보안 기업인 카스퍼스키랩에 따르면 지난 2015년 은행에서 직접 돈을 훔치는 서버 범죄자가 증가했다고 한다. 카스퍼스키랩 측은 APT 관련 기술을 구사한 사이버 범죄자에 의해 적어도 러시아 내 주요 은행 중 29개가 피해를 입었다고 밝혔다.

메텔(Metel)이라고 불리는 악성코드가 처음 발견된 건 지난 2011년. 원래 온라인 뱅킹 시스템 사용자를 대상으로 한 악성코드였다. 하지만 2015년 사이버 해커가 이 악성코드를 이용해 ATM을 대상으로 범죄 행위를 했다고 한다. 일반 신용카드 인출 한도를 무제한으로 바꾸고 ATM에서 돈을 많이 뽑아낸 것이다.

이 수법은 일단 이메일을 이용한 피싱이나 브라우저 취약점을 이용해 은행원이 사용하는 컴퓨터에 악성코드를 감염시킨다. 은행 네트워크에 있는 컴퓨터가 감염되면 나머지는 이곳에서 다른 단말기를 해킹하고 은행 거래 데이터에 접근해 내용을 바꿔 무제한으로 돈을 빼낼 수 있게 하는 것이다. 예를 들어 은행 콜센터 상담원이 사용하는 PC를 악성코드에 감염시킨다면 해당 은행 ATM에서 금융 거래 정보를 자동 취소하고 거래 자체를 진행되지 않는 거래로 되돌린다. 이에 따라 계좌 잔액은 변하지 않은 채 사이버 범죄자들이 ATM에서 무제한으로 현금을 인출할 수 있게 된다.

카스퍼스키랩에 따르면 메텔을 이용해 ATM에서 현금을 훔친 사이버 범죄 그룹은 비교적 소규모이녀 한 그룹당 10명 남짓으로 추정된다. 또 이런 범죄 행위는 아직까지 러시아 국외에서는 확인되지 않았다고 한다. 하지만 러시아에선 여전히 같은 수법에 의한 범죄가 이뤄지고 있다고 한다.





GCC 컴파일러를 기반으로 한 악성코드인 CG맨(GCMAN)을 이용한 사이버 범죄 그룹도 있다. 이들은 ATM에서 직접 현금을 인출하는 게 아니라 전자화폐 서비스에 송금, 금전 거래 처리를 비활성화하는 수법을 취한다. 또 작업을 자동 실행하는 스크립트인 크론(Cron)을 이용해 1분마다 소액씩 전자화폐 서비스에 송금시키는 방식도 이용한다. 이에 따라 러시아에 있는 한 은행은 1분에 200달러씩 인출이 됐다고 한다.

그 밖에 카바낙(Carbanak)이라는 사이버 범죄 그룹도 있다. 2013년부터 활동을 시작한 카바낙은 은행이나 특정 기업 재무부서를 대상으로 범죄를 일으킨다. 또 러시아 국내에만 머물지 않고 전 세계 기업을 대상으로 한다. 카바낙은 APT 피싱 도구를 이용해 사내 네트워크에 있는 PC를 악성코드에 감염시킨 다음 자체 개발한 악성코드를 설치한다. 일단 PC가 감염되면 카바낙은 시스템 관리자 권한으로 네트워크에 접근할 수 있게 된다. 은행 계좌에서 돈을 빼내거나 기업 소유자 정보를 바꾸기도 한다. 카바낙은 국제 범죄 단체로 러시아와 중국, 우크라이나와 유럽 국가 등에 피해가 발생하고 있다.

카스퍼스키랩은 은행 같은 금융기관 종사자들이 피해를 당하지 않으려면 피싱에 신경을 써야 하며 소프트웨어 업데이트를 게을리 하지 말 것을 권한다. 이런 방법이 악성코드의 공격 대6상이 되지 않는 방법이라는 설명이다. 관련 내용은 이곳에서 확인할 수 있다.

이원영 IT칼럼니스트  b612@glasspad.co.kr

<저작권자 © 테크홀릭, 무단 전재 및 재배포 금지>