금융정보탈취 악성코드 Shylock

• 8개국 경찰과 보안업체는 공격자가 샤일록(Shylock) 악성코드에 감염된 컴퓨터를 제어하기 위해 사용하는
  서버를 찾아내어 조치함
      ※ 영국 NCA(National Crime Agency) 주도로 미국, 네덜란드, 터키, 이탈리아, 독일, 폴란드, 프랑스 참여
      ※ IT 보안업체 : BAE Systems Applied Intelligence, Dell SecureWorks, Kaspersky, Heimdal Security

주요내용

• 샤일록은 트로이목마 형 악성코드로 2011년에 처음 발견되었으며, 주로 온라인 뱅킹이 공격대상
      - 샤일록(Shylock) : 셰익스피어 소설 “베니스의 상인”의 캐릭터 이름. 악성코드 실행파일 내 해당 문자열에
        포함되어 있어 샤일록으로 명명함
• 감염경로
      - 사용자가 악성코드 링크 클릭 시 (Drive-by download 취약점 이용)
       ※ Drive-by download : 사용자가 알지 못한 사이에 단순 웹 페이지 방문을 통해 악성코드를 다운로드 및
          실행하도록 유도하는 공격기법
      - 감염된 외부저장장치(USB 등)를 사용자 컴퓨터에 연결 시
• 악성행위
      - 웹사이트에 악성코드를 주입하여 인증서 정보 유출
      - 피해자를 속여 사기금융거래 유도
      - 외부저장장치나 USB드라이브를 감염시킨 후 FTP 프로그램을 통해 인증서 유출
      - 감염된 PC를 프록시 서버로 이용
       ※ 프록시 서버(proxy server) : 클라이언트와 서버 사이에서 자신을 통해 다른 네트워크 서비스에 간접적
           으로 접속할 수 있게 해주는(중계 기능) 서버
• 보안업체인 시만텍(Symantec) 리포트에 따르면 샤일록은 60여개 금융기관의 고객을 대상으로 하고 있으며,
  공격대상 국가는 영국이 가장 많고 그 뒤를 이탈리아, 미국이 따르고 있음
• NCA는 전 세계 3만 여대의 컴퓨터가 샤일록에 감염되었으며, 주로 영국이 공격대상이지만 악성코드 개발 
  용의자는 다른 나라에 있다고 발표

 

[출처]
1. http://www.itworld.com/security/426601/international-law-enforcement-operation-disrupts-shylock-banking-malwar,  2014.07.10