레드아이즈 악성코드, 한컴 오피스 문서파일로 위장해 유포

정상파일로 보이기 위해 AppData 경로에 onedrivenew 폴더 생성
60분마다 접속하도록 작업 스케줄러 등록...홈페이지 타깃 공격 웹쉘로 확인

[보안뉴스 김영명 기자] 한컴 오피스 문서파일로 위장한 레드아이즈(RedEyes) 악성코드가 유포되고 있는 정황이 확인되고 있다. 해당 악성코드 이름은 ‘누가, 무엇이 세계를 위협하는가(칼럼).exe’이며, 공격자는 한컴 오피스 문서파일로 사용자를 속이기 위해 아이콘을 한컴 오피스 파일과 유사한 형태로 제작됐다. 해당 파일은 압축파일로 돼 있으며, 압축을 해제하면 36,466,238바이트로 비교적 용량이 큰 파일이다.

[이미지=gettyimagesbank]

안랩 ASEC 분석팀(이하 ASEC)은 자체 EDR의 증적 자료를 통해 이와 같은 공격 기법에 대한 탐지가 가능하며, 관련 침해사고 조사에 필요한 데이터를 확인했다. 전체적인 실행 흐름 다이어그램을 보면 악성코드가 실행돼 어떤 프로세스를 사용하는지 한눈에 확인할 수 있다.

악성코드의 주요 증적 데이터를 살펴보면, 악성코드는 정상파일처럼 보이기 위해 AppData 경로에 onedrivenew라는 폴더를 생성하고, onedrivenew.exe라는 파일명으로 자가 복제하는 증적이 확인 가능하다. 또한, 악성코드가 실행된 경로와 동일한 경로에 동일한 파일명의 정상 한컴 오피스 파일을 생성하고 실행하는 증적을 확인할 수 있다. 악성코드는 마이크로소프트 윈도(Windows)의 정상 프로세스인 mstsc.exe에 인젝션돼 실행되며, 원본 파일은 cmd 명령어를 이용해 삭제한다.

▲윈도 정상 프로세스 mstsc.exe의 증적 데이터[자료=안랩 ASEC 분석팀]

악성코드가 인젝션돼 실행되는 윈도 정상 프로세스 mstsc.exe의 증적 데이터를 보면, 악성코드는 시스템이 재부팅되더라도 자동으로 실행되기 위해 Run 하위에 onedrivenew라는 이름으로 악성코드 파일을 등록한다. 그 이후 schtasks.exe 명령어를 이용해 OneDriveOp 이름으로 특정 URL에 60분마다 윈도 정상 파일인 mshta.exe를 이용해 접속하도록 작업 스케줄러에 등록한다.

작업 스케줄러에 등록된 URL은 정상 홈페이지이지만, 웹쉘이 삽입돼 있다. 삽입된 웹쉘은 ‘특정 홈페이지 제작업체가 제작한 홈페이지 타깃 공격(Red Eyes, APT37)’ 사례와 동일한 웹쉘로 확인됐다.

ASEC 관계자는 “타깃 공격을 일반 사용자가 대응하기엔 어려운 측면들이 있다”며 “이러한 위협에 대해 노출되더라도 증적 자료 분석을 통해 대응이 가능하다”고 밝혔다.
[김영명 기자(boan@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)