인터넷 뱅킹 사용자 노리는 '파밍'의 진화... 금감원 사칭·DNS 직접 변조

2017-03-21 박정은 기자

포털 사이트에서 가짜 안내창을 띄워 금융 정보를 탈취하는 '파밍' 기법이 진화했다. 사용자 PC 네트워크 환경 설정에서 도메인네임시스템(DNS)을 직접 변조해 기존 차단 기술을 우회한다.

이스트시큐리티(대표 정상원)는 사용자 PC DNS를 직접 변조해 위조된 포털 사이트로 접속하게 하는 진화된 형태 파밍 공격이 발견됐다고 21일 밝혔다.

이번 파밍 공격은 호스트 파일을 변조하는 기존 방식에서 한 단계 진화했다. DNS는 사용자가 문자로 구성된 도메인 입력하면 숫자로 된 실제 사이트 주소(IP 어드레스)로 연결하는 네트워크 서비스다. 일종의 주소 교환원이다.

사용자 PC DNS를 직접 변조하는 신종 파밍 기법 흐름도(자료:이스트시큐리티)

DNS가 변조되면 사용자가 정상 도메인을 입력해도 해커가 미리 준비한 파밍 사이트로 연결되거나 가짜 안내창이 보인다. 실제 사이트와 거의 동일하게 정교하다. 사용자가 의심없이 개인, 금융정보를 입력해 피해를 입는다.

사용자를 속이기 위해 '금융사기 척결 특별대책' 안내창을 띄우고 개선된 금융 보안 시스템을 이용하는 것처럼 위장한다.

이스트시큐리티 시큐리티대응센터는 “기존 호스트 불법 변조 방식은 대부분 안티바이러스(백신)과 금융 사이?서 감지해 차단한다”면서 “이를 우회하기 위해 사용자 PC DNS를 직접 수정하는 고도화된 파밍 공격 방식이 나타난 것”으로 분석했다.

DNS가 변조되면 각종 보안시 시스템에서 감지가 어렵다. 사용자가 파밍 사이트에 낚여 실제 금융사기 피해로 이어질 가능성이 높다.

정교한 위장 페이지와 금융당국 안내창 등으로 띄운다. PC 네트워크 환경 설정에서 DNS 주소를 자동 설정으로 변경해보는 것이 좋다.(자료:이스트시큐리티)

이스트시큐리티는 금융사이트 정상 거래 과정에 비밀번호, 보안카드 번호 등을 탈취하는 '메모리 해킹' 공격 조직이 관여한 정황도 포착했다. 메모리 해킹에 사용된 악성파일과 명령제어 서버 등이 파밍 공격에도 사용된 것으로 나타났다.

메모리 해킹은 블로그, 카페 등에 등록된 각종 프로그램 파일을 설치할 때 포함된 광고프로그램(애드웨어)로 악성파일을 유포하는 방식을 사용한다. 이번 파밍 역시 동일한 방식으로 DNS 변조 악성파일을 전파했다.

새로운 광고 소재를 자동으로 내려받는 애드웨어 특성상 해커가 광고 서버를 해킹해 악성파일을 유포하면 동일한 애드웨어가 설치된 PC 여러대가 한꺼번에 감염돼 DNS가 변조된다.

김분섭 이스트시큐리티 부사장은 “개인 인터넷 사용자는 DNS 주소를 자동으로 받도록 설정해둔 경우가 많다”면서 “인터넷 사용 중 포털 사이트에서 금융정보를 입력하도록 유도하는 안내창이 나타나면 파밍 공격을 의심하고 PC 네트워크 환경 설정에서 주소를 자동 설정으로 변경해야 한다”고 말했다. 또 “KT, SK 등 사용 중인 인터넷 서비스 회사 전문 기술자에게 도움을 요청하는 것이 좋다”고 덧붙였다.

박정은기자 jepark@etnews.com