무역 거래 위장 메일로 유포되는 악성코드 주의보

‘첨부된 상품 및 배송비 견적 확인해달라’며 첨부파일 실행 유도
첨부파일 실행 후 ‘매크로 포함’ 버튼 클릭하면 정보유출 악성코드 등 감염

[보안뉴스 이상우 기자] 무역 거래 관련 내용으로 위장한 메일 속 첨부파일을 이용해 악성코드를 유포하는 사례가 발견됐다. 공격자는 파워포인트 매크로 기능을 이용해 사용자를 악성 사이트로 강제로 연결시키며, 해당 사이트 접속 시 정보 유출 및 각종 악성행위를 수행하는 악성코드가 설치된다.

▲무역 거래 관련 내용으로 위장한 악성 메일 화면[자료=안랩]

공격자는 먼저 인도네시아어로 ‘가격 정보를 부탁드립니다(Mohon Info Harga)’라는 제목으로 메일을 보냈다. 본문에도 인도네시아어로 ‘첨부된 상품 및 배송비 견적을 확인해달라(Mohon di bantu penawaran harga untuk dan ongkos kirim barang seperti terlampir di bawah ini)’며 첨부파일 실행을 유도했다. 첨부된 파일은 MS 파워포인트에서 실행 가능한 PPAM 파일(.ppam)이다. PPAM 파일은 사용자 정의 매크로 및 VBA(비주얼 베이직 애플리케이션)코드 등 특수기능을 저장한 파워포인트 확장자다.

첨부 파일을 실행하면 ‘Microsoft PowerPoint 보안알림’ 창이 나타난다. 사용자가 무심코 ‘매크로 포함’ 버튼을 누를 경우 파일에 포함된 악성 매크로가 작동하며 악성코드가 포함된 웹 사이트로 연결(리다이렉션)된다. 사용자가 이 웹페이지에 접속만 해도 사용자 정보유출, 추가 악성코드 다운로드 등의 악성행위를 수행하는 악성코드를 내려받는다.

악성코드 피해를 예방하기 위해서는 △출처가 불분명한 메일의 첨부파일 실행 금지 △발신자가 신뢰할 수 있는 사람이나 조직의 이름이더라도 메일주소 재확인 △출처 불분명한 문서 파일의 ‘콘텐츠 사용’ 또는 ‘매크로 포함’ 버튼 클릭 자제 △최신 버전 백신 사용 등 기본적인 보안수칙을 지켜야 한다.

안랩 분석팀 장서준 주임연구원은 “7월 말부터 업무 관련 메일에 파워포인트 형식의 파일을 첨부해 악성코드를 유포하는 사례가 지속적으로 발견되고 있다”며, “특히 무역 분야 종사자의 경우 외국어로 된 업무 메일을 일상적으로 접하기 때문에 발신자와 메일 주소를 재확인하는 등 더욱 철저한 주의가 필요하다”고 말했다.
[이상우 기자(boan@boannews.com)]

SK텔레콤 해킹 사태로 최근 잇슈가 되고 있는 ‘BPF도어’ 관련, 어떤 솔루션을 사용중인가요?
	안랩 V3 Net for Linux
	소만사 Server-i
	파이오링크 점검 도구
	잉카인터넷 전용 백신
	트렌드 마이크로 백신
	기타 국산(솔루션명은 댓글로)
	기타 외산(솔루션명은 댓글로)
	사용하지 않는다