DDoS 공격, 게임계정유출해커, 비트코인등가상화폐노린다 - 13 년 10 월부터 DDoS, 원격제어, 게임계정유출하더니최근암호화폐채굴 - 개요지난 13 년 10 월,Microsoft 社의인터넷익스플로러취약점 (CVE-2013-3897) 을통해유포되는악성코드가 DDoS, 원격제어, 게임계정유출기능을하고국내감염 PC 가 2만 8천여대에이르러 KISA 는신속대응한바있다. 해당악성코드제작자는 14 년 1월게임계정유출기능을업그레이드하여감염 PC 에서사용중인비트코인사이트계정을수집하였다. 비트코인 : 08년일본人사토시나카모토가처음발행한전자화폐로중앙관리기구는존재하지않으며성능좋은컴퓨터를활용하여어려운수학문제를풀면획득가능 < 감염 PC 에서접속하는비트코인사이트모니터링 > 이후해커는국내동영상스트리밍서비스인 XXXTV 서버를해킹하고변조된설치파일을통해악성코드를유포하였다. 해당악성코드제작일자는 14 년 2월 3일이었으며신속한대응으로 3일만에삭제조치되었다. 그러나 2월 16 일또다시해커는 XX 의게임보안솔루션 ( 핵XX ) 업데이트파일을가장하여악성코드를유포하였다. 해당악성코드는비트코인계정을탈취하던기존방식을암호화폐 Protoshares(PTS, 13 년 11 월 5일최초발행 ) 를채굴하는방식으로변경하여금전적이득을취했다. Protoshares(PTS) 암호화폐 : 13 년 11월 5일 Invictus Innovations 社가미국아틀란타에서최초발행한전자화폐로공급량이많아지면서통화가치가상승할것으로판단하여채굴대상으로선택추정 < XXXTV 설치파일을가장한악성코드 > < XX XXX 설치파일을가장한악성코드 >
14 년 2 월 3 일 XXX TV 건 14 년 2 월 16 일 XX XXX 건 제작일시 : 2006 년 6 월 13 일제작일시 : 2014 년 2 월 3 일제작일시 : 2014 년 2 월 16 일 악성코드다운로더분석결과변조된 XXXTV 및 XXX 설치파일은리소스영역에정상설치파일과악성코드를숨기는데동일한리소스명을사용하였다. 리소스명은모두 MHM/129/2052 와 MHM/130/2052 이었다. 13 년 10 월 30 일발생한 IE 제로데이취약점을통한악성코드유포건에는해당되지않음 < XXXTV 설치파일을가장한악성코드내리소스영역 > < XX XXX 설치파일을가장한악성코드내리소스영역 > 또한 16 개 ~19 개사이트에주기적으로접속하여악성코드를추가다운로드하려고시도했다. 사이트대부분이정상사이트이었으며이중한사이트가특정시점에악성코드를포함하고있었다. 이는악성코드분석가가진짜다운로드사이트를알아채기못하도록혼동을주기위한목적으로보인다.16 개 ~ 19 개사이트는분석을방해하기위해인코딩되어있으며해독하는알고리즘은모두동일하였다. 14 년 2 월 3 일 XXXTV 건 14 년 2 월 16 일 XX XXX 건
14 년 2 월 3 일 XXXTV 건 14 년 2 월 16 일 XX XXX 건 adw.grxxn24.xx.xx/djdjdaua.jpg XXX.naver.com/panmenu.jpg XXX.naver.com/panmenu.jpg XXX.naver.com/djdjdaua.jpg fxxxone.co.kr/bbs/data/panmenu.jpg fxxxone.co.kr/bbs_back/data/7zone/pan menu.jpg m.ahxxxb.com/djdjdaua.jpg m.ahxxxb.com/panmenu.jpg m.ahxxxb.com/panmenu.jpg www.cxs.co.kr/djdjdaua.jpg sxxxate.gndot.com/panmenu.jpg sxxxate.gndot.com/panmenu.jpg www.dxxm.net/djdjdaua.jpg www.hxxxame.com/panmenu.jpg www.hxxxame.com/panmenu.jpg www.hxxxame.com/djdjdaua.jpg www.hxxxan.co.kr/panmenu.jpg www.hxxxan.co.kr/panmenu.jpg www.hxxxan.co.kr/djdjdaua.jpg www.jxxxsmsn.com/panmenu.jpg www.jxxxsmsn.com/panmenu.jpg www.jxxxsmsn.com/djdjdaua.jpg www.mxxxuc.com/panmenu.jpg www.mxxxuc.com/panmenu.jpg www.lxxxoul.co.kr/djdjdaua.jpg www.mxn.com/panmenu.jpg www.mxn.com/panmenu.jpg www.mxn.com/djdjdaua.jpg www.nxxe.com/panmenu.jpg www.nxxe.com/panmenu.jpg www.nxxe.com/djdjdaua.jpg www.nxxxarble.net/panmenu.jpg www.nxxxarble.net/panmenu.jpg www.nxxxarble.net/djdjdaua.jpg www.nxxxn.com/panmenu.jpg www.nxxxn.com/panmenu.jpg www.nxxxn.com/djdjdaua.jpg www.sxxxtkorea.com/bbs2/panmenu.jpg www.sxxxtkorea.com/bbs2/panmenu.jpg www.txxxory.com/djdjdaua.jpg www.sxxr.co.kr/bbs2/data/panmenu.jpg www.sxxr.co.kr/bbs2/data/panmenu.jpg www.txxxni.com/djdjdaua.jpg www.txxxory.com/start/panmenu.jpg www.txxxory.com/start/panmenu.jpg www.vxxxte.com/djdjdaua.jpg www.txxxni.com/panmenu.jpg www.txxxni.com/panmenu.jpg www.vxxxte.com/panmenu.jpg www1.nxxxk.net/panmenu.jpg fxxt.co.kr/board/data/media/panmenu.jpg fxxt.co.kr/board/data/qna/count.php www.vxxxte.com/panmenu.jpg www1.nxxxk.net/panmenu.jpg fxxt.co.kr/board/data/media/panmenu.jpg fxxt.co.kr/board/data/qna/xxxme.php 반면유포지에접속하는주기는사건별로달랐으며작년 10 월발생한 악성코드유포건의경우 1 초였으나 XXXTV 건과 XXX 건의경우 10 분 이었다. 해커는탐지및삭제등을우회하기위해원하는시점에악 성코드를 16~19 개사이트중한곳에설치하였다. 다운로드된악성코드에 는 리소스영역이존재하며해당영역에 jhprotomine 이 라는공개된암호화폐채굴프로그램을저장하고실행시켰다. < 다운로드된악성코드내리소스영역 > < 리소스영역에저장된 PTS 암호채굴프로그램 >
Protoshares(PTS) 암호화폐채굴악성코드분석결과 악성코드는 CPU 를최대한사용하기위해다른비트코인채굴프로 그램 (minerd.exe) 이있을시종료시키고 PTS 암호화폐채굴프로그램을 실행시켰다. 실행옵션으로채굴사이트아이디및패스워드를입력 하는데국내홈페이지에서유포된악성코드를분석한결과아이디가모두 유사하였다. 아래표는유포지에서발견된악성코드별아이디, 패스워드, C&C 이며버전별로아이디가관리되고있는것으로보인다. 악성코드 다운로더와다운로드된암호화폐채굴악성코드에서명령조정지 fxxt.co.kr 가 동시에발견된점으로미루어볼때해커가애용하는사이트로보인다. 순번유포지리소스이름아이디패스워드명령조정지 1 3 4 5 6 7 변조된 XXX 설치파일 < 제작일시 : 2014/02/17 05:51:10> hxxp://gxxxfocus.co.kr/wys2/swf_uplo ad/2010/06/01/12753477929868.jpg < 제작일시 : 2013/12/13 06:37:04> hxxp://xxx.175.88.165/bbs/menu.gif < 제작일시 : 손상되어해당사항없음 > hxxp://ixxxe.danimgaon.com/bbs/image.jpg < 제작일시 : 2013/12/23 05:05:26> hxxp://www.dxxxage.co.kr/bbs/auto.gif < 제작일시 : 손상되어해당사항없음 > hxxp://news.dxxxage.co.kr/bbs/ads.gif < 제작일시 : 2014/01/05 03:56:46> cheon23.pts_7 cheon23.pts_8 cheon21.pts_1 cheon22.pts cheon21.pts_7 cheon22.pts_19 cheon22.pts_20 cheon23.pts_1 cheon23.pts_3 /data/count6.php /data/count8.php /data/count12.php /data/count13.php /data/count15.php 악성코드감염예방방법이와같이악성코드를통해게임계정, 비트코인계정, 인터넷뱅킹정보등을유출하여사이버머니등금전적이득을취하는해커가증가하고있다. 암호화폐채굴은다른방식에비해금전적피해는적으나높은 CPU 점유율으로인해사용자불편을초래할수있다. 사용자는백신을최신버전으로업데이트하고주기적으로검사하여악성코드감염을예방해야한다. 또한특정프로그램이 CPU 를필요이상으로많이사용하고성능이현격히저하되었다면일단의심하고백신으로검사한후 118 센터등에신고하는것이필요하다.
[ 첨부 1] 사고별유사성분석결과 구분 13 년 10 월 30 일 IE 제로데이 취약점 (CVE-2013-3897) 이용 악성코드유포건 14 년 2 월 6 일 XXXTV 건 14 년 2 월 16 일 XX XXX 건유사도 타임스탬프 - 2006년 6월 13일 2014년 2월 3일 2014년 2월 16일 서비스명 WinLogon WinLogon WinLogon 서비스 Provides automatic configuration Provides automatic configuration Provides automatic configuration 설명 for the 802.11 adapters for the 802.11 adapters for the 802.11 adapters 파일위치접속주기 C:\WINDOWS\svchost.exe C:\Documents and Settings\1234\Local Settings\Temp\svchostexe C:\Documents and Settings\1234\Local Settings\Temp\svchostexe - 1초 (6000ms) 10분 (600,000ms) 10분 (600,000ms) - 인코딩된 URL 모듈 URL 디코딩 모듈 ( 동일 ) 데이터 파일 다운로드파일설치파일접속사이트수 hxxp://[url]/djdjdaua.jpg hxxp://[url]/panmenu.jpg hxxp://[url]/panmenu.jpg C:\WINDOWS\image.jpg C:\WINDOWS\image.jpg C:\WINDOWS\image.jpg 16 개사이트 19 개사이트 19 개사이트 -