공유기 해킹하여 DNS 하이재킹하는 Roaming Mantis 악성코드

DNS hijacking으로 파밍(pharming)

카스퍼스키가 발견한 로밍 맨티스 악성코드는 취약한 라우터(공유기)를 해킹하여 DNS 서버 설정을 악의적으로 바꾼다. DNS 서버는 URL을 IP 주소로 연결해 주는 역할을 하는데, 이것이 조작됐다는 것은 피해자가 정확한 웹 주소를 입력해도 피싱 사이트로 연결되는 결과를 초래한다.

로밍 맨티스의 공격은 우리 나라에서부터 시작됐는데 이미 3월부터 피해 사례가 많이 나왔다(관련 자료 1). 또한 4월 말경에 발생한 마이이더월렛 사용자의 이더리움 탈취 사건도 DNS 하이재킹에 의한 것이었다(관련 자료 2).

2단계 인증 정보도 탈취

로밍 맨티스의 악행은 일단 피싱에서 시작된다. 피해자가 어떤 사이트에 접속하려 하든지 먼저 피싱 사이트로 연결한다. 이후의 과정은 운영체제에 따라 다르다.

안드로이드 기기에는 chrome.apk, facebook.apk 같은 가짜 앱 설치를 유도한다. 이 가짜 앱은 구글이나 뱅킹 계정을 탈취하는 트로이 목마다.


그림에서 주소창의 구글닷컴에 자물쇠 아이콘이 없음을 눈여겨 보자.

구글 계정 탈취 방법을 보면, 먼저 계정이 잘못됐으니 로그인하라며 로그인 정보를 수집한다. 또한 SMS 접근 권한을 이용해 2단계 인증을 위한 문자 메시지를 언제라도 가로챌 수 있다. 결국 해커는 피해자의 구글 계정에 언제라도 로그인할 수 있게 된다

애플 iOS의 경우에는 악성 앱 설치없이 .피싱 사이트에서 바로 애플 스토어 계정 설정을 구실로 로그인 정보와 신용카드 정보를 수집한다.


그림에서 주소창에 역시 자물쇠 아이콘이 없음을 볼 수 있다. 또한 시큐어리티_애플닷컴이란 URL은 실제로는 없는 것인데, 가짜 DNS 서버가 표시해 주는 것이다.

PC에서는 코인하이브 스크립트를 이용하여 가상화폐를 채굴하는 크립토재킹을 수행한다.

위의 그림 2개는 카스퍼스키의 것(참고 자료 1)이다.

https와 VPN이 해답

파밍은 가짜 사이트로 연결된다는 점에서 피싱의 일종이지만, 더 정교하게 진보된 수법이다. host 파일 변조, DNS 하이재킹, proxy 서버 변조 등을 통해 인터넷 주소 체계를 교란하는 것이기 때문에, 주소창에 표시되는 주소는 정상으로 보인다. 살짝 다르기 때문에 주의 깊게 보면 알아차릴 수 있는 일반적인 피싱과 다르다.

그러나 SSL 암호화된 https 사이트를 파밍하면 http 사이트로 표시된다. 즉, 주소 자체는 정상처럼 보이더라도 자물쇠 아이콘이나 녹색창은 사라지는 것이다. 따라서 가짜임을 눈치챌 수 있다.

VPN을 이용하는 경우에는 인터넷 연결이 보안 서버를 통하여 암호화되기 때문에 파밍이 불가능하다. 물론 VPN의 취약점을 이용하면 가능할 수도 있지만(관련 자료 3), 이건 라우터 공격보다는 어려운 일이다.

공유기를 잘 지켜야 함은 물론이다(관련 자료 4).


관련 자료
  1. 공유기 해킹으로 악성 앱 유포 중
  2. 가상화폐지갑 MyEtherWallet 사용자 피싱(파밍) 주의보
  3. 유명 VPN에서 해킹 취약점 발견
  4. 와이파이(Wi-Fi) 보안 설정 
  5. 피싱(phishing) 사기 피하는 방법

참고 자료
  1. Roaming Mantis infects smartphones through Wi-Fi routers
  2. Roaming Mantis dabbles in mining and phishing multilingually
  3. DNS-Hijacking Malware Targeting iOS, Android and Desktop Users Worldwide
  4. The Risks of DNS Hijacking Are Serious and You Should Take Countermeasures
  5. DNS Hijacking : Exposed & Explained
  6. 피싱보다 무서운 ‘파밍 경계령’ 

댓글

댓글 쓰기

이 블로그의 인기 게시물

엑셀 필터 상태에서 복사와 잘라내기

이미지
잘라내기는 숨겨진 셀도 포함한다 마이크로소프트 엑셀(Microsoft Excel)로 데이터베이스 작업을 하다보면, 원하는 데이터만 보이도록 필터링을 한 다음, 다른 위치에 붙여넣기를 할 때가 있다. 그런데 필터라는 것이 불필요한 셀을 화면에 보이지 않게 숨기는 것이므로, 특정 범위를 선택할 경우 보이는 셀과 숨겨진 셀을 어떻게 처리하느냐에 따라 결과가 달라질 수 있다. 기본적으로 엑셀은 보이는 셀을 기준으로 작업을 한다. 그러나 수행하는 작업에 따라 달리 처리하기도 한다. 셀 단위로 범위를 선택할 때, 복사는 보이는 셀만을 포함하지만, 잘라내기는 숨겨진 셀까지 포함한다. 아래 예는 엑셀 2010과 오피스 온라인에서 수행한 것이다. 오피스 온라인은 마이크로소프트 계정만 있으면 무료로 사용할 수 있다. 기능은 상당히 제한적이지만 일반적인 작업에는 쓸 만하고, 항상 최신 버전으로 유지된다는 장점이 있다. 먼저 간단한 데이터베이스를 만들어 표(테이블) 삽입을 했다. 데이터베이스는 표로 만드는 것이 여러 모로 좋다. 여기서 서울에 사는 사람만 골라내서 별도의 시트로 만들려고 한다. 다음과 같이 필터를 적용했다. 여기서 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '복사'한 다음, 새 시트에 붙여넣으면 다음과 같이 된다. 정확히 원하던 결과다. 그러나 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '잘라내기'한 다음, 새 시트에 붙여넣으면 엉뚱한 결과를 낳는다. 범위 안에 있는 숨겨진 셀까지 이동된 것이다. 행 단위 선택은 숨겨진 행도 포함한다 위에선 셀 단위로 범위를 선택한 경우를 본 것이다. 그런데 엑셀에서 데이터베이스를 다룰 때는, 행 단위로 선택을 하는 것이 편할 때가 많다. 행 번호를 클릭하면 해당 행 전체가 선택된다. 행 단위로 범위를 선택하면, 그 안에 있는 숨겨진 행도 포함된다. 이때는 복사든 잘라내기든 마찬가지다. 위의 필터 적용된 데이터베이스에서 행 번호를 드래그해서, 행 단위로 범위를 선택한 후 '복사...
자세한 내용 보기

가정에서도 망 분리를 해보자

이미지
멀티 무선 네트워크(multi SSID) 망 분리는 용도와 보안 수준에 따라 각 네트워크를 분리해 구성하는 것이다. 주로 조직체에서 사용하는데, 내부의 중요한 컴퓨터는 외부 인터넷 망과 완전히 단절시키는 경우가 한 예다. 이렇게 하면 일반 직원들이 사용하는 컴퓨터가 해킹당하더라도, 핵심 서버는 영향을 받지 않는다. 이제는 가정에서도 망 분리를 고려할 시점이 됐다. IOT 기기 사용이 늘어나는 데 반해, 그 보안 수준은 열악하기 때문이다. 아마존 같은 선두권 기업의 제품에서도 기초적인 허점이 드러나곤 한다(관1). 여타 제품들은 어떤 상황일지 상상이 간다. 네트워크 내 하나의 기기가 뚫리면 전체 네트워크가 위험해 진다. 망 분리는 쉽다. 대부분의 공유기가 다중 네트워크 기능을 지원하기 때문이다. ipTIME 공유기에서는 그림과 같이 설정하면 된다. 게스트 네트워크를 선택해 켠 다음, SSID와 인증 방식을 설정한다. 가장 중요한 것은 통신 정책 설정이다. 반드시 'WAN포트 인터넷 통신만 허용'으로 설정해야 한다. '모든 통신 허용'을 선택하면 망 분리 효과가 없다. 기본 네트워크에 연결된 기기와도 통신이 되기 때문이다. 이제 보안이 취약한 기기들은 게스트 네트워크에 연결하고, PC와 NAS 등 중요한 것들은 기본 네트워크에 연결한다. 손님에게 와이파이 암호를 알려주기 싫을 때도 요긴하다. 외부인 용으로 별도의 네트워크를 만들면 된다. 무선 WAN으로 와이파이 확장 우리가 직접 구입한 공유기는 이처럼 쉽게 망 분리를 구성할 수 있다. 문제는 통신사에서 제공한 공유기를 사용하는 경우이다. IOT 기기는 통신사의 결합 상품으로 제공되는 경우가 많은데, 통신사의 공유기는 기능이 부족한 경우가 많다. 성능이 처진다기보다는, 고급 설정은 통신사가 직접 관리하고, 사용자 인터페이스에 노출시키지 않는 것이다. 통신사의 공유기가 멀티 SSID 기능을 지원하지 않는다면, 무선 WAN 방식으로 네트워크를 확장하면 된...
자세한 내용 보기

잉크젯 프린터 전원은 항상 켜 놓아야 좋다

잉크 절약을 위한 관리 요령 잉크젯 프린터(복합기)의 전원은 항상 켜 놓는 것이 좋다. 잉크를 아끼기 위해서다. 프린터는 켜질 때에 자체적인 유지 관리 기능으로 인해 소량의 잉크를 소모한다. 기종에 따라서는 제법 소모가 큰 경우도 있다. 따라서 가급적 자주 껐다 켰다를 하지 않는 것이 좋다. 또한 프린터가 오래 꺼져 있으면 잉크가 마를 수가 있다. 특히 온도가 낮은 겨울엔 잉크가 쉽게 마른다. 절전 모드로 전기 요금 걱정 없어 전기 소모는 걱정할 필요 없다. 대부분 일정 시간 인쇄 작업이 없으면 절전 모드 혹은 대기 모드에 들어가는데, 이때 전력 소모는 1w 미만이다. 내가 사용 중인 LIP2040VW는 0.88w인데, 각자 한번 확인해 보시길. 주기적으로 인쇄 결론적으로 잉크젯 프린터는 항상 켜 놓는 게 좋은데, 오래된 기종이라 전기 소비량이 많다거나 기타 이유로 그렇게 하지 못할 수도 있을 것이다. 이런 경우 게시판에서 여러 사람의 의견을 종합해 보면, 일주일에 한 번은 켜서 간단한 인쇄를 하는 것이 좋겠다. 항상 켜 놓더라도 최장 1달에 1번은 인쇄를 하는 것이 좋다. 관련 자료 말라버린 잉크 카트리지 닦기
자세한 내용 보기