지난 달, 내 블로그가 악성코드 유포지였다?

2011.08.10

 

[그림] 2011년 7월 악성코드 유포목적의 침해 사이트 현황

 

 

안녕하세요. 안랩인입니다. 지난 7월 한달 간의 악성코드 동향을 분석한 시큐리티대응센터 리포트에 의하면, 7월 한달 동안 전월 보다 35%가 증가한 악성코드 침해사고 사이트를 보고했습니다. 5, 6월에 잠잠했으나 7월에 들어서 침해사고가 재발한 사이트들의 증가와 신규로 발견된 침해 사이트 때문이라고 풀이할 수 있습니다.

 

순위	진단명	URL
1	Win-Trojan/Onlinegamehack55.Gen	47
2	Win-Trojan/Onlinegamehack56.Gen	47
3	Win-Trojan/Patched.DE	23
4	Dropper/Onlinegamehack.141502	14
5	Dropper/Onlinegamehack.81872	14
6	Win-Trojan/Agent.33661822	14
7	Dropper/Onlinegamehack.33624586	14
8	Dropper/Onlinegamehack.84276	13
9	Dropper/Onlinegamehack.33651660	13
10	Win-Trojan/Onlinegamehack.33597952.B	13

[표] 침해 사이트를 통해서 유포된 악성코드 Top 10

 

 

한 달 동안 침해 사이트를 통해서 유포된 악성코드 Top 10입니다. 7월에 47개의 사이트에서 유포된 'Win-Trojan/Onlinegamehack55.Gen, Win-Trojan/Onlinegamehack56.Gen'은 특정 온라인 게임 사용자의 계정정보를 탈취하는 온라인 게임핵 악성코드를 보호하기 위한 루트킷*입니다.

한주 단위로 악성코드 Top 10을 비교해 보면 일부를 제외한 대부분은 새로운 진단명이 Top 10에 랭크되는 것을 알 수 있습니다. 이는 주로 주말에 유포되고 있는 악성코드가 자동화, 대량화를 기반으로 일회성 유포되고 있음을 의미합니다. 7월 한 달간 침해 사이트들을 통해서 유포된 악성코드들의 동향은 면 아래와 같다.
 

▲ 소셜커머스(Social Commerce) 사이트 악성코드 유포
▲ MS11-050 취약점을 이용한 악성코드 유포:
▲ 시스템 파일 교체 악성코드는 계속 변화 중:
▲ 노출형 배너 광고를 이용한 악성코드 유포사례:
 

 

소셜커머스 사이트를 통한 악성코드 유포

 

최근 소셜 커머스(Social Commerce) 사이트들이 많이 생겨나면서 이런 사이트들에 대한 공격과 해킹된 소셜 커머스 사이트를 통한 악성코드 유포사례가 발생하고 있는 추세입니다. 유포된 악성코드가 PC를 감염시키기 위해서 사용한 취약점들은 아래 그림과 같은데요, 요악해보면 다수의 취약점을 사용하여 최대한 많은 PC들을 악성코드에 감염시키려 했음을 알 수 있습니다.

 

 

[그림] 악성코드 스크립트의 동작구조

 

노출형 배너 광고를 이용한 악성코드 유포사례

 

 

해킹된 사이트를 통한 악성코드 유포는 평일이면 잠잠하다가 주말이 시작되는 금요일 저녁부터 발생하여 토, 일요일에 집중되고 있습니다. 7월 네 번째 주에는 일부 블로그에서도 악성코드가 유포되는 것이 탐지되었는데요. 해당 블로그들의 공통점을 조사해 본 결과, 특정 업체에서 제공하는 배너광고 스크립트를 사용하고 있었습니다. 추가로 검색 사이트를 이용해서 검색해 본 결과, 아래 그림처럼 상당수의 블로그나 사이트에서 해당 배너광고 스크립트를 사용하고 있음을 확인할 수 있습니다.

 

[그림] 사이트 검색결과

 

 

즉 특정 배너광고 업체가 해킹되었고, 해당 업체에서 제공한 배너광고 스크립트를 사용하는 모든 블로그나 사이트는 악성코드 유포 사이트로 이용되는 것입니다. 이번 사례와 관련해서는 아래의 내용을 통해 더 자세히 확인하실 수 있습니다. Ahn

 

* 관련 정보:
'여러분의 배너광고는 안전한가요?'
'악성코드는 온라인 게임 사이트를 타고,,,'
배너 광고 관련 사이트 해킹을 통한 악성코드 유포 사례