이호스트IDC, P2P 사이트 감염을 통한 DDoS 상황 발생 경과 보고

3.4대란 DDoS 상황보고서



▶ 개요

오전 10시부터 청와대와 외교통상부, 국가정보원 등 국가기관과 금융기관, 포털 사이트 등 주요 인터넷기업 웹사이트에 대한 분산서비스거부(디도스:DDoS) 공격이 발생

 

▶ 예상 원인

1.     P2P 사이트를 통한 악성코드 배포

-       아래 P2P 사이트를 해킹해 악성코드를 삽입해 유포

-       유포경로 : 셰어박스, 슈퍼다운

-       유포시각 : 3월 3일 07시~09시로 추정

▶ 공격 시작

1.     오전 10시부터 국내 40개 웹사이트를 대상으로 디도스 공격이 발생하고 있으며 이날 오후 6시 30분 추가 공격이 예정

2.     공격 사이트 : 총 40 사이트

URL	기관	URL	기관
naver.com	네이버	navy.mil.kr	해군본부
daum.net	다음	usfk.mil	주한미군
auction.co.kr	옥션	dema.mil.kr	국방홍보원
hangame.com	한게임	kunsan.af..mil	제8전투비행단
dcinside.com	디씨인사이드	kcc.go.kr	방송통신위원회
gmarket.co.kr	지마켓	mopas.go.kr	행정안전부
cwd.go.kr	청와대	kisa.or.kr	한국인터넷진흥원
mofat.go.kr	외교통상부	ahnlab.com	안철수연구소
nis.go.kr	국가정보원	fsc.go.kr	금융위원회
unikorea.go.kr	통일부	kbstar.com	국민은행
assembly.go.kr	국회	wooribank..com	우리은행
korea.go.kr	국가대표포털	hanabank.com.	하나은행
dapa.go.kr	방위산업청	keb.co.kr	외환은행
police.go..kr	경찰청	shinhan.com	신한은행
nts.go.kr	국세청	jeilbank.co.kr	제일은행
customs.go.kr	관세청	nonghyup.com	농협
mnd.mil.kr	국방부	kiwoom.com	키움증권
jcs.mil.kr	합동참모본부	daishin.co.kr	대신증권
army.mil.kr	육군본부	korail.com	한국철도공사
airforce.mil.kr	공군본부	khnp.co.kr	한국수력원자력㈜

 

3.     공격 파일

ntcm63.dll SBUpdate.exe  ntds50.dll watcsvc.dll soetsvc.dll  mopxsvc.dll  SBUpdate.exe

- Raw Data 확인 내용

 

- 감염 후 Hosts파일변조를 통한 V3, 알약 업데이트 방해

127.0.0.1       explicitupdate.alyac.co.kr                  127.0.0.1       gms.ahnlab.com                  127.0.0.1       ko-kr.albn.altools.com                  127.0.0.1       ko-kr.alupdatealyac.altools.com                  127.0.0.1       su.ahnlab.com                  127.0.0.1       su3.ahnlab.com                  127.0.0.1       update.ahnlab.com                  127.0.0.1       ahnlab.nefficient.co.kr

                                                                                                      출처 : SK통합보안센터 

본 상황보고서는 ehostIDC와의 전략적 보안 제휴협력관계로 제공된 보안문서입니다.

 http://www.ehostidc.co.kr  /  그린 사이버 테러 대응센터