정찰에 정찰을 거듭하는 조심스런 멀웨어, 매직POS

지난 8월~11월 사이 활발했던 POS용 멀웨어
약 23,400여 개의 신용카드 정보 도난당한 듯

[보안뉴스 문가용 기자] 보안 전문업체인 트렌드 마이크로(Trend Micro)는 최근 새로운 POS용 멀웨어를 발견했다고 발표했다.

특히 미국과 캐나다 지역에서 기승을 부리고 있는 중인데, 세계의 다른 지역이라고 해서 안심할 상황은 아니라고 한다.

트렌드 마이크로가 이 멀웨어에 붙인 이름은 매직POS(MajikPOS)로 최초로 발견된 건 1월 마지막 주라고 한다.

이미 오래전부터 활동하던 것이 뒤늦게 발견된 것이라, 이미 23,400여 개의 신용카드 데이터가 도난당한 뒤였다.

트렌드 마이크로에 의하면 매직POS는 또 다른 최신 POS 멀웨어인 패스트POS(FastPOS)와

모드POS(ModPOS)와 데이터를 훔친다는 측면에서는 같으나 감염이나 구축 방식에 있어서는 완전히 다르다고 한다.

“매직POS 공격자들은 본격적으로 활동하기에 앞서 피해자들을 먼저 탐구합니다.”

트렌드 마이크로의 위협 통신 책임자인 존 클레이(Jon Clay)의 설명이다.

먼저 매직POS는 시스템 감염 시 원격 접근 트로이목마(Remote Access Trojan)를 적극 활용한다.

이 RAT를 분석한 결과 작년 8월과 11월 사이에 활발하게 활동한 것으로 나타났다.

“공격자들이 RAT를 활용하는 이유는, 본격적으로 공격을 시작하기에 앞서

그 시스템이 공격할 만큼의 가치가 있는 것인지 탐구하기 위해서입니다.”

RAT를 통한 정찰 후 ‘가치가 있다’고 판단이 된다면, 공격자들은 가상 네트워크 컴퓨팅,

원격 데스크탑 연결, 명령행 FTP 등을 활용해 매직POS를 설치하기 시작한다.

이 단계에서의 가장 큰 목적은 ‘주요 무기’를 활용하지 않아도 공략이 가능할 정도로

취약한 시스템을 찾는 것이라고 클레이는 설명한다.

취약한 시스템을 발견하였다면, 공격자들은 두 개의 실행파일을 사용해 본격적인 공격을 실시한다.

하나는 해당 시스템에 공격 페이로드를 심는 실행파일이고, 다른 하나는 카드번호를 훔쳐내는 스크래퍼다.

점진적으로 공격하기 때문에 첫 단계에서 막혔을 때 무리하게 공격을 감행하다가

핵심 멀웨어가 유출되거나 분석되는 경우도 적어질 수 있다.

기사 원문보기 : http://www.boannews.com/media/view.asp?idx=53892&kind=4