금융정보 파밍 해커그룹 프로파일

4. 2015년 국정감사 장병완 의원 발표,
상반기 파밍 피해액 200억원 이상, 7월 5956건
건당 평균 약 300백만원
<출처 : ‘15년 데일리한국 등>

5. 3월 4월
5월

6. 3월 4월
5월
69%
31%
blackmoon
etc
58%
42% blackmoon
etc
73%
27%
blackmoon
etc

8.  포티넷, 파이어아이, 팔로알토 등이 blackmoon 관련 악성코드 발표(4~6월)

13.  “黑月编译器插件”(블랙문 컴파일러 플러그인) : C/C++, 델파이, 중국 Ez 랭귀지 등에 포함
되는 플러그인(라이브로리 다수와 OBJ 파일 간소화 등 기능)
 해당 라이브러리 사용시,
Virus total에서
YARA 룰 적용
6.26~6.27(2일간)
187 개 탐지

14.  정의 : 합법적으로 소유하고 있던 사용자의 도메인을 탈취하거나 도메인 네임 시스템
(DNS) 또는 프락시 서버의 주소를 변조함으로써 사용자들로 하여금 진짜 사이트로 오인
하여 접속하도록 유도한 뒤에 개인정보를 훔치는 새로운 컴퓨터 범죄 수법

15. CK VIP
Blackmoon
botnet
NPKI 식별정보
DBD
파밍 IP

16.  사용자가 직접 금융정보를 입력하기 위한 사회 공학적 기법 사용(APT)
 특별히 눈에 보이는 악성행위는 하지 않고 금융 사이트 접속 시의 DNS나 네트워크 관련
설정을 건드림
 2016년도에는 PAC 방식으로 악성코드를 업그레이드(6월 현재 사용하는 형태)
2014 ~ 2015 초
2016

17.  다양한 패커를 사용하지만 최신 고 난이도의 패커는 사용 하지 않음
 웹 사이트를 악용한 DBD 형태의 유포를 주로 이용함
 악성코드를 위하여 CK VIP 악성코드를 주로 사용
 한국 대상인 경우, 공인 인증서 (NPKI폴더) 유출 *.cer, *.der 검색
 users.qzone.qq.com 사이트에서 파밍 IP 획득함
- (14년) http://user.qzon.qq.com/190055271
- (15년) http://users.qzone.qq.com/fcg-bin/cgi_get_portrait.fcg?uins=3091029008
8.5

19. 2014년 – 국내 거점 다수
2016년 – 해외 거점

23. 리버스 쉘

24. 초기 진입 웹 취약점
이후 파일공유 취약점

26. Exploit kit 활용
BlackMoon 계열 악성코드 유포

27.  공격자가 사용하는 Exploit kit : CK VIP 5.7 (5월) (4.26→5.7)

28.  공격자가 사용하는 Exploit kit : 2014년

32. 2016년

33. 2015년 상반기
이전

37. http://blog.bandisoft.com/132

38.  정상 꿀뷰 파일 : honeyview-setup-kr.exe
 위장 파일 : honeyview-setup-kr (5).exe
 MD5 : 81145c4e1b8814eb1509c460dc5239a0

39. 내부공격서버
국내 거점 OOO IDC
www.OOO.co.kr
2016. 3월 분석

40. ARP 스푸핑 공격 발생시점 당시에 302 패킷을 변조하여 악성코드 유포 사
이트로 이동되도록 설정한 내용이 포함되어 있음
악성코드 유포사이트 : 3월 MCF 에서도 유포지로 등장

41. MD5 : 70e3cdaf9ba568fd1a993dbc497f3b72

43.  MD5
- 67efea7c9756accb7b88d790f0dc9824
- aa1123eb370c7854dcc51fa1f7a88a20
- efcb24949898e64f285644e76874659c
- 1ad0fcbebf34c30727dca298e8d96e0f
- 0DD2F48539EF0B0E8E42A262F9FFC217
 C&C
- 104.216.106.40, US
- 112.121.175.140, HK
- 112.121.165.93, HK
- 112.121.169.130, HK
- 103.228.28.170, CN

44.  Drops the file Drop
- C:WINDOWS8000
 Registries
- process path: C:WINDOWSsystem32cacls.exe
- key: HKCUSoftwareMicrosoftInternet ExplorerMain
- Type: REG_SZ
- value: Start Page
- data: www.naver.com
- process path: C:WINDOWSsystem32cacls.exe
- key: HKCUSoftwareMicrosoftWindowsCurrentVersionInternet Settings
- Type: REG_SZ
- value: AutoConfigURL
- data: http://127.0.0.1:1176/숫자

47. 감사합니다