8 5 2 32 32 47 3 56 4 36 46 7 4 23 2 27 년 5 월호
www.krcert.or.kr Min 2.,5, 5 5 5 2 25 Day ( 그림 2) Windows XP SP 생존시간분포분석 Min 2.,5, 5 5 5 2 25 Day ( 그림 3) Windows 2 SP4 생존시간분포분석 인터넷침해사고동향및분석월보 3
Part Part 2 허니넷 / 트래픽분석 Part 3 2-2. 허니넷트래픽분석 전체추이 이번달 KISC ) 허니넷에유입된전체유해트래픽은약,만건으로전월과비슷한수준을유지하였다. IP 소재별로분류한결과국내소재 IP로부터유발된트래픽은전체의 38.5% 였으며, 해외소재 IP로부터의트래픽은 6.5% 로차지한것으로나타났다. 허니넷에유입되는트래픽은웜 바이러스, 악성봇등에의한감염시도트래픽 ( 취약점스캔 ) 이가장많으며이러한악성코드의네트워크스캔은유효한네크워크에대한접근효율을높이기위하여, 차적으로감염된시스템의 IP 주소의 A, B 클래스를고정하고 C 또는 D 클래스주소를변경하면서스캔하는경우가대부분이기때문에일반적으로자국에서유발된유해트래픽이해외에서유입된트래픽보다많음 KISC - Korea Internet Security Center, KISA ( 인터넷침해사고대응지원센터 ),5 만,2 만 9 만 6 만 3 만 ( 그림 4) 월별허니넷유입트래픽규모 참고 : 허니넷으로유입되는트래픽은초당수백건이상이될수있으므로구체적인건수는큰의미가없으며, 국내외비율및월별증감을참고하기바람 4 27년 5월호
www.krcert.or.kr Top 3 국가별공격유형 허니넷에유입된트래픽의근원지 IP소재국가별로분석한결과전월과동일하게중국으로부터유입된트래픽이가장많았으며, 다음으로미국, 일본순이었다. 국가별가장많이이용된포트도전월과동일하여중국발트래픽은전월과마찬가지로 TCP/22 포트에대한서비스스캔 ( 포트스캔 ) 이가장많았으며, 미국발트래픽은 UDP/35 Service Scan이가장많았고, 일본발트래픽은 Nmap 과같은네트워크스캐너도구에의한포트스캔이가장많았던것으로나타났다. 29% 4% 8% CHINA 27% 22% TCP/22-tcp service scan TCP/88-tcp service scan TCP/433-tcp service scan TCP/4899-tcp service scan 기타 ICMP-icmp ping Nmap scan TCP/22-tcp service scan TCP/39-tcp service scan TCP/445-tcp service scan 기타 JAPAN 5% 6% % 34% 45% USA 27% 4% 3% 3% 6% UDP/35-udp service scan ICMP-icmp ping Nmap scan TCP/22-tcp service scan TCP/433-tcp service scan 기타 ( 그림 5) 허니넷유입트래픽 Top3 국가별공격유형 [ 표 2] 허니넷에유입된스캔트래픽국가별비율 순위 2 3 4 5 6 7 8 9 27 2 3 4 5 6 국가명비율 (%) 국가명비율 (%) 국가명비율 (%) 국가명비율 (%) 국가명비율 (%) 국가명비율 (%) 중국미국일본유럽연합대만독일체코공화국영국홍콩이탈리아기타 39.5 28.5 5.5 3.8 3.2 2.7.5.5.2..6 중국 47.3 미국 6.6 일본 5.6 대만 2.9 유럽연합 2.6 베니수엘라 2.4 독일 2.2 인도 2. 불가리아 2. 호주.4 기타 4.9 중국 45.5 미국 22.3 일본 4.9 유럽연합 3.5 대만 2. 홍콩.9 루마니아.8 영국.7 독일.7 이탈리아.3 기타 3.5 중국 52.2 미국 8. 대만 6.6 일본 3.9 홍콩 3.5 독일.7 유럽연합.6 아일랜드.2 인도.9 영국.7 기타 9.6 중국 49.4 미국 2.2 일본 3.4 영국 3.4 대만 2.5 러시아 2. 홍콩.9 독일.9 유럽연합.9 인도.5 기타.9 인터넷침해사고동향및분석월보 5
Part Part 2 허니넷 / 트래픽분석 Part 3 해외 국내 해외로부터 KISC 허니넷에유입된트래픽을국가구분없이포트 / 공격 ( 스캔 ) 유형별로분석한결과전월과마찬가지로 TCP/22번서비스스캔이가장많았으며, 주로웹프락시로이용되는 TCP/88 포트에대한스캔이그다음으로많았다. [ 표 3] 해외 국내 ( 허니넷 ) 스캔탐지현황 순위 2 3 4 5 6 7 8 9 월 2월 3월 프로토콜 / 프로토콜 / 프로토콜 / 공격유형비율 (%) 포트번호공격유형비율 (%) 포트번호포트번호 공격유형 비율 (%) ICMP icmp ping Nmap scan 3.5 TCP/22 tcp service scan 27.3 TCP/22 tcp service scan 26.7 TCP/22 tcp service scan 8.8 ICMP icmp ping Nmap scan 2.9 ICMP icmp ping Nmap scan 2.8 TCP/433 tcp service scan 2.3 TCP/433 tcp service scan 6. TCP/433 tcp service scan.7 ICMP icmp ping Advanced IP Scanner v.4 7. TCP/42 tcp service scan 6.8 TCP/42 tcp service scan 4.6 TCP/42 tcp service scan 3.9 ICMP icmp ping Advanced IP Scanner v.4 4.8 TCP/88 tcp service scan 4.4 ICMP icmp ping Superscan4 scan 3.5 TCP/4899 tcp service scan 3. UDP/35 udp service scan 4.3 icmp ping Advanced TCP/4899 tcp service scan icmp ping 3. ICMP Superscan4 scan 2.8 ICMP IP Scanner v.4 3.9 TCP/88 tcp service scan 2.7 TCP/39 tcp service scan 2.2 TCP/4899 tcp service scan 3.9 TCP/2967 tcp service scan 2.3 TCP/88 tcp service scan 2. TCP/445 tcp service scan 2.4 UDP/35 udp service scan 2.3 TCP/ tcp service scan 2. TCP/8 tcp service scan 2.2 기타 3.5 기타. 기타 5.2 순위 2 3 4 5 6 7 8 9 4월 5월 6월 프로토콜 / 프로토콜 / 프로토콜 / 공격유형비율 (%) 포트번호공격유형비율 (%) 포트번호포트번호 공격유형 비율 (%) TCP/22 tcp service scan 2.5 TCP/22 tcp service scan 24.6 ICMP ping Advanced IP Scanner 3.9 TCP/88 tcp service scan.5 ICMP icmp ping Nmap scan.8 ICMP icmp ping Nmap scan.8 TCP/88 tcp service scan. TCP/433 tcp service scan.4 TCP/433 tcp service scan 9.3 UDP/35 udp service scan 8.7 UDP/35 udp service scan 5. ICMP icmp ping Advanced IP Scanner v.4 4. TCP/4899 tcp service scan 3.5 TCP/4899 tcp service scan 3.2 TCP/39 tcp service scan 2. TCP/39 tcp service scan 2.5 TCP/445 tcp service scan 2. TCP/ tcp service scan.8 TCP/722 tcp service scan.8 TCP/2967 tcp service scan.7 기타 7.8 기타 2.9 6 27년 5월호
www.krcert.or.kr TCP/22-tcp service scan TCP/88-tcp service scan ICMP-icmp ping Nmap scan TCP/433-tcp service scan 기타 42.7% 24.6%.5%.4%.8% ( 그림 6) 해외 국내 ( 허니넷 ) 스캔탐지현황 인터넷침해사고동향및분석월보 7
Part Part 2 허니넷 / 트래픽분석 Part 3 국내 국내 국내에서 KISC 허니넷에유입된트래픽을포트 / 공격 ( 스캔 ) 유형별로분석한결과전월과동일하게, TCP/35 스캔이가장많았으며, TCP/433, TCP/445 포트스캔이비율은낮으나그다음으로많았다. 3개포트모두 Bot 전파에이용되는포트로악성봇감염을위한스캔트래픽으로보인다. [ 표 4] 국내 국내 ( 허니넷 ) 스캔탐지현황 순위 2 3 4 5 6 7 8 9 월 2월 3월 프로토콜 / 프로토콜 / 프로토콜 / 공격유형비율 (%) 포트번호공격유형비율 (%) 포트번호포트번호 공격유형 비율 TCP/35 tcp service scan 43.7 TCP/35 tcp service scan 46.3 TCP/35 tcp service scan 36.7 TCP/433 tcp service scan 3. TCP/39 tcp service scan 5. TCP/433 tcp service scan 24.2 TCP/39 tcp service scan 2.7 TCP/433 tcp service scan 3.3 TCP/39 tcp service scan 7.4 ICMP icmp ping Nmap scan 9.9 ICMP icmp ping Nmap scan 7.9 ICMP icmp ping Nmap scan 6.8 TCP/445 tcp service scan 5.9 TCP/445 tcp service scan 5.4 TCP/445 tcp service scan 5.4 TCP/22 tcp service scan 3.4 TCP/22 tcp service scan 3.5 TCP/22 tcp service scan 2.4 TCP/2967 tcp service scan 3.2 TCP/434 worm slammer.5 TCP/2967 tcp service scan.3 TCP/59 tcp service scan.9 TCP/2967 tcp service scan.9 TCP/4899 tcp service scan. UDP/5 udp service scan.7 TCP/59 tcp service scan.6 TCP/59 tcp service scan.9 TCP/88 tcp service scan.6 TCP/88 tcp service scan.6 TCP/88 tcp service scan.5 기타 6. 기타 5. 기타 3.4 순위 2 3 4 5 6 7 8 9 프로토콜 / 4 월 5 월 6 월 포트번호공격유형비율 (%) 공격유형비율 (%) 포트번호포트번호공격유형비율 TCP/35 TCP/39 TCP/433 TCP/445 ICMP TCP/22 TCP/88 TCP/ TCP/4899 TCP/59 기타 tcp service scan tcp service scan tcp service scan tcp service scan icmp ping Nmap scan tcp service scan tcp service scan tcp flag syn/fin tcp service scan tcp service scan 57.5 8.3 7.8 7.5 5. 4.4.5.3..9 4.8 프로토콜 / TCP/35 TCP/433 TCP/445 TCP/39 TCP/22 ICMP TCP/59 TCP/4899 TCP/3389 TCP/2967 기타 tcp service scan tcp service scan tcp service scan tcp service scan tcp service scan icmp ping Nmap scan tcp service scan tcp service scan tcp service scan tcp service scan 66. 7.3 4.8 3.7 3.4 2.9.7.3.3. 6.5 프로토콜 / 8 27년 5월호
www.krcert.or.kr TCP/35-tcp service scan TCP/433-tcp service scan TCP/445-tcp service scan TCP/39-tcp service scan 기타 8.2% 3.7% 4.8% 7.3% 66.% ( 그림 7) 국내 국내 ( 허니넷 ) 스캔탐지현황 인터넷침해사고동향및분석월보 9
Part Part 2 허니넷 / 트래픽분석 Part 3 2-3. 국내인터넷망트래픽분석 국내 ISP 의일부구간 ( 국내인터넷망 ) 에서수집된트래픽의 Top 포트의추이를파악한결과, 이미잘알려진 TCP/8(HTTP), TCP/25( 메일 ) 외에도 TCP/9( 특정웹하드서비스 ), TCP/554( 스트리밍서비스 ) 포트트래픽등이많이관찰되었다. PPS 3,6, 3,3, 3,, 2,7, 2,4, 2,,,8,,5,,2, 9, 6, 3, ISP업계 : 프로토콜 / 포트추이 TCP/8 TCP/25 TCP/9 TCP/4662 TCP/554 UDP/53 TCP/66 TCP/473 TCP/443 TCP/2522 7/5/ 7/5/2 7/5/3 7/5/4 7/5/5 7/5/6 7/5/7 7/5/8 7/5/9 7/5/ 7/5/ 7/5/2 7/5/3 7/5/4 7/5/5 7/5/6 7/5/7 7/5/8 7/5/9 7/5/2 7/5/2 7/5/22 7/5/23 7/5/24 7/5/25 7/5/26 7/5/27 7/5/28 7/5/29 7/5/3 7/5/3 ( 그림 8) 국내인터넷망에유입된포트트래픽 Top 일별추이 시간 이번달국내 ISP 의일부구간에서수집된공격유형을분석한결과 TCP SYN Flooding 과 UDP Flooding 과같은 DDoS 공격트래픽이가장많이탐지되었다. 시도건수 2,4, 2,2, 2,,,8, ISP 업계 : 공격추이 TCP ACK Flooding TCP SYN Flooding (DDo... UDP Flooding TCP SYN Flooding NETBIOS Service swee...,6,,4,,2,,, 8, 6, 4, 2, 7/5/ 7/5/2 7/5/3 7/5/4 7/5/5 7/5/6 7/5/7 7/5/8 7/5/9 7/5/ 7/5/ 7/5/2 7/5/3 7/5/4 7/5/5 7/5/6 7/5/7 7/5/8 7/5/9 7/5/2 7/5/2 7/5/22 7/5/23 7/5/24 7/5/25 7/5/26 7/5/27 7/5/28 7/5/29 7/5/3 7/5/3 ( 그림 9) 국내인터넷망에유입된공격유형 시간 2 27년 5월호
www.krcert.or.kr 2-4. 바이러스월탐지웜 바이러스정보 KISA 및 2 개기관 / 업체의바이러스월을통하여수집된웜 바이러스를파악한결과전체건수는전월과비슷하였으며, 웹사이트등을통하여 차감염된후웜 바이러스, 트로이잔등악성코드본체를추가로다운로드받는 DOWNLOADER 가가장많았던것으로나타났다. [ 표 5] 수집된주요웜 바이러스현황 순위 2 3 4 5 6 7 8 9 합계 27 2 3 4 5 6 명칭건수명칭건수명칭건수명칭건수명칭건수명칭건수 DOWN DOWN DOWN DOWN DOWN LOADER 97,235 LOADER 92,238 LOADER 69,552 LOADER 54,529 LOADER 44,382 NOTIFIER 42,634 HLLW 36,26 HLLW 43,434 HLLM 45,536 PWS 39,35 PWS LINEAGE HLLW MULDROP HLLM PARITE CLICK STARTER 기타 7,47 66,75 MULDROP 58, 5,28 CASHPACK 3,29 3,7 26,68 25,84 445,25,43,823 PWS LINEAGE PROXY CLICK HLLM PARITE 기타 3,49 28,394 24,774 22,942 7,439 CASHPACK 6,949 6,363 5,34 237,532 538,686 PWS LINEAGE PROXY HLLM NOBRAIN CLICK PARITE 기타 4,68 38,5 3,73 26,76 26,77 25,959 CASHPACK 9,978 5,666 257,78 596,598 VIRUT LINEAGE PWS HLLW PROXY ANIFILE NOBRAIN 기타 35,676 35,32 35,65 29,585 25,669 25,98 CASHPACK 2,739 7,9 NOBRAIN 234,998 66,27 HLLM VIRUT LINEAGE HLLW PROXY ANIFILE 기타 38,24 36,78 35,963 27,59 22,64 2,884 4,853 3,445 225, 68,76 인터넷침해사고동향및분석월보 2
Part Part 2 Part 3 월간특집 3. 악성코드를이용한피싱사례분석. 개요 이번달에는브라질의특정은행사이트를대상으로악성코드이용한피싱시도가발생하여피해사례를분석하였다. 악의적인공격자는피싱에이용할악성코드를감염시키기위하여 MDAC 취약점을이용하였으며, 해당악성코드에감염시가짜인증정보입력화면을띄워사용자입력을유도한후입력된정보들은메일을통하여유출하였다. 해외에서발생한피해였지만국내에서동일한유형의피해가발생할위험성이있으므로주의할필요가있다. 이러한피해를방지하기위해서는윈도우즈패치를정기적으로수행하고, 이메일이나게시판에링크된의심스러운 URL 클릭을가급적피해야겠다. 또한개인정보를입력하기전에평소에접하던은행사이트의화면구성이다르지않은지주의깊게살펴볼필요가있다. MDAC (MS6-4) 취약점 : Microsoft Data Access Component 의약자로 DataSpace ActiveX 컨트롤을생성및초기화하는과정에서보안옵션을설정하지않는점을악용해특정프로그램을실행시키는취약점임. 2. 공격과정 공격과정개요 공격자는가짜피싱사이트를구성후동적스크립팅을지원하는게시판을통하여가짜사이트 URL 클릭을유도하였다. 접속시, 사용자 PC 에 MDAC 취약점이존재할경우악성코드에감염되며, 감염된악성코드에의하여 IE 의 URL 창이감시된다. 사용자접속 URL 이특정브라질은행사이트의인터넷뱅킹페이지일때, 가짜인증번호입력플래쉬화면을사용자에게출력한다. 사용자가정보를입력할경우, 해당정보들은공격자에게메일로발송된다. 공격자는가짜피싱사이트구성 동적스크립팅을지원하는게시판을통해가짜사이트 URL 클릭유도 가짜사이트에입력한인증정보를공격자에게전송후악성코드전파 악성코드는사용자가이용중인익스플로러창의 URL 을감시함 URL 값이특정은행사이트의인터넷뱅킹페이지일때유사한인터페이스의인증번호입력창을플래시형태로보여줌 ( 그림 ) 공격과정 입력창에사용자가입력한인증번호는공격자에게메일로전송됨 감염경로다운로드방법다운로드되는파일피싱공격파일피싱공격방법인증정보전송방법 동적스크립팅을지원하는게시판, URL을링크하는메일 MDAC취약점이용 loader.exe: Amor.exe Amor.exe 플래시형태의인증번호입력창이해당싸이트위로겹쳐서뜸플래시의 OK 아이콘클릭시메일로인증정보를메일로전송 22 27 년 5 월호
www.krcert.or.kr 공격과정상세 브라질은행사이트 9 사용자인증정보는메일을통해공격자에게전송됨 유명웹사이트 2 공격자는유명웹사이트에자신이구성한웹페이지 URL 링크를게재 8 amor.exe 는특정은행사이트접속시인증정보입력창형태의플래시띄움 공격자 5 사용자가입력한아이디, 비밀번호전송 INTERNET 3 피해자는유명웹사이트를통해악성웹페이지접속 4 사용자는가짜 or[ 생략 ].com에아이디와비밀번호입력 피해자 www.awa[ 생략 ].com 무료웹호스팅업체를통해 www.or[ 생략 ].com 가짜피싱사이트구성 awa[ 생략 ] 웹서버 ( 그림 ) 공격흐름도 7 loader.exe 는 amor.exe 생성 6 MDAC 취약점으로인하여 loader.exe 가다운로드됨 단계별설명 Step ) 공격자는피싱을위한 www.or[ 생략 ].com 가짜사이트구성 - www.awa[ 생략 ].com 이라는무료웹호스팅업체를통해가짜피싱사이트를구성함. ( 그림 ) 조작된웹페이지 인터넷침해사고동향및분석월보 23
2 Part Part 2 Part 3 월간특집 Step 2) 공격자는유명웹사이트에자신이구성한웹페이지 URL 링크를게재함. Step 3) 피해자는유명웹사이트를통해악성웹페이지에접속함. Step 4) 해당페이지는피해자가입력한아이디와비밀번호를공격자에게전송함. - http://flogaou.awa[ 생략 ].com/fotos.htm 으로접속한사용자가입력한인증번호를 http://www.scrip[ 생략 ].com.br/mail/mail.php 으로전송함. Step 5) MDAC 취약점을악용하여 loader.exe 가다운로드됨. loader.exe 파일을 win.exe 라는이름으로피해자시스템에다운로드함. -http://flogaou.a[ 생략 ]ce.com/fotos.htm 에서 MDAC 취약점을이용한스크립트와조작된 or[ 생략 ] 페이지의 html 은 unescape 로인코딩되어있음. ( 그림 ) foto.htm 파일의 unescape 부분 win.exe 는 http://flogaou.a[ 생략 ].com/ 에서 autoinfect.exe 파일을다운로드받아인터넷임시디렉토리에임시로저장한후 lsass.exe 라는이름으로파일을 C:\Windows 디렉토리에생성함. -win.exe 는특정트로이잔을다운로드하는트로이잔다운로더임. ( 그림 ) win.exe 명으로다운로드된 loader.exe 가 autoinfect.exe 를다운로드함. win.exe 파일은 c.9.344a.static.th( 생략 )t.com 에접속함. ( 그림 ) c.9.344a.the[ 생략 ].com 에접속함. 24 27년 5월호
www.krcert.or.kr Step 6) loader.exe 는최종적으로 Amor.exe 생성하고윈도우부팅시항상실행되도록 Amor.exe 를레지스트리에등록함 생성디렉토리 : C:\Arquivos de programas 등록레지스트리 : HKLM\Software\Microsoft\Windows\CurrentVersion\RUN ( 그림 ) 시작프로그램과레지스트리에 Amor.exe 추가 Step 7) Amor.exe 는현재실행중인익스플로어의 URL 값을감시함. - Amor.exe 는 ( 그림 ) 와같이여러경로에서 explorer 파일을찾고 explore WWW_GetWindowInfo.exe 를실행하여현재실행중인익스플로어의 URL 을감시함. WWW_GetWindowInfo 는현재실행중인익스플로어의 URL 을가져오는행위를하기위한방법으로 DDE 기술중하나임. DDE(Daynamic Data Exchange) 는윈도우, OS/2, 그리고다른운영체계에서정보가공유되도록하거나프로그램간에통신을위한기술. ( 그림 ) WWW_GetWindowInfo 로현재실행중인 IE 의 URL 감시 인터넷침해사고동향및분석월보 25
Part Part 2 Part 3 월간특집 - ( 그림 ) 과같이주소창에 http://www_getwindowinfo/ 이표기된윈도우가나타나며사용자가해당윈도우를종료한경우에도 Amor.exe 가반복하여 explore WWW_GetWindowInfo.exe 을실행하여 http://www_getwindowinfo/ 창이열림. ( 그림 ) http://www_getwindowinfo/ 창 Step 8) 실행중인익스플로어의 URL 이 http://www2.( 생략 )l.com.br/rurallbank/principal.jsp 일경우 Amor.exe 는해당은행사이트와유사한플래시형태의인증정보입력창을보여줌 특정은행의인터넷뱅킹페이지접속시플래시를띄움 Amor,exe 가생성한플래시 기존은행사이트웹페이지 OK 클릭시인증정보가메일로전송됨 인증정보입력후 OK 클릭하면경고창이나타나고확인클릭시시스템종료화면이보임 ( 그림 ) 피싱화면 26 27년 5월호
www.krcert.or.kr Step 9) 인증정보입력후 OK 클릭시해당인증정보가공격자에게전송됨. ( 그림 ) 피싱화면 3. 위험성 / 예방책 최근악성코드를이용한피싱공격사례가보고되고있으므로, 사용자는사고발생방지를위하여최신 OS 패치적용, 백신설치등악성코드에감염되지않도록예방, 주의하는것이필요하다. 사용자는은행사이트에서아이디, 비밀번호, 계좌번호와같은인증정보를입력할때평소에접하던화면과비교하여이상한점이없는지살펴본다. 인터넷침해사고동향및분석월보 27
Part Part 2 Part 3 월간특집 4. Amor.exe 악성코드감염여부확인및치료방법 감염여부확인 윈도우폴더에 lsass.exe 파일이존재하는지확인한다. 아래와같은아이콘모양의파일이존재하면감염된것으로볼수있다. ( 그림 ) 감염여부확인예 운영체제별윈도우폴더 : - Windows NT/2 C:\Winnt\ - Windows XP C:\Windows\ 치료방법 윈도우를다시시작하여안전모드로부팅한다. ( 부팅시 F8 을누른후안전모드선택 ) ( 그림 ) 안전모드선택화면 28 27년 5월호
2 3 www.krcert.or.kr 도구 폴더옵션 보기에서 보호된운영체제파일숨기기 를해제하고 숨김파일및폴더표시 를선택한다. ( 그림 ) 숨김파일및폴더표시선택예 시스템에생성되어있는악성파일인 loader.exe 와 win.exe 와 autoinfect.exe 와 lsass.exe 와 Amor.exe 를삭제한다. [ 표 ] 악성코드별디렉터리위치 파일명 loader.exe autoinfect.exe win.exe lsass.exe Amor.exe 위치 C:\Documents and Settings\[ 계정 ]\Local Settings\Temporary Internet Files C:\Documents and Settings\[ 계정 ]\Local Settings\Temporary Internet Files C:\Documents and Settings\[ 계정 ]\Local Settings\Temp C:\Windows C:\Documents and Settings\All Users\start menu\programs\startup C:\Arquivos de programas C:\Documents and Settings\All Users\Menu Inciar\Programas\Inicializar 4 악성코드가생성한아래레지스트리항목삭제한다. 시작 실행 regedit 입력 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run 에서 c:\arquivos de programas\amor.exe 삭제 ( 그림 ) win.exe 명으로다운로드된 loader.exe 가 autoinfect.exe 를다운로드함. 5 재부팅한다. 인터넷침해사고동향및분석월보 29
별첨 악성코드유포지 / 경유지조기탐지및차단조치. 개요 KISA 인터넷침해사고대응지원센터에서는국내웹사이트에악성코드가삽입되어웹사이트방문자에게게임 ID/ 비밀번호를유출하는트로이잔을감염시키는사례가발생하여 5 년 6월부터지속대응하여왔으며, 5. 2월부터는악성코드은닉사이트탐지프로그램을자체개발 적용하여약 77,개의국내웹사이트를대상으로악성코드은닉여부를탐지및차단조치하고있다. 2. 전체추이 7 년 5 월 KISA 에서탐지하여대응한악성코드유포지및경유지사이트는 429 건으로전월대비 5.% (55 429 건 ) 감소하였다. 악성코드경유지사이트수는전월대비.2%(35 283 건 ) 감소하였고, 유포사이트수는전월에비하여 23.2%(9 46 건 ) 감소한것으로나타났다. 각기관 ( 기업 ) 의웹서버관리자는웹페이지가악성코드유포및경유지로악용되는피해예방을위해웹서버해킹에주로사용되는 SQL Injection 등의취약점에대한보안대책을마련하는것이필요하다. 참고사이트 ModSecurity 를이용한아파치웹서버보안 : http://www.krcert.or.kr 초기화면 왼쪽 공개웹방화벽을이용한홈페이지보안 WebKnight 를이용한 SQL Injection 공격차단 : http://www.krcert.or.kr 초기화면 왼쪽 공개웹방화벽을이용한홈페이지보안 홈페이지개발보안가이드 : http://www.krcert.or.kr 초기화면 왼쪽 홈페이지개발보안가이드 웹어플리케이션보안템플릿 : http://www.krcert.or.kr 초기화면 왼쪽 웹어플리케이션보안템플릿 [ 표 ] 악성코드유포지 / 경유지사고처리건수 기관유포지경유지합계 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 993 8 9 26 9 5,624 372 37 349 35 6,67 48 397 475 55 46 66 283,626 429 2,286 3. 기관별분류 악성코드유포지및경유지로악용된사이트를기관별로분류하면기업, 기타 ( 개인 ), 비영리홈페이지순이었으며, 특히기업으로분류된.co.kr,.com 도메인이악성코드유포지 / 경유지사이트로많이악용되는것으로나타났다. 이는해커가일반이용자의접속이많은기업사이트를주로악성코드유포지 / 경유지사이트로악용하고있는것으로보인다. 3 27년 5월호
www.krcert.or.kr [ 표 ] 악성코드유포지 / 경유지사이트피해기관 ( 도메인 ) 별분류 기관 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 기업 4,274 296 232 28 235 235,278 대학 54 5 4 2 42 비영리 649 33 27 9 26 2 6 연구소 24 네트워크 25 5 3 4 7 9 68 기타 ( 개인 ),3 26 2 7 23 52 782 총계 6,67 48 397 475 55 429 2,286 기관분류기준 : 기업 (co, com), 대학 (ac), 비영리 (or, org), 연구소 (re), 네트워크 (ne, net), 기타 (pe 등 ) 기타 ( 개인 ) 35% 기업 55% 네트워크 2% 비영리 5% 대학 3% ( 그림 ) 악성코드유포지 / 경유지사이트피해기관 ( 도메인 ) 별분류 4. 웹서버별분류 악성코드유포지및경유지로악용된사이트를웹서버별로분류한결과 IIS 웹서버가 58.5%, Apache 웹서버가 5.4%, 기타 36.% 로분류되었다. [ 표 ] 악성코드유포지 / 경유지사이트웹서버별분류 웹서버 26 27 27 총계 2 3 4 5 6 7 8 9 2 총계 MS IIS Apache 기타합계 5,39 5,427 6,67 334 4 42 48 244 2 4 397 3 3 62 475 28 6 28 55 웹서버별구분자료는각운영체제 / 웹서버의안전성과는상관관계가없으며, 단지탐지에따른분석자료임 악성코드유포지 / 경유지사이트가이미폐쇄되어웹서버를파악하기어려운경우도기타에포함시켰음 25 23 55 429,4 68 88 2,286 인터넷침해사고동향및분석월보 3
부록 주요포트별서비스및관련악성코드 포트번호 프로토콜 서비스 관련악성코드 22 TCP SSH Remote Login Protocol [trojan] Adore sshd, [trojan] Shaft Mydoom, Welchia, Doomjuice, Agobot, Polybot, Bagle, 8 TCP World Wide Web, HTTP Yaha,Spybot, Back Orifice 2k Plug-Ins, CGI Backdoor, Executor, Hooker, RingZero, Seeker, WAN Remote, Web Server CT, WebDownloader, Zombam 35 TCP/UDP DCE endpoint resolution, MS-RPC Blaster, Agobot, Yaha, Welchia, Polybot, Kibuv, Lovgate, Spybot 39 TCP Netbios-ssn God Message worm, Netlog, Qaz, Deborms, Moega, Yaha Agobot, Deloder, Yaha, Randex, Welchia, Polybot, 445 TCP netbios-ds Sasser, Bobax, Kibuv, Korgo, Spybot, Janx, Netdepix, Zotob, IRCBot, SDBot 25 TCP/UDP network blackjack Dasher, Remote Storm, ABCHlp, Lala, Keco 8 TCP/UDP SOCKS Protocol MyDoom, Proxmeg, Bugbear, Hagbard, Daemoni, Lixy 433 TCP/UDP Microsoft-SQL-Server Spida, SQL Snake 434 TCP Microsoft-SQL-Server SQL Slammer 2745 TCP urbisnet Bagle 34 TCP/UDP NetworkLens SSL Event OptixPro, Mockbot 4899 TCP radmin-port RAdmin Port 5 TCP/UDP commplex-main Back Door Setup, Blazer5, Bubbel, ICKiller, Rad, Bobax, Trojan.Webus 629 TCP/UDP DameWare Mockbot. 32 27년 5월호
www.krcert.or.kr 용어정리 구분 구성설정오류공격 바이러스 (Virus) 바이러스월 (Virus Wall) 버퍼오버플로우 (Buffer Overflow) 봇 (Bot) 분산서비스거부공격 (DDoS : Distributed DoS) 불법자원사용 불법침입 서비스거부공격 (DoS : Denial of Service) 스파이웨어 (Spyware) 스팸릴레이 (Spam Relay) 허니넷 악성프로그램 악성프로그램공격 애드웨어 (Adware) 웜 (Worm) 내용운영체제및응용프로그램의설정오류 ( 위험성이있는기본설정의사용, 사용자편의를위한설정조정등 ) 를이용하는해킹기법으로홈페이지위 변조, 불법침입등에주로이용됨컴퓨터프로그램이나메모리에자신또는자신의변형을복사해넣는악의적인명령어들로조합하여불특정다수에게피해를주기위한목적으로제작된모든컴퓨터프로그램또는실행가능한코드네트워크환경내부에인-라인 (In-line) 상태에서 LAN 세그먼트의트래픽을관리하여트래픽상의네트워크바이러스를예방및차단하는시스템메모리에할당된버퍼의크기보다더큰데이터를덮어씀으로써호출프로그램으로의복귀오류등을일으켜정상적인프로그램의실행을방해하는대표적인공격기법운영체제취약점, 비밀번호의취약성, 웜 바이러스의백도어등을이용하여전파되며, 해킹명령전달사이트와의백도어연결등을통하여스팸메일전송이나 DDoS 공격에악용이가능한프로그램또는실행가능한코드 DoS 용에이전트를여러개의시스템에설치하고, 이에이전트를제어하여 DoS 공격을함으로써보다강력한공격을시도할수있으며, 공격자에대한추적및공격트래픽의차단을어렵게만드는공격형태정당한권한없이특정시스템을스팸릴레이, 피싱사이트개설등에이용하는행위주요정보 자료를수집또는유출하기위하여정당한권한없이시스템에침입하는행위특정네트워크에서허용하는대역폭을모두소모시키거나, 공격대상 (victim) 시스템의자원 (CPU, 메모리등 ) 을고갈시키거나, 시스템상에서동작하는응용프로그램의오류에대한공격으로서비스를못하도록만드는공격이용자의동의없이정보통신기기에설치되어정보통신시스템, 데이터또는프로그램등을훼손 멸실 변경 위조하거나정상프로그램운용을방해하는기능을수행하는악성프로그램. 즉, 이용자의동의없이, 웹브라우저의홈페이지설정이나검색설정을변경, 정상프로그램의운영을방해 중지또는삭제, 컴퓨터키보드입력내용이나화면표시내용을수집 전송하는등의행위를하는프로그램스팸메일발신자추적을어렵게하기위하여타시스템을스팸메일발송에악용 KISA 인터넷침해사고대응지원센터내에설치된시험네트워크로스캔정보를비롯한공격행위, 웜 바이러스등을수집사용자의시스템에설치되어백도어를오픈하여정보를유출하거나, 시스템의정상적인동작을방해하는프로그램컴퓨터시스템에악성프로그램을설치하게유도하거나고의로감염시키는해킹기법으로주로백도어등을이용하여상대방의주요정보를빼내기위한목적으로이용함사용자의컴퓨터에광고성팝업창을띄우거나, 초기화면을특정사이트로고정시키는등의사용자가의도하지않는행위를수행하게하는프로그램또는실행가능한코드독립적으로자기복제를실행하여번식하는빠른전파력을가진컴퓨터프로그램또는실행가능한코드 인터넷침해사고동향및분석월보 33
구분지역센서취약점정보수집공격침입시도트로이잔 (Trojan) 피싱 (Phishing) 해킹 (Hacking) ASP.NET Botnet DHTML Editing Component ActiveX E-mail 관련공격 Hyperlink 개체라이브러리 KrCERT/CC LLS NetBIOS OLE/COM PNG SMB TCP Syn Flooding Windows SharePoint Services Windows Shell 내용공격징후탐지를위하여 KISA에서전국 45 개주요도시에설치한센서대상시스템의운영체제, 설정등을알아보기위하여스캔하는등의행위로주로해킹의사전단계로이용됨시스템에침입하려고시도하거나, 취약점정보의수집을위해스캔하는등의행위자기복제능력은없으나정상기능의프로그램으로가장하여프로그램내에숨어있는코드조각으로의도하지않은기능을수행하는컴퓨터프로그램또는실행가능한코드정상적인웹서버를해킹하여위장사이트를개설한후, 인터넷이용자들의금융정보등을빼내는신종사기수법으로 Bank Fraud, Scam이라고도함다른사람의컴퓨터나정보시스템에불법침입하거나, 정보시스템의정상적인기능이나데이터에임의적으로간섭하는행위개발자가웹응용프로그램및 XML 웹서비스를구축할수있도록돕는기술로, 정적 HTML과스크립팅을사용하는일반웹페이지와는달리, 이벤트에기반한동적인 HTML 웹페이지를제공함많은 Bot 감염시스템들이명령을수신할목적으로 IRC 에연결되어있는네트워크인터넷익스플로러가웹메일처럼 HTML문서를제작할수있도록해주는 ActiveX 컨트롤상대방의시스템에메일서버를설치하여스팸릴레이에악용하거나, 관심을끄는 E-mail을보냄으로써상대방이악성프로그램을설치하도록하는해킹기법으로주로스팸릴레이나악성프로그램의설치에이용됨응용프로그램들이 HTML 문서에서사용되는 Hyperlink 처리를위한기능을제공 KISA내침해사고대응팀 (CERT) 으로서, 국내에서운영되고있는인터넷망의침해사고대응활동을지원하고, 전산망운용기관등에대해통일된협조체제를구축하여, 국제적침해사고대응을위한단일창구를제공하기위하여설립됨 License Logging Service의약자로 MS 서버제품에대한라이센스를고객이관리할수있도록해주는도구네트워크의기본적인입출력을정의한규약 Object Linking And Embedding, Component Object Model의약자로 MS의객체기반기술의일종으로서서로다른응용프로그램이나플랫폼이데이터를공유하는데사용 Portable Network Graphics의약자로 GIF 나 JPEG처럼그림파일포맷의일종으로, 주로 UNIX/LINUX 환경에서아이콘등에많이사용 Server Message Block의약자로파일이나네트워크폴더및프린터공유등에사용되는프로토콜 TCP 연결특성을이용한 DoS 공격의일종으로 Unreachable한주소로 IP를위조하여 Syn 을보내서대상시스템이더이상의연결요청을받아들일수없도록만드는공격많은인원이동시에다양한정보공유와공동문서제작을위한웹사이트를제작하는데필요한서비스윈도우시스템의제반실행환경을제공해주는것으로 explorer.exe가책임을맡고있다. 34 27년 5월호