Offcanvas

보안

"Q봇 맬웨어, 변종 형태로 재등장" 바로니스

2019.03.04 Lucian Constantin  |  CSO
해묵은 Q봇(Qbot) 금융 맬웨어가 다시 등장했다. 단 감지하기 더 어렵도록 업그레이드됐다.

데이터 보안 솔루션 기업 바로니스(Varonis)의 연구진은 최근 고객 기업 컴퓨터에서 수상한 움직임을 분석한 결과 이 공격을 발견했다고 전했다. 이들에 따르면 Q봇의 업그레이드 변종인 이번 콰크봇(Qakbot)은 네트워크를 통해 다른 시스템으로 확산하려 시도하고 있었다. 

Q봇은 지난 10년 동안 가장 성공적인 맬웨어로 손꼽힌다. 그 이유 중 하나는 소스 코드가 범죄자들에게 개방돼 있어 쉽게 수정하고 확장될 수 있기 때문이다. 이 악성 맬웨어는 온라인 뱅킹 자격 증명을 훔치기 위한 트로이 목마로 시작됐지만 수년 동안 여러 개선이 이뤄졌다. 

Q봇의 흥미로운 점은 다형성(semi-polymorphic) 위협이라는 것이다. 코드 기반 탐지를 피하기 위해 주기적으로 명령 및 제어 서버가 코드와 구성을 다시 스크램블링한다. Q봇은 또 윈도우 도메인 크리덴셜을 무작위 대입 공격함으로써 기업 네트워크를 가로질러 옮겨다니는 웜(worm) 스타일의 기능도 보유하고 있다.

작동 방식
바로니스의 조사에 따르면 Q봇은 초기 설치 프로그램인 'dropper'가 이메일에 확장자 .doc.vbs인 첨부파일 형태로 전달됐을 가능성이 크다. vbs는 윈도우에서 네이티브로 지원되는 스크립팅 언어다.

실행되면 이 악성 스크립트는 윈도우 BITSAdmin 코맨드 앤 콘트롤 서버로부터 Qbot 로더를 다운로드한다. 이전의 Qbot 버전에서는 파워셸을 이 용도로 사용했던 바 있다. 그러나 파워셸을 이용한 맬웨어 공격이 흔해지면서 오늘날 기업 시스템에서는 이 기능의 사용을 면밀히 모니터링하고 있다. 

바로니스 연구진은 "핵심 악성 코드를 실행하는 로더는 여러 버전을 가지고 있으며 실행 후에도 지속적으로 업데이트되고 있다"라고 밝혔다. 

설치가 완료되면 Q봇은 예약된 작업을 생성하고 시스템 레지스트리에 항목을 추가하여 지속성을 유지한다. 그런 다음 악성 프로그램은 사용자가 입력 한 모든 키 입력을 기록하고 브라우저 내부에 저장된 자격 증명 및 인증 쿠키를 훔치고 다른 프로세스에 악의적인 코드를 삽입하여 금융 관련 텍스트 문자열을 검색하고 훔진다. 

바로니스는 공격자의 코맨드 앤 콘트롤 서버 중 하나에 접근한 결과 2,726개의 잠재적 피해자 IP 주소를 보여주는 로그를 발견했다. 미국에서만 1,700개가 넘었지만 캐나다, 영국, 독일, 프랑스, ​​브라질, 남아프리카, 인도, 중국, 러시아에서도 피해자 IP가 발견됐다고 이 보안 기관은 전했다. 

또 조직 내의 컴퓨터는 일반적으로 공유 IP 주소를 통해 인터넷에 액세스하기 때문에  개별 감염된 시스템의 수가 훨씬 더 많을 가능성이 높다고 바로니스는 덧붙였다. ciokr@idg.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.