cyren 2013년 인터넷 위협 보고서_국문

Copyright ⓒJiransoft Co., Ltd. www.cyren.co.kr | [email protected]

인터넷 위협 분석 보고서

2013년 리뷰와 2014년 전망

• 2014년 Commtouch의 사명이 CYREN으로 변경되었습니다.

인터넷 위협 분석 보고서 서문

서문

Copyright ⓒJiransoft Co., Ltd.

02

www.cyren.co.kr | [email protected]

2013년 리뷰와 2014년 전망

2013년은 세간의 이목을 끈 여러가지 보안사고가

발생하면서 IT보안 벤더와 기업 보안관리자에게는

매우 도전적인 한해 였습니다.

2013년 CYREN GlobalView™ Cloud는 4조건 이상의

보안 위협 트랜잭션을 분석하여 우리의 보안 환경에

대한 “숨겨진 위협”을 알려주는 통찰력을 제시했으며

이러한 데이터에서 우리는 여러가지 고무적인 특징을

확인 할 수 있습니다.

사이버 범죄는 일상 생활에 감춰진 거대한 비즈니스

이며 다른 일반적인 기업과 마찬가지로 사이버 범죄

자도 막대한 투자 수익(ROI)를 기대합니다.

2013년 CYREN은 사이버 범죄자들의 여러가지 기법의

상당수를 무력화 해서 사이버 범죄자들의 ROI에

막대한 손실을 주는 데 성공했다고 말할 수 있습니다.

이런 맥락에서 스팸메일에 대해 살펴보겠습니다.

모든 이메일 트래픽의 72%가 여전히 원치 않는 광고

이지만 전반적으로 보면 스팸메일의 양은 전년보다

줄어 들었습니다. 이는 스팸메일을 발송하는 봇넷이

추적되고 다양한 보안솔루션이 도입이 되면서 무력화

되었기 때문입니다.

이로 인해 사이버 범죄자는 대체 네트워크를 구축하기

위해 첨부파일 대신에 URL 링크를 첨부 하여

악성코드를 배포하는 등, 다양한 기법으로 악성코드

확산을 위한 새로운 기법을 고안해야 했습니다.

사이버 범죄자들이 이런 기법을 고안해야 하는 이유는

스팸메일은 경제성이 매우 낮아서 스패머가 연결하는

수백만대의 컴퓨터를 불법적으로 봇넷에 가담시켜야만

ROI를 실현할 수 있기 때문입니다.

우리는 또한 악성코드 배포의 타겟이 시장 보급율 측면

에서 스마트폰과 태블릿PC로 이동하고 있다는 것을

알 수 있습니다.

스마트폰과 태블릿PC는 데스크톱 컴퓨터보다 10배가

넘게 판매되고 있지만 상대적으로 보안 수준은 낮습니

다. 특히 스마트폰은 고전적인 스팸메일 배포를 능가하

는 수준의 수익을 창출할 수 있는 다양한 기회를 제공

하기 때문에 사이버 범죄자에게는 높은 수익성을

보장하는 새로운 자금원으로 인식되고 있습니다.

2013년은 데스크톱 보안수준 향상에 대응하기 위해서

“랜섬웨어”가 증가한 것으로 나타났습니다.

랜섬웨어에 감염이 되면 악성코드에 의해 컴퓨터가

잠기고 잠금해제를 위한 비용을 지불하지 않으면

데이터를 파과하겠다는 협박을 받게 됩니다.

이는 일반 사용자의 심리적인 측면에 대해서 범죄

기법에 통합하고 있다는 의미입니다.

인터넷 위협 분석 보고서 목차

목차

Android 악성코드 ………………………………….…... 04

모바일 악성코드 종합 ..………………………….…… 05

WEB 보안 …………….….…………………….……… 06/07

피싱 ……………………………………………….……... 08/09

2013년 인터넷 위협 통계 ……….…………….…… 10

바이러스 ……………..……..………………….…………… 11

스팸메일 …………….………………………………….…… 12

국가별 좀비 컴퓨터 ……………………………….…… 13

국가별 스팸메일 ……………...……………….………… 14

스팸메일 특징 ………………………………..…………... 15

2014년 전망 ……….…………………………….………… 16

제품소개 ………..………………..……………..…………… 17

CYREN 보안파트너 & 한국 총판㈜지란지교소프트

[email protected]

Lior kohaviChief Technology officer at CYREN

차형건㈜지란지교소프트 CYREN Security Manager


03

• 본 보고서는 글로벌 기준으로 작성이 되었으며 국내(대한민국) 현황과 일부 다를 수 있습니다.• 2014년 Commtouch의 사명이 CYREN으로 변경되었습니다.


CYREN GlobalView™ Security Lab에서는 사이버

범죄에 대항하는 혁신적인 보안 솔루션을 개발하기

위해 노력하고 있습니다.

2013년 CYREN은 검증된 스팸메일 차단 기술,

악성코드(바이러스) 탐지 기술, IP 평판기술, 모바일

보안 및 URL 필터링 기술을 통합하여 클라우드

기반의 새롭고 강력한 SaaS(Security-as-a-Service)

플랫폼에 통합했습니다.

이 기술의 첫 번째 응용 사례는 사용하는 장치와

위치에 관계없이 웹 기반 위협에서 사용자를

보호하는 Global WEB Security 서비스입니다.

2014년 CYREN은 봇넷의 활동을 탐지하고 네트워크

소유자가 자신의 네트워크를 확실히 파악할 수

있도록 APT(Advanced Persistent Threat) 방지 기능을

확대할 계획입니다.

2014년에도 사이버 범죄자들의 도전은 계속 있지만

CYREN과 한국의 파트너사인 지란지교소프트는

이들을 무력화하기 위해서 계속 노력하여 한국의

보안 벤더사는 본연의 비즈니스에 집중할 수 있도록

노력하겠습니다.

연락처 및 정보 ………………..……………..…………… 18

인터넷 위협 분석 보고서 Android 악성코드


신종 Android 악성코드

04

Android 신종 악성코드

5,7682013년 하반기1일 평균 신종발생 건수


스마트폰, 태블릿 PC등과 같은 고성능 모바일 기기가 점점

대중화 되면서 Android OS는 현재 약 8억대 기기에 설치되어

있습니다.

이러한 플랫폼을 타켓으로 하는 악성코드가 꾸준하게 증가하는

것을 볼 때 사이버범죄자는 막대한 수량의 Android 기기에

주목하고 있습니다.

Android가 악성코드의 플랫폼으로 관심이 집중되는 데는

보안적인 특정도 있지만 몇 가지 추가적인 요인이 있습니다.

첫째, 대부분의 기기가 WiFi 또는 모바일 네트워크를 통해 상시

연결의 특성을 지닌다는 것입니다.

이를 통해 사이버 범죄자는 원하는 대로 감염된 장치에 접근

할 수 있으며, 유선 네트워크로 연결된 PC처럼 악용할 수

있습니다.

둘째, 기기 사용자가 신용카드 정보를 다시 입력할 필요가 없는

내장형 결제 방식(일반적으로 구글플레이, 통신사, 제조사

앱스토어등.)을 꼽을 수 있습니다.

이러한 결제 방식은 위조된 앱 스토어 구매에 쉽게 악용될 수

있습니다.

셋째, 악성코드를 이용하여 프리미엄 SMS, MMS 및 통화를

통해 수익을 창출할 수 있습니다.

신종 Android 악성코드 건수

인터넷 위협 분석 보고서 모바일 악성코드 종합


05

랜섬웨어 (RansomWare)

악성코드 비율

1 AndroidOS/Plankton.A.gen!Eldorado

2013년 하반기 발견된악성코드 상위 5

2 AndroidOS/FakeDoc.H

3 AndroidOS/SMSreg.N

4 AndroidOS/AirPush.A.gen!Eldorado

5 AndroidOS/SMSreg.C.gen!Eldorado


SMSreg.N은 트로이 목마는 아니지만 보안 RISK로 분류 됩니다.

사용자가 SMS 문자를 보내는 특정 어플리케이션에서 제공하는

유료서비스(예를 들면 일일운세/성인정보)를 이용하기 위해서

사용자의 스마트폰에 어플리케이션을 다운로드 합니다.

대부분 사용자는 이러한 서비스에 대해서 요금이 부과된다는

약관을 읽지 않고 어플리케이션이 해당 유료서비스에 연결되는

것을 허용하도록 유도 합니다.

SMS 트로이 목마AndroidOS/Plankton.A.gen!Eldorado

Plankton은 Android OS의 백그라운드에서 실행되고 C&C서버인

“searchwebmobile.com”과 통신하는 서비스로 C&C서버의 명령을

기다립니다.

또한 사용자의 검색기록을 수집하고, 즐겨찾기, 홈페이지 및 바로

가기를 설정하며 백그라운드에서 다운로드 된 파일을 사용자의

기기에 설치 할 수 있습니다.

그리고 스마트폰의 중요한 정보인 IMEI, IMSI, OS정보, IP 주소를

수집하여 C&C에 보냅니다.

INFOSTEALERBackdoor AndroidOS/Plankton.A.gen

광고를 Android 기기의 알림 표시줄에 PUSH하는 AirPush SDK

악성코드로 해당 SDK가 설치된 게임이나 APP이 실행되지 않는

상태에서도 동작합니다.

ADWAREAndroidOS/AirPush.A.gen

랜섬웨어는 새로운 개념이 아닙니다. 다른 공격에서의 ROI가 하락하면서 2013년부터 랜섬웨어를 활용한 공격이 대폭

증가했습니다. 일반적으로 피해자에게는 잠긴 화면이 표시되고 신용 카드를 통한 직접 결제를 유도하거나 특정 번호로

전화를 걸어 결제 세부 정보를 넘겨줌으로써 결제를 유도하는 메시지가 표시됩니다.

결제를 하지 않으면 하드 드라이브의 데이터를 모두 파기한다는 협박 때문에 많은 피해자들이 수백 달러 가량의

＂잠금 해제 비용”을 지불합니다.

물론, 범죄자가 컴퓨터를 다시 잠그지 않는다는 보장이 없으므로 대부분의 사용자는 필요한 데이터만 백업후에

기기를 포맷하거나 초기화하게 됩니다.

인터넷 위협 분석 보고서 WEB 보안


06

악성코드에 감염된 홈페이지

악성코드 배포 URL

131%2013년 악성코드배포 URL 증가 비율

연간 악성코드 배포URL 증가 비율


2013년에 GlobalView™ Cloud 데이터베이스에서 추적된 악성코드

배포 URL은 131% 급등했습니다.

정기적으로 취약점 검사 및 업데이트를 하지 않는 웹사이트는

쉽게 해킹을 당해서 악성코드 배포 URL로 악용됩니다.

2013년 악성코드를 배포하는 URL을 분석한 데이터를 보면

가장 많은 웹사이트는 “교육”사이트 였습니다.

물론 여행, 포르노 사이트도 인기 있는 표적 (포르노 사이트는

의도적으로 악성코드를 숨길 수 있음) 이었으며 무료 홈페이지를

제공하는 웹사이트가 그 뒤를 이었습니다.

인터넷 위협 분석 보고서 WEB 보안


07

WEB Exploit Kits

2013년 글로벌 이슈

시리아 내전

2013년 9월CNN, BBC 뉴스로 위장한 가짜 홈페이지에서 악성코드 배포

교황 선출

2013년 3월가짜 교황 당선 결과와 아동학대 루머로악성코드 배포

로열 베이비

2013년 7월영국 왕족의 로열 베이비 탄생을 최초로공개하는 가짜 사진과 실시간 중계를가장한 악성코드 배포


CYREN은 2013년도에 플랫폼별 악성코드를 배포하는데 사용되는 Exploit Kit가 증가한것을 발견했습니다.

이런 기법은 사용자가 감염된 웹사이트를 방문하면 컴퓨터는 보이지 않는 스크립트(Invisible Script)에 의해서

컴퓨터가 검사되고 적합한 악성코드를 선택하여 설치 됩니다.

설치된 악성코드는 브라우저, OS, PDF리더등과 연관된 취약성을 악용 하게 됩니다.

사용자는 일반적으로 소셜 네트워킹 사이트나 숨겨진 링크가 포함

된 이메일을 통하여 이러한 위협에 노출됩니다.

악성코드 배포 URL로 사용자를 유인하기 위한 미끼로 시사문제가

점점 더 많이 이용되고 있습니다.

2013년의 인기 이슈는 교황선출, 영국 로열베이비, 시리아 내전이

많이 사용되었습니다.

이러한 이슈가 얼마나 빨리 전파되는지 확인하기 위해 CYREN이

분석한 결과를 보면 실제 뉴스 발생 기간과 사이버 범죄자에 의해

악용되는 시간의 간격은 평균 22시간이었습니다.

인터넷 위협 분석 보고서 피싱


08

2013년 피싱 증가율과피싱에 악용된 홈페이지


피싱에 악용된홈페이지 종류

2013년 피싱 URL

264%2013년 피싱 URL 증가 비율

2013년 GlobalView™ Cloud 데이터베이스에 추적된

“피싱 URL”의 수는 264% 증가했습니다.

가장 많이 악용된 홈페이지는 무료웹페이지, 교육, 스포츠,

컴퓨터&기술, 소규모 쇼핑 및 소기업사이트입니다.

인터넷 위협 분석 보고서 피싱


09


PayPal 사용자를 타겟으로매일 750개 이상의 새로운

피싱 사이트 생성

약 1억5천만명의 사용자가 등록되 있는 PayPal은

피싱 공격의 타겟으로 가장 많이 사용되고 있습니다.

PayPal 사용자를 타겟으로 하는 약 750개의 피싱사이트가

매일 생성되고 있으며 연간으로는 270,000개 이상의

PayPal 피싱 사이트가 새로 만들어 지고 있습니다.

새롭게 발견되는 피싱사이트는 CYREN의 GlobalView™

Cloud URL 데이터베이스에서 실시간 분류되고 있습니다.

인터넷 위협 분석 보고서 2013년 인터넷 위협 통계


10

2013년 인터넷 위협 통계

2013 스팸메일

780억

2013 이메일 바이러스

악성코드 감염 홈페이지

Android 신종 악성코드

2013년 신종 바이러스

1일 평균 스팸메일발생건수

2013 피싱 사이트

264% 연간 피싱 URL 증가율

17억1일 평균 이메일바이러스 발생건수 173,000

월 평균 신종 Android악성코드 발생건수

131%연간 악성코드 감염홈페이지 증가율 600만

월평균 신종바이러스 발생건수


인터넷 위협 분석 보고서 바이러스


11

바이러스 기간별 통계

바이러스 통계

2013 월별 최대 악성코드(바이러스)

72억 2월 한달간 72억건의바이러스 발생

2013 일별 악성코드(바이러스)

1.9억 1일 평균 바이러스발생건수


악성코드(바이러스)는 점점 더 특정한 국가에 맞게

진화하고 있습니다.

독일 이메일 사용자는 Deutsche Bahn 또는 Lufthansa의

위조된 항공권 티켓, 위조된 열차 예매권을 받는

한편, 미국인 사용자는 미국회사에서 위조된 상품권을

받거나 국세청에서 발급한 위조 세금 고지서 또는

경찰서에서 발급한 위조 속도위반 딱지를 받았습니다.

이로 인해 사이버범죄자의 익명계좌에 실제로 입금한

피해자들이 많이 발생했습니다.

www.cyren.co.kr

인터넷 위협 분석 보고서 스팸메일


12

스팸메일 기간별 통계

스팸메일 비율

2013 일별 스팸메일

780억1일 평균 스팸메일발생건수

세계적으로 스팸메일은 이메일 트래픽의 72%를 차지하고

있으며, 지난 2년간 추세를 보면 스팸메일 트래픽은 계속

감소하고 있습니다.

스팸메일은 감소하고 있는 추세지만 하루에 전송되는

스팸메일의 수는 여전히 많은 양을 차지하여 1일 평균

780억건에 이릅니다.

2013년 연말 무렵에는 하루에 전송되는 평균 스팸메일의

수가 570억건으로 하락하는 특징을 보였습니다.

인터넷 위협 분석 보고서 국가별 좀비 컴퓨터


13

2013년 좀비 컴퓨터 지도

좀비 감염 컴퓨터 상위 10대 국가

상위 10대 국가 - 분기별

1 분기 2 분기

3 분기 4 분기


인도는 2013년에 해킹된 좀비컴퓨터

수가 가장 많은 나라였습니다.

이러한 좀비컴퓨터는 스팸메일 전송,

악성코드(바이러스) 배포, DDOS공격에

많이 사용됩니다.

다른 상위 10대 좀비컴퓨터 보유 국가

들의 경우 봇넷 활동 기준으로 보면

거의 비슷한 감염 비율을 차지했습니다.

인터넷 위협 분석 보고서 국가별 스팸메일


14

2013년 국가별 스팸메일 지도모든 스팸메일의 50%는 상위 10개 국가에서 발생


상위 10대국가는 탐지된 스팸메일의 50%를 전송하고 있으며 특히 벨라루스, 미국 및 인도가 상위권을

차지하고 있습니다.

2013년 동유럽에서 집중적으로 스패머들이 대거 등장하면서 전통의 강호인 인도네시아, 한국, 베트남등의

아시아국가를 밀어내고 우위를 차지했습니다.

특히 서유럽 (이탈리아 및 스페인)에서 발행하는 스팸메일 및 악성코드가 증가하고 있어 우려를 낳고 있습니다.

인터넷 위협 분석 보고서 스팸메일 특징


15

2013년 스팸메일 특징

다이어트 스팸메일과 주식관련 스팸메일의 귀환


몇 년 동안 소강 상태이던 다이어트 제품 및 저가주식에 대한 스팸메일 광고가 다시 부활했습니다.

스패머는 이익을 가져다 주는 수법은 절대로 버리지 않으므로 2014년에는 그러한 활동이 증가할 것으로

예상됩니다.

인터넷 위협 분석 보고서 2014년 전망


16

2014년 보안이슈 전망


사람들의 일상에서 인터넷은 없어서는 안 되는 구성요소가 되어 감에 따라 사이버 범죄자는

보다 정밀한 공격을 창출할 기회를 확보할 것입니다.

보다 빠르고, 똑똑하며, 모바일화 된 바이러스, 트로이목마 및 스팸메일

동계 올림픽, 월드컵등의 스포츠 및 시사

이벤트와 관련된 스팸메일

글로벌 이벤트 및 국가별 이벤트는 악성코드

및 스팸메일 전송의 주요 도구로 사용됩니다.

사이버범죄자는 다양한 이벤트에서 일상적으로 사용하는

메일링 구조와 악성코드 첨부파일을 재활용하는 것을

여전히 선호하고 있습니다.

피싱

소셜 네트워크에 특별하게 최적화된 피싱 증가

소셜 네트워크 정보는 사이버범죄자들이 공격을

시도하기에 아주 좋은 정보를 가지고 있습니다.

짧고 심각한 악성코드(바이러스) 등장

악성코드로 공격하는 범죄자는 짧은 기회의

시간만 있다는 것을 알고 있습니다.

따라서 이벤트기간이 단축되지만 짧은 기간 내에

원하는 것을 얻기 위해서 매우 정밀한 공격을 시도합니다.

모바일 악성코드

대부분의 모바일 기기는 백신등

으로 보호되고 있지만 악성코드

개발자는 모바일 기기 보안의

취약점을 찾는 노력에 집중하고 있습니다.

이와 동시에 PC와 비교해서 모바일 기기에서

많이 사용하는 모바일 브라우저는 URL의

제한된 정보만을 표시하므로 모바일 웹서핑은

새로운 위험을 가져오게 됩니다.

추억의 기법

TEXT 기반의 스팸메일 또는

충격적인 이미지가 포함된 스팸

메일 기법이 다시 주목 받고 있습니다.

이러한 현상은 여전히 기존 안티스팸 솔루션의

필터링을 무력화 하여 수신자에게 전달하는데

효과적인 방법이기 때문입니다.

모바일 악성코드

Android는 여전한 주요 타겟

현지화

보다 맞춤화된 스팸메일

WEB Exploit Kits

지하시장의 확대

인터넷 위협 분석 보고서 제품소개


17

CYREN 보안 엔진 소개

Anti-Virus SDK

Anti-Spam SDK

WEB Security SDK

Mobile Security SDK

* 2014년 Commtouch의 사명이 CYREN으로 변경되었습니다.


CYREN Anti-Virus SDK는 새로운 Zero-Hour 위협에 대해 광범위한 보호를 제공합니다.

보안 벤더사는 낮은 메모리, 스토리지 및 대역폭 사용과 함께 빠르고 안정적인 탐지기능으로

업계최고의 성능을 경험할 수 있습니다.

CYREN Anti-Spam SDK 기술은 현존하는 업계 최고의 이메일 보호 서비스를 제공하고 있으며

이미 많은 보안벤더들에 의해서 증명이 되었습니다.

어떤 규모의 고객이라도 요구사항에 맞게 안티스팸 기능 적용과 확장이 가능합니다.

GlobalView™ Cloud를 기반으로 하며 모든 규모의 보안 제품에 실시간 배포하도록 설계된

CYREN WEB Security SDK 기술입니다. 수억건의 URL 데이터베이스를 기반으로 웹기반의 위협으로

부터 고객을 안전하게 보호 할수 있는 유연성을 제공하여 다양한 보안제품에 적용할 수 있습니다.

보안 벤더사를 위해서 특별하게 설계된 Mobile Security SDK는 강력한 안티바이러스 및 웹보안

기능을 탑재하여 MDM/MAM, 보안 APP, 유해차단 APP, 통신사 및 단말기 제조업체에

광범위하게 사용 가능합니다.

상세정보 : http://[email protected]

언제나 위협 보다 앞선 보호를 실현 합니다.

CYREN의 실시간 보안 인텔리전스 및 실시간 데이터 분석을 통해 귀사 제품의 비즈니스 역량을 강화하세요.

자세한 내용은 CYREN 한국 홈페이지 www.cyren.co.kr 방문해 주세요.

■ ㈜지란지교소프트는 CYREN 보안파트너 & 한국총판입니다.

■ 2014년 Commtouch 사명이 CYREN으로 변경되었습니다.

인터넷 위협 분석 보고서 연락처 및 정보


18


연락처

㈜ 지란지교소프트

주소 : 서울시 강남구 대치동 신사제2빌딩 5층

전화 : 02-2006-6990

팩스 : 02-425-6107

이메일 : [email protected]

출처

CYREN 인터넷 위협 분석 보고서용으로 분석된

모든 데이터는 CYREN GlobalView™ Cloud Infrastructure

에서 추출한 자료입니다.

© 2014 CYREN Ltd. All rights reserved. CYREN,

Recurrent Pattern Detection, RPD 및 GlobalView는

상표이며 Eleven, Authentium, F-Prot, Command

Antivirus 및 Command Anti-malware는 CYREN의 등록

상표입니다.

미국 특허 번호 6,330,590은 CYREN이 소유하고 있습니다.

기타 모든 상표는 해당 소유자의 재산입니다.

이 보고서에는 당사 비즈니스에 대한 보호를 포함하여

미래 예측 진술이 포함되어 있으며 이는 1933년 증권법의

27A항과 1934년 증권거래법 21E항에 언급된 정의에 따른

것입니다.

미래 시제로 된 진술과 "예상", "계획", "예측", "기대",

"생각" 등의 단어를 포함하는 진술은 미래 예측 진술입니다.

이러한 진술은 보고서 작성 당시 당사에 제공된 정보를

기반으로 합니다.

CYREN은 연례 보고서의 내용을 업데이트해야 할 의무가

없습니다. 이 연례 보고서의 내용은 미래의 결과를

보장하지 않으며 실제 결과는 다양한 요인으로 인해

CYREN의 현재 예상과는 다를 수 있습니다.

그러한 요인으로는 비즈니스 상황, 인터넷 보안 시장의

확대 또는 후퇴, 기술 개발, 경쟁업체에서 제공하는 제품,

역량 있는 직원의 가용성, 기술적 어려움, 신제품 개발

과정에서 발생하는 리소스 제약을 비롯하여 회사의 20-F

양식 연간 보고서 및 6-K 양식 보고서에 설명된 위험 등이

있습니다. 그러한 보고서는 www.sec.gov에서 확인할 수

있습니다.

cyren 2013년 인터넷 위협 보고서_국문

Documents