Figure 1 Know your Enemy - Use 흐름도

악성코드들은 기본적으로 백신 탐지를 우회합니다. 백신은 공개되어 있기 때문에 악성코드를 배포하기 전 백신을 우회할 수 있는지 모든 테스트를 합니다.

특히 제로데이는 OS나 네트워크 장비, 애플리케이션 등 핵심 시스템의 보안 취약점이 막을 수 있는 패치가 발표되기도 전에 그 취약점을 이용해 공격을 감행하는 수법으로 가장 강력한 보안 위협입니다.

Figure 2 제로데이 생존일지 

은행 피싱

첫번째로 은행을 사칭하는 피싱이 있습니다.

요즘 은행을 사칭하여 개인 사용자들의 인터넷 뱅킹 정보를 유출하려는 시도가 많이 포착되고 있습니다. 문자 메시지로 오는 경우가 많으며, 사용자들을 쉽게 속이기 위하여 ‘보안승급’이라는 단어를 사용합니다. 마치 승급을 하지 않으면 피해를 보는 것처럼 속여 피싱 사이트로 접속을 유도합니다.

또 하나의 종류로 hosts 파일을 변조하는 악성코드가 있습니다. 이것은 문자로 오는 것보다 훨씬 위험성이 높습니다. 정상적인 국민은행(www.kbstar.com)으로 접속을 하여도 다른 피싱 사이트(www.kbmtcard.com)로 연결되기 때문입니다.

Hosts 파일이란 DNS(Domain Name Service)를 이용하지 않고, 윈도우 OS가 인터넷  DNS보다 hosts 파일을 먼저 참조하는 기능을 이용해서 내부에 설정된 IP주소와 도메인 호스트로 접속하도록 설정하는 파일입니다.

쉽게 이야기해서 Hosts 파일에 정상적인 국민은행 사이트(www.kbstar.com)를 (www.kbmtcard.com)으로 변경한다면 국민은행으로 정상적인 접속을 하여도 공격자가 변경한 피싱 사이트인 www.kbmtcard.com 으로 접속하게 됩니다.

이런 hosts 파일 변조가 무서운 것은 사용자가 아무리 정상적인 국민은행 사이트로 접속을 하여도 hosts 파일 변조에 의해 피싱 사이트로 접속하기 때문입니다.

Figure 5 실제 은행 피싱 피해 사례 - 1

보시는 것과 같이 정상적인 국민은행 사이트(왼쪽)와 피싱사이트(오른쪽)이 거의 유사합니다. 이런 피싱들을 염두에 두지 않는다면 인터넷뱅킹 정보가 유출될 가능성도 있습니다. 

Figure 6 정상 국민은행(왼쪽)과 피싱(오른쪽) 사이트

ARP Spoofing

두번째로 주소결정프로토콜(ARP, Address Revolution Protocol) Spoofing을 사용하여 같은 네트워크에 있는 사람들의 정보까지 탈취하는 방법입니다.