비트 코인을 노리는 'DYRE "Adobe 오래된 취약점을 이용

사이버 범죄자와 공격자는 유효성이 확인 된 오래된 취약점을 이용하여 사용자의 PC를 감염시켜 기업의 네트워크에 침입하는 것이 많이 있습니다. 따라서 시스템에 업데이트를 적용하고 소프트웨어와 애플리케이션을 최신 상태로 유지하는 것이 중요한 대책이됩니다.

 2014 년 10 월 Adobe Reader 및 Acrobat에 존재하는 오래된 취약점'CVE-2013-2729 '을 이용하는 악성 프로그램 "DYRE"을 확인했습니다. 이 취약점을 이용한 공격이 성공하면이 악성 프로그램은 감염 PC에서 임의의 코드를 실행할 수 있습니다.

그림 1 : 스팸 예

그림 2 : 스팸 예

"DYRE"는 감염 경로로 청구 통지서를 가장 한 스팸 메일을 이용합니다. 이는 트렌드 마이크로 제품은 "TROJ_PIDIEF.YYJU "로 감지되는 악성 PDF 첨부 파일입니다. 이 악성 프로그램은 실행하면 취약점 'CVE-2013-2729'을 이용하여 ' TSPY_DYRE.EKW "를 다운로드합니다. "TSPY_DYRE.EKW"는 "DYREZA"또는 "DYRANGES"로 알려진 "DYRE"변종입니다.

"DYRE"는 온라인 은행의 개인 정보를 절취하는 것으로 알려진 악성 프로그램에서 운송업자 사기에 관련이 있습니다. 당사의 최근 블로그 게시물 (영문) 위협의 전체 그림에서 "DYRE"의 역할에 대해 자세히 설명했습니다. 이 악성 프로그램의 특징이되는 불법 활동 브라우저 인젝션을 통해 "Man-In-The-Middle (중간 관리자) 공격"표적으로 한 온라인 은행의 세션 모니터링, 브라우저 버전, 스냅 샷 및 개인 정보 등의 정보 절취 등입니다.

"DYRE"브라우저의 스냅 샷을 통해 '개인 정보 (personal identifiable information, PII) "이나 인증 정보 등을 얻을 수 있기 때문에 사용자와 기업은 위험에 노출됩니다. 당사는 또한 봇넷 " CUTWAIL "이 악성 프로그램"UPATRE "및"DYRE "의 다운로드를 유도하는 것을보고했습니다.

"TSPY_DYRE.EKW"주의해야 할 점은 인터넷 뱅킹이나 가상 통화 "Bitcoin (비트 코인)"의 로그인 페이지에 악성 코드를 포함하고, 개인 정보를 절취하는 기능을 갖추고있는 것입니다. 다음은이 악성 프로그램을 모니터링하는 비트 코인의 Web 사이트입니다.

• bitbargain.co.uk/*
• bitbargain.co.uk/login*
• bitpay.com/*
• bitpay.com/merchant-login*
• localbitcoins.com/*
• localbitcoins.com/accounts/login*
• www.bitstamp.net/*
• www.bitstamp.net/account/login*

정보 절취의 불법 활동에 가세 해 「TSPY_DYRE.EKW "특정 악성 Web 사이트에 접속하여 정보를 송수신하는 기능을 제공합니다. 또한이 악성 프로그램은 특정 "Simple Traversal of UDP through NATs (STUN)"서버에 연결하고 감염 PC의 공개 IP 주소를 확인 할 수 있습니다. 이는 사이버 범죄자는 악성 프로그램의 위치를​​ 알 수있게되고, 사용자와 기업의 감염 PC의 위치를​​ 특정 할 수 있습니다. 가장 많은이 피해를 입은 국가는 아일랜드, 미국, 캐나다, 영국 그리고 네덜란드입니다.

비트 코인은 현실 세계에서 가치를 갖는 가상 화폐입니다. 비트 코인이 혜택을 새로운 수단이 되었기 때문에 사이버 범죄자는 자주 비트 코인을 노리 게되었습니다. 이번 공격은 사이버 범죄자와 사기에 관련된 인물이 비트 코인을 겨냥한 첫 번째 사례 는 없습니다. 그러나 이번 공격으로 부각 된 것은 사이버 범죄자가 사용자의 개인 정보를 절취 비트 코인 같은 새로운 기반을 노리는 경우에도 취약점을 이용한 공격 및 온라인 은행 사기 도구와 같은 종래의 위협이 아직도 중요한 방법이되고 있다는 것입니다. 또한 시스템이나 소프트웨어를 최신 상태로 유지의 중요성도 말할 수있게되었습니다.

참고 기사 :

" Old Adobe Vulnerability Used in Dyreza Attack, Targets Bitcoin Sites " 
by Rika Joi Gregorio (Threat Response Engineer)

　번역 : 시나가와 아키코 (Core Technology Marketing, TrendLabs)