IT이야기2009. 7. 9. 01:15

한메일, 보안업체 등으로 DDos 2차공격. PC 점검 필수

저녁에 알약 등의 사이트가 안뜨길래, 백신받으려는 사람이 많아서 그러나보다 생각했다. 그런데, 2차 공격이 진행됐다는 기사가 올라왔다. 개인적으로 11시대에 안랩 홈페이지(home.ahnlab.com) 가 느리게 접속되는 현상이 확인했고, 다음의 한메일(mail.daum.net)은 현재(00시대) 거의 접속이 안될 정도이다. 네이버가 메일 장애시에 임시로 mail2 도메인을 사용했는데, 방금전(01:00에 확인)에 다음 한메일도 주소를 mail2.daum.net 로 임시 변경했다.

다음 한메일 접속시.

[ 다음 한메일 접속시 나오던 창. 도메인이 mail.daum.net인 경우 ]


그러나 어느 사이트가 접속된다, 안된다의 정보를 확인하는 것보다 중요한 것은 개인 PC의 점검이다.
  • 안철수연구소에서 오후부터 전용백신을 제공( http://kr.ahnlab.com/dwVaccineView.ahn?num=81&cPage=1 ) 하고 있으니 V3를 이용하지 않으신 분은 꼭 받아서 확인하시길.
  • 그리고, 'MPEG2TuneRequest 제로데이 취약점' 패치가 임시로 올라왔으니 적용하시길... '안철수연구소 ASEC'블로그에 자세히 설명되어 있다.
새로운 공격 대상이 생겼다는 것은 대상을 자체적으로 변경하거나, 지금도 악성코드가 계속 배포된다는 의미일 것이다. 궁금해진다.

공격당하는 사이트의 보안담당자, 네트웍엔지니어, 시스템엔지니어들, 그리고, 악성코드 분석과 대처를 위해 애쓰시는 보안업체분들은 지금 이시간에도 고생하고 계실 것 같다. 힘내세요.

* 관련 정보 

'IT이야기' 카테고리의 다른 글

재미로 보는 BSD계열 OS 사용 통계와 Yahoo!  (0) 2009.07.24
미출시된 초콜릿폰 II에서 웹페이지 접속한 흔적이? 테스트중?  (4) 2009.07.13
네이버, 옥션 등 DDoS공격은 악성코드 때문  (5) 2009.07.08
함께 만들어가는 IT 일정, 뭉치면 한눈에 보인다.  (10) 2009.06.29
기다렸다. 안철수박사님 출연한 무릎팍도사 6.17일 방송  (9) 2009.06.16
Posted by 좋은진호
IT이야기2009. 7. 8. 10:24

네이버, 옥션 등 DDoS공격은 악성코드 때문

어제 네이버 메일과 쪽지기능, 옥션(auction.co.kr), 조선닷컴(chosun.com), 청와대(www.president.go.kr), 국방부(www.mnd.go.kr), 은행사이트, 그리고 백악관 등 다수 사이트가 DDoS공격을 받았다. 지금도 청와대, 국방부, 조선닷컴, 옥션 등이 원할게 접속되지 않는다. 네이버 블로그도 일부 개인 페이지들이 제대로 보이지 않는 경우가 있다. 그 원인은 악성코드 때문이었다. 쿨캣님의 블로그( http://xcoolcat7.tistory.com/520 )에서 악성코드가 공격을 하는 대상 사이트의 목록을 볼 수 있다. 악성코드의 공격대상 목록과 실제 공격당한 사이트가 일치한다.

악성코드 msiexec2.exe의 공격 대상 사이트 목록

[ 출처 : 쿨캣님 블로그 ]


msiexec1.exe 등을 포함한 Win-Trojan/Downloader.374651 악성코드는 안철수연구소 바이러스 정보에서 정보를 얻을 수 있다. 그러나 공격대상 사이트 목록이 있는 msiexec2.exe에 대한 분석자료는 안랩 사이트 등 다른 곳에는 아직 공개되어 있지 않은 상태이다.

KRCERT에 '신종 분산서비스거부공격(DDoS)에 따른 "주의" 경보발령'  공지가 올라와 있다. '신종 DDoS 악성코드로 인하여 국내 주요 공공기관 및 이용자 방문이 많은 포털, 금융 사이트에 대한 접속 장애 발생'했다는 내용이다.

이 악성코드가 부팅 후 자동 실행이 된다. 그리고, 제어 서버(C&C) 접속 없이 공격 대상 목록 파일정보를 기반으로 자동 공격한다.  만약 악성코드내에 공격을 중단하는 명령이 없다고 한다면, 대상사이트는 공격을 계속 받을 수 밖에 없다. C&C(Command & Control) 접속없이 이뤄지므로, 공격을 멈출 방법이 없기 때문이다. PC만 켜져있는 동안은 계속 공격이 이뤄진다는 얘기.

개인 PC에 악성코드가 심어져 있는지 검사가 필요하다.


* 관련정보 (18:15 추가)
  - 안철수연구소, DDoS 공격용 악성코드 전용백신 무료 제공 (그리고, 이번에 공격한 악성코드명)
  - Urgent-Massive DDOS Attack!
  - 하우리의 분석자료 (Trojan.Win32.DDoS-Agent.33841) (공격대상 목록 포함)
  - 네이버, 옥션, 청와대 공격 악성코드 분석 (글 쿨캣님, 16:36)
  • 악성코드 초기 버전(7.5일)이 만든 uregvs.nls 파일에는 한국 사이트는 없었고, 미국 정부 사이트만 있었다고.
  • 한국 사이트는 7월 7일에 포함

'IT이야기' 카테고리의 다른 글

미출시된 초콜릿폰 II에서 웹페이지 접속한 흔적이? 테스트중?  (4) 2009.07.13
한메일, 보안업체 등으로 DDos 2차공격. PC 점검 필수  (4) 2009.07.09
함께 만들어가는 IT 일정, 뭉치면 한눈에 보인다.  (10) 2009.06.29
기다렸다. 안철수박사님 출연한 무릎팍도사 6.17일 방송  (9) 2009.06.16
해외 주요 업체의 서버 대수는?  (4) 2009.06.01
Posted by 좋은진호
IT이야기2008. 4. 5. 02:39

중국 정부기관 사이트도 해킹당한다.

중국의 한 정부기관 사이트 www.????????.gov.cn (주소는 아래 F-Secure 링크에 있음)가 iframe으로 숨겨진 악성코드가 들어가 있다. iframe속엔 다른 1개의 iframe이 있고, 또 이 iframe은 3개의 iframe속에 감춰져 있어서, 양파까듯이 파들어가야 한다. 최근 F-Secure버전은 Trojan-Downloader.Win32.Small.suu 으로 진단한다.

사용자 삽입 이미지

F-Secure는 합법적 사이트에 iframe으로 악성코드를 넣는 방법이 요즘은 점점 보편화되는 것 같다고 얘기한다. www.sony.com.cn도 유사한 iframe이 포함되어 있었는데, 현재는 제거된 상태다.

4월 3일에 접속할 때 악성코드를 내포한 iframe이 있었는데, 지금도 존재한다. 사이트 관리자는 아직 인지하지 못하고 있다. (아직도 악성코드가 존재하니 주의 요함)
중국쪽에서는 F-Secure의 글을 잘 안보나. 누군가는 저 사이트 관리자에게 전달했을 법도 한데, 아직도 그대로다. 중국발해킹에서 보여줬던 중국해커의 날렵한 사냥솜씨(?)에 비하면, 사이트 운영자의 대응은 배가 부른 사자마냥 느릿하다.

그럼 우리는? 우리의 공공기관의 웹사이트 해킹에 대해서는 언론이나 해킹된 사이트 DB에서 봤을 것이다. 중국의 저 사이트와 비슷하게 며칠간 방치는 경우도 있다. 하지만, 이미 해킹당한 것은 당한 것이고, 다른 방문자의 피해를 줄이기 위해선 불구경은 그만하자. 해당 사이트 운영자에게 전달하는 '감시자의 역할'을 철처히 해야할 듯 싶다.

※ 3일 #coffeenix방에서 나눴던 얘기에 살을 붙여 정리했다.

'IT이야기' 카테고리의 다른 글

Spotplex가 느리다.  (2) 2008.04.14
openssh 5.0 릴리즈  (2) 2008.04.06
kernel.org가 4월 2일쯤 서버를 전부 내린다고?  (5) 2008.04.01
2mb.co.kr 도메인이 있었네  (6) 2008.03.22
F1 경기장, 세팡 서킷(Sepang Circuit) 사이트 DNS 해킹당해  (0) 2008.03.20
Posted by 좋은진호

티스토리툴바