3.20 악성코드 최신 변종 시리즈 유포 확산 '주의'

아주경제 장윤정 기자 =  3.20 사이버테러를 일으켰던 악성코드 변종이 급속 유포되고 있어 주의가 시급하다.

하우리(대표 김희천)는 7월 7일 월요일 오후 1시경부터 다수의 국내 웹사이트를 통해 국내 온라인 결제모듈 엑티브 X 업데이트 파일 변조 취약점 및 국내 DRM 제품모듈 엑티브 X 취약점 등을 이용, 3.20 악성코드의 최신 변종 시리즈가 유포되고 있다고 8일 밝혔다.

해당 악성코드에 감염되면 감염 정보를 1차 C&C 서버로 전송하며 추가적인 명령을 수신해 악성행위를 수행하게 된다.

1차 C&C 서버는 대부분 제로보드, 케이보드 등 국내 게시판을 사용하는 웹사이트로써  국내 게시판의 취약점을 이용하여 C&C 서버를 확보한 것으로 추정된다.

관련기사

• 7.7 DDos 5주년 "대한민국 보안, 변했습니까?"
• 6.25사이버테러, 올해도 재현될까…미래부 20개 민관합동 모의훈련 등 대응체제 강화

특히 해당 악성코드가 접속하는 C&C 서버 중 일부는 2013년 3.20 방송/금융 사이버테러의 악성코드가 사용한 C&C 서버와 일치한다.

또한 명령을 수신, 복호화하고 정보를 C&C 서버로 전송하는 암호화 로직이 3.20 악성코드와 동일한 로직을 사용하고 있다.

특히 1차 C&C 서버로부터 명령을 수신 받아 추가적으로 다운로드하여 실행하는 악성코드는 TOR C&C 서버를 2차 C&C 서버로 사용한다.
TOR C&C는 작년 6월 25일에 정부 DNS 서버를 대상으로 디도스 공격을 수행한 악성코드가 사용했으며 TOR C&C 서버를 통해서 추가적인 명령을 수신, 악성행위를 수행하도록 되어 있다.
 

1차 C&C서버로부터 수신한 암호화된 명령어[사진 = 하우리 ]

최상명 차세대보안연구센터장은 “작년과는 다르게 관제를 강화한 결과 3.20 악성코드의 최신 변종 시리즈를 조기에 발견하게 되었다”라며,
“1차 C&C 서버와 2차 TOR C&C 서버를 통해 추가로 수신하는 암호화된 명령을 해독하며 예의주시 중"이라고 밝혔다