[지디넷코리아]보안 연구가 등이 새로운 특징을 가지는 2종의 트로이 목마에 대해 경종을 울렸다. 이 트로이 목마는 원 타임 패스워드를 훔치거나 루트킷에 잠복해 있다고 한다.

각각 별개로 확인된 이런 악질적인 프로그램의 존재는 여러 보안 기업에 의해서 이번 주 발표됐다. 둘다 해커가 고안한 새로운 타입의 트로이 목마로, 무해한 소프트웨어로 보이도록 위장하고 있다.

스파이 에이전트 및 PWS라고 하는 명칭으로도 알려져 있는 메타피셔(MetaFisher)의 공격 대상이 된 것은 영국이나 독일, 스페인의 은행이다. 이 트로이 목마는 컴퓨터를 감염한 뒤, 유저가 은행의 공식 사이트를 열람하는 것을 기다렸다가 악질적인 HTML를 특정의 필드에 삽입한다. 이렇게 해 유저가 그 필드에 입력하는 원 타임의 개인 인증 번호(PIN)나 결제 번호를 훔치는 것이다.

보안 기업인 i디펜서의 보안 디렉터 Ramses Martinez는 “이런 PIN이나 결제 번호는 이 웹 사이트 로그인에 사용되지 않았던 것으로 돼, 유효한 상태가 유지된다”고 설명한다.

공격을 실현하기 위해서는, 대상이 되는 유저에게 악질적인 웹 사이트를 열람시키고, 시스템에 트로이 목마를 감염시킬 필요가 있다. 공격자는 전자메일을 이용하고, 유저를 그런 사이트로 끌어들이기도 한다. 또 이 트로이 목마와 동시에, 유저의 키보드 조작을 은밀하게 기록하는 키로거가 같은 컴퓨터에 인스톨 된다.

루트킷에 잠복하는 형태로 퍼지고 있는 트로이의 목마를 발견한 것은 사나 랩(Sana Labs)이다. 사나는 이 악질적인 소프트웨어는 알크라(Alcra)라고 하는 웜을 개입시켜 확산하고 있다고 밝혔다. 알크라 웜에 감염된 윈도우 PC는 악질적인 웹 사이트로 접속되고, 이 프로그램을 다운로드하게 된다고 한다. 이 트로이 목마에서는 감염 머신이 이전 사용한 패스워드나 유저 네임을 해석하는 것이 가능하고, 유저의 키스트로크(keystroke)를 추적할 필요가 없다고 한다. 이 프로그램은 벌써 7000개소에 보관되고 있는 로그 파일로부터 3만 7000건의 유저 네임과 패스워드를 훔쳐 대부분이 소셜 네트워크 사이트에서 이용되고 있다고 한다.

이 악성 소프트웨어는 PC에 인스톨된 뒤에 트로이의 목마가 수집한 유저 네임과 패스워드를 축적하고 있는 러시아의 웹 서버와 통신을 시작한다고 말해지고 있다.@