금융기관 사용자를 타겟으로 하는 트로이 목마 프로그램 'Zberp' 발견

개요

• 전세계 450여 금융기관 사용자를 노리는 제우스 트로잔(Zeus Trojan)과 카버프(Carberp)의 특징을 합친 
  새로운 트로이목마 프로그램 'Zberp' 발견('14.05.27)
  ※ 제우스 트로잔(Zeus Trojan) : 컴퓨터에 보존된 개인정보나 금융정보를 빼내기 위해 제작된 악성코드
  ※ 카버프(Carberp) : 은행관련 정보를 전문으로 빼내는 악성 소프트웨어

주요내용

• IBM의 보안 전문 자회사 Trusteer 의 연구원들이 이름 붙인 'Zberp'는 지난 2월 발견된 'ZeusVM'와 특징이
  거의 유사한 변종으로 보고 있음
  - 'Zberp'은 ZeusVM 악성코드처럼 스테가노그래피 기법을 활용하여 안티멀웨어(Anti Malware) 프로그램의
    탐지를 피하기 위해, 애플 로고 모양의 이미지에 악성코드를 숨김
  ※ 스테가노그래피 : 이미지 파일에 특정 메시지나 악성코드를 삽입하는 기법

< 애플 로고 이미지 파일 내 숨겨진 악성코드 실행 >

• Zberp 트로이 목마의 주요 기능 
  - 원격제어를 통해 감염된 PC의 화면을 캡처, FTP와 POP3 인증서 및 기밀 정보 탈취, IP주소, 이름 등 정보를
    각종 정보를 탈취함
• 안티멀웨어의 탐지를 피하기 위해 'ZeusVM'의 Windows 레지스트리 키삭제 기능과 온라인 뱅킹 악성코드인
  (Carberp)의 우회 기능 등을 사용
   - 안티멀웨어의 탐지를 우회하기 위해 인자 값을 1바이트만 바꾸고 의미 없는 명령어 한 줄을 추가하는 등의
     행위를 통해 우회가 가능

< 카버프 HttpSendRequest 함수 악용 >

           - Trusteer의 연구원은 ‘Zberp’을 처음 발견하였을 때, 바이러스토탈을 통해 확인한 결과 대부분의 안티
             바이러스 솔루션 탐지를 회피하였다고 덧붙임

 

 

[출처]
1. http://securityintelligence.com/new-zberp-trojan-discovered-zeus-zbot-carberp/#.U4u6NPl_sW3
2. http://itsecuritynews.info/2014/05/26/zberp-new-trojan-created-from-leaked-zeus-carberp-source-code/
3. http://www.cio.com.au/article/546014/new_online_banking_trojan_program_combines_zeus_carberp_features/