3.20 악성코드 최신 변종 시리즈 유포 확산 '주의'
2014-07-08 17:27
아주경제 장윤정 기자 = 3.20 사이버테러를 일으켰던 악성코드 변종이 급속 유포되고 있어 주의가 시급하다.
하우리(대표 김희천)는 7월 7일 월요일 오후 1시경부터 다수의 국내 웹사이트를 통해 국내 온라인 결제모듈 엑티브 X 업데이트 파일 변조 취약점 및 국내 DRM 제품모듈 엑티브 X 취약점 등을 이용, 3.20 악성코드의 최신 변종 시리즈가 유포되고 있다고 8일 밝혔다.
해당 악성코드에 감염되면 감염 정보를 1차 C&C 서버로 전송하며 추가적인 명령을 수신해 악성행위를 수행하게 된다.
1차 C&C 서버는 대부분 제로보드, 케이보드 등 국내 게시판을 사용하는 웹사이트로써 국내 게시판의 취약점을 이용하여 C&C 서버를 확보한 것으로 추정된다.
특히 해당 악성코드가 접속하는 C&C 서버 중 일부는 2013년 3.20 방송/금융 사이버테러의 악성코드가 사용한 C&C 서버와 일치한다.
또한 명령을 수신, 복호화하고 정보를 C&C 서버로 전송하는 암호화 로직이 3.20 악성코드와 동일한 로직을 사용하고 있다.
특히 1차 C&C 서버로부터 명령을 수신 받아 추가적으로 다운로드하여 실행하는 악성코드는 TOR C&C 서버를 2차 C&C 서버로 사용한다.
1차 C&C서버로부터 수신한 암호화된 명령어[사진 = 하우리 ]
최상명 차세대보안연구센터장은 “작년과는 다르게 관제를 강화한 결과 3.20 악성코드의 최신 변종 시리즈를 조기에 발견하게 되었다”라며,
“1차 C&C 서버와 2차 TOR C&C 서버를 통해 추가로 수신하는 암호화된 명령을 해독하며 예의주시 중"이라고 밝혔다