안랩, “위장 이메일로 악성코드 유포 ‘거래정보 등 탈취’”
“출처 불명 메일, 첨부파일 결코 열지 말 것” 당부
[중소기업투데이 조민혁 기자] 최근 구인과 채용 공고로 위장한 이메일을 통해 개인정보 유출 악성코드가 널리 유포되어 주의가 요구되 있다. 보안업체 안랩에 따르면 공격자는 악성 메일에 ‘Team Lead (팀장)’라는 발신자 이름과 ‘Our Team Job Invitation (팀원 채용 제안)’이라는 제목을 사용한다. 메일 본문은 ‘우리의 채용 제안을 첨부했다(Hello, our invitation is attached to this message)’는 내용으로 첨부파일 실행을 유도하곤 한다.
특히 공격자는 첨부파일 압축해제 암호를 함께 기재하며 수신인만을 위한 메일인 것처럼 ‘당신의 개인 비밀번호(Your personal password)’라는 문구를 사용해 메일 수신자의 의심을 피하는 수법을 쓰고 있어 주의가 필요하다. 수신자가 무심코 비밀번호를 입력해 압축 파일을 해제하고 워드 파일을 실행하면 ‘편집사용(Enabling editing) 버튼을 누르라’는 내용의 워드 문서가 열린다. 그러나 문서가 실행되는 순간, 정보탈취형 악성코드에 감염되고 마는 것이다.
안랩에 따르면 또 최근엔 미국의 유명 은행인 BOA(Bank of America)의 ‘입금 확인 요청’ 자동 메일로 위장해 원격제어 악성코드를 유포하는 사례도 발견되고 있다.
공격자는 BOA의 자동발송 메일로 위장하기 위해 메일 주소에 ‘donot_reply(회신 금지)’를 쓰고 BOA의 이름을 사용한 악성 엑셀 파일을 첨부하는 수법을 쓴다. 메일 본문에는 “당신의 계좌에 $9849가 전자자금이체(EFT, Electronic Fund Transfer) 방식으로 지급됐다. 자동 발송 메일이니 회신하지 말고 첨부파일을 확인하라”면서 첨부파일 실행을 유도한다.
사용자가 무심코 첨부된 악성 엑셀 파일을 실행하면 매크로 실행을 유도하는 내용의 문서 파일이 열린다. 해당 파일 상단에는 ‘매크로를 사용할 수 없도록 설정했습니다’라는 안내창과 매크로 설치를 권유하는 ‘콘텐츠 사용’ 버튼이 나타난다.
사용자가 무심코 콘텐츠 사용 버튼을 클릭하면 공격자의 명령에 따라 키보드 입력 기록, 웹 브라우저 내에 저장된 사용자 계정 정보 등을 탈취할 수 있는 원격제어 도구인 ‘Remcos RAT’ 악성코드가 설치된다. 특히 공격자는 악성 파일을 직접 실행하는 방식이 아니라 문서의 매크로 기능을 악용해 사용자 PC의 정상 프로세스에 악성 스크립트 등을 삽입하는 ‘파일 리스’ 방식으로 백신의 파일 기반 탐지 우회를 시도한다.
안랩 측은 “악성코드에 감염되면 인터넷 브라우저에 저장된 사용자 계정 정보, FTP (File Transfer Protocol, 파일전송프로토콜) 설정 정보 등 감염 PC 내 다양한 정보가 유출될 수 있다.”며 “현재 V3 제품군은 이런 악성코드를 진단하고 있다”고 안내했다.
안랩에 따르면 악성코드 피해를 예방하기 위해서는 ▲출처가 불분명한 메일의 첨부파일 실행 금지 ▲발신자가 신뢰할 수 있는 사람이나 조직의 이름이더라도 메일주소 재확인 ▲최신 버전 백신 사용 등 기본적인 보안 수칙을 지켜야한다. “특히 사용자의 의심을 피하고자 유명기업이나 기관을 사칭하는 경우가 많아, 사용자는 평소 첨부파일이나 해당 파일 내 매크로 기능을 실행하지 않는 것이 좋다”고 충고한다.