‘방산·군 관계자 신상까지 포함한 악성파일 등장!’ 문서파일로 둔갑한 악성파일 감염 주의

‘방산·군 관계자 신상까지 포함한 악성파일 등장!’ 문서파일로 둔갑한 악성파일 감염 주의

안녕하세요. 이스트시큐리티입니다.

최근 방산, 군 관계자의 실명까지 포함된 악성 이메일이 유포되고 있어 사이버 보안 위협이 증가하고 있습니다.

 

▲ 정상 문서 파일 위장한 스피어피싱 공격 공격 흐름도

정상적인 문서파일로 위장해 사용자 PC를 좀비로 만드는 악성 이메일이 국내에 지속적으로 유포되고 있어, 사용자 여러분들의 각별한 주의가 필요합니다.

이번 사이버공격은 지난 몇 해간 꾸준히 출현해 왔던 악성파일 유포 방식과 형태는 동일하지만, 국방, 언론, 기업 분야 등에 소속된 관계자 실명이 적힌 동호회 명부나 항공우주포럼 관련 문서 등 국가 안보와 직접 연관성이 있는 것으로 보이는 문서 파일을 첨부해 사용자가 파일을 열람하도록 유도하는 특징을 가지고 있습니다.

이스트시큐리티 시큐리티대응센터는 “이메일을 통해 악성 파일을 유포하는 방식은 매우 고전적인 공격 수법이지만, 이번 공격의 경우 시스템의 보안 취약점이 아닌 사람의 심리를 교묘히 노리는 사회 공학적 기법의 사이버 공격인 점에 주목해야 한다”며, “특히 이러한 공격은 특정 공격 목표만을 집중적으로 노리는 스피어피싱의 형태를 많이 띄며, 공격 대상자와 관련된 업무 정보 등으로 위장한 메일을 발송해 의심 없이 첨부파일을 열람하도록 유도한다”고 설명했습니다.

▲ ‘동호회 명부’로 위장한 악성파일 실행 화면

최근 발견되는 스피어피싱 메일의 첨부파일은 윈도우 기본 폴더 옵션을 악용해, 악성 파일의 ‘*.EXE’ 확장자 앞에 문서 파일 확장자(PDF, PPT, HWP)를 붙여 실제 확장자를 교묘히 숨기고 파일 탐색기에서는 마치 정상적인 문서로 보이게 하는 방식을 사용하고 있습니다. 또한 악성 파일을 실행하면 정상적인 문서 내용도 함께 보여주도록 만들어, 사용자가 악성 파일에 감염된 사실조차 인지하지 못하도록 합니다.

▲ ‘항공우주전략 운영위’ 문서로 위장한 악성파일 실행 화면

이번에 포착된 공격 역시 특정 공문서나 민감한 개인 신상정보를 담고 있는 PDF 문서 파일을 위장한 악성 파일이 첨부되어 있습니다.

이 파일을 실행할 경우 임시폴더(Temp) 경로에 ‘conhost.exe’ 이름의 추가 악성 파일을 몰래 생성하고 사용자에게는 정상적인 문서가 보여집니다. 감염된 PC는 좀비로 전락해 미상의 사이버 공격자로부터 다양한 명령을 내려받아 수행할 수 있습니다.

특히 공격에 활용된 파일에 적힌 국방, 언론, 기업 분야 소속 관계자의 개인정보와 인터넷상의 공개 정보를 비교해 본 결과, 실제 존재하는 유명인의 신상 정보가 도용된 것으로 보여집니다. 이에 따라 관련 종사자들이 악성파일에 감염될 경우 중요한 정보가 무단으로 유출되는 피해를 입을 수 있을 것으로 우려됩니다.

현재 알약에서는 이번 피싱 공격에 사용된 악성 파일을 ‘Trojan.Dropper.217800’ 이름으로 탐지 및 치료하고 있습니다.