네이버 전자세금계산서를 위장한 피싱 메일 주의!

 

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다.

네이버 전자세금계산서를 위장한 악성메일이 발견되어 사용자들의 주의가 필요합니다. 

 

 

[그림 1] 네이버 전자세금계산서를 사칭하여 유포중인 피싱 메일

 

이번에 발견된 악성 메일은 네이버에서 발급한 전자 세금 계산서를 위장하고 있습니다. 공격자는 발신자 이메일 주소 도메인을 navercorp.com으로 만들어 수신자로 하여금 진짜 naver로 온걸로 착각하도록 유도합니다. 또한 보안메일을 첨부파일 형식으로 발송한다는 내용으로 사용자들의 첨부파일 실행을 유도합니다. 

 

 

[그림 2] 피싱 메일에 첨부되어 있는 압축파일 

압축파일 내에는 pdf 파일을 위장한 실행파일(.exe) 파일이 포함되어 있습니다. 

만약, 사용자가 해당 파일을 pdf 파일로 착각하여 실행한다면 악성코드가 실행됩니다. 

악성코드가 실행되면 사용자 PC 정보와 함께 웹 브라우저, 메일 클라이언트, FTP 프로그램 등에 저장해 놓은 사용자 계정 및 비밀번호를 수집합니다. 
 

 

[그림 3] 정보 수집 함수들

 

[그림 4] 수집 프로그램 설치 유무를 위해 레지스트리 검색 화면

 

사용자 PC에서 수집된 정보들은 공격자의 C&C 서버(hxxp://185.227.139.18/dsaicosaicasdi.php/Gi4uJRts3jTJM)로 전송됩니다.

 

 

[그림 5] 생성된 전송 데이터

 

C&C서버 정보

hxxp://185.227.139.18/dsaicosaicasdi.php/Gi4uJRts3jTJM

현재 알약에서는  해당 악성코드에 대해 Spyware.Lokibot으로 탐지중에 있습니다.