Cribinst.exe 악성코드 분석 보고서
1. 분석 정보
1.1. 개요
Cribinst.exe 파일은 기타 금융권 악성파일과 동일하게 hosts 파일을 변조하고 인터넷 접속 시 가짜 금융권 사이트로 연결되어 개인정보 입력을 유도한다.다만, 기존의 금융권 악성파일과는 다르게 화면을 캡쳐하여 저장하는 기능이 추가되었다.
1.2. 동작
Cribinst.exe 파일 실행 시 C:\ 하위에 '1b'이란 파일을 생성한다. 확장자가 없는 '1b' 파일은 .bmp파일 포맷을 가지며. 해당 파일을 확인하면 악성코드에 의해 PC 실행화면 중 일부가 캡처된 이미지 파일임을 알 수 있다.
[그림] 악성코드에 의해 캡처된 PC 실행화면
또한, C:\windows\system32\drivers\etc\hosts, hosts.ics 파일을 변조/생성하고 해당파일 및 자기자신의 속성을 숨김으로 변경한다.
112.***.***.189 www.naver.kr 37719 112.***.***.189 www.naver.com 14348 112.***.***.189 www.gmarket.com 33008 112.***.***.189 www.nate.com 35436 112.***.***.189 www.daum.net 29235 112.***.***.189 www.hanmail.net 23192 112.***.***.189 www.11st.com 20835 112.***.***.189 www.auction.com 27534 112.***.***.189 www.11st.co.kr 20136 112.***.***.189 www.zum.co.kr 39815 112.***.***.189 www.coupang.com 39041 112.***.***.189 www.coupang.co.kr 28081 112.***.***.189 www.kbstar.com 13840 112.***.***.189 www.shinhan.com 27474 112.***.***.189 www.ibk.co.kr 30154 112.***.***.189 www.wooribank.com 21812 112.***.***.189 www.keb.co.kr 37884 112.***.***.189 www.hanabank.com 30680 --- 이하 생략 |
112.***.***.189 www.kbstar.com.pc 30946 112.***.***.189 www.nonghyup.com.pc 15935 112.***.***.189 www.shinhan.com.pc 11981 112.***.***.189 www.ibk.co.kr.pc 38113 112.***.***.189 www.wooribank.com.pc 34739 112.***.***.189 www.keb.co.kr.pc 17570 112.***.***.189 www.hanabank.com.pc 25484 112.***.***.189 www.kfcc.co.kr.pc 18147 112.***.***.189 www.epostbank.go.kr.pc 28003 112.***.***.189 www.citibank.co.kr.pc 15007 112.***.***.189 www.standardchartered.co.kr.pc 13495 112.***.***.189 www.kdb.co.kr.pc 26867 112.***.***.189 www.busanbank.co.kr.pc 30240 112.***.***.189 www.dgb.co.kr.pc 29405 112.***.***.189 www.kjbank.com.pc 22326 112.***.***.189 www.knbank.co.kr.pc 35908 112.***.***.189 www.suhyup-bank.com.pc 39342 112.***.***.189 www.cu.co.kr.pc 26680 --- 이하 생략 |
[표] 변조된 hosts, hosts.ics 파일 내용
변조된 내용에 따라 사용자가 포털 사이트, 쇼핑몰 사이트, 은행권 사이트에 접속을 시도 할 경우 가짜 페이지로 연결된다.
가짜 페이지는 진짜인 것처럼 위장하고 있으나, 실제 포털 사이트의 화면을 캡쳐한 이미지를 사용하여 생성한 페이지로 금융감독원 팝업창 외에는 클릭이 되지 않는다.
[그림] 가짜 포털 사이트
팝업창의 은행 로고를 선택하면 가짜 금융권 사이트로 연결되며, 모든 메뉴 선택 시 “보다 안전한 서비스 이용을 위하여 추가 인증이 필요합니다” 팝업과 함께 전자금융사기예방서비스 페이지로 연결된다. 해당 페이지에서는 사용자의 이름, 주민번호, 계좌 관련 정보, 보안카드 정보 등 개인정보의 입력을 유도한다.
사용자의 시작 페이지 옵션을 특정 포털사이트로 변경하여 사용자가 인터넷 접속 시 가짜 사이트로 접속되도록 하며, 레지스트리에 등록하여 윈도우 재시작 시마다 자동실행 된다.
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main] "Start Page"="www.n****.com" |
[표] 시작페이지 변경 레지스트리
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "fBpj7595"="C:\\Documents and Settings\\Administrator\\바탕 화면\\Cribinst.exe" |
[표] 자동 실행 레지스트리
2. 결론
Cribinst.exe 는 대체로 기존의 금융권 악성파일과 유사한 동작을 한다. 다만, 동작화면을 캡처하여 저장하는 기능이 추가되어 추가적인 정보유출의 우려가 있어 주의가 필요하다.
Cribinst.exe 는 잉카인터넷 보안솔루션 nProtect Anti-Virus/Spyware 로 진단 및 치료가 가능하다.
[그림] nProtect Anti-Virus/Spyware V4.0 악성코드 검사 화면
[그림] nProtect Anti-Virus/Spyware V3.0 악성코드 검사 화면