불법 도박 하려다 RAT 악성코드 감염된다

불법 도박 관련 파일로 위장한 RAT 악성코드, 개인정보유출 및 키로깅 등 위협
공격자 베놈 RAT·판도라 hVNC 등 다양한 악성코드 사용

[보안뉴스 박은주 기자] 불법 도박 관련 파일로 위장한 RAT 악성코드가 유포되고 있다. 바로가기(Lik) 파일을 통해 퍼지고 있는데, 지난 1월 카카오 인증서로 위장해 악성코드를 유포한 베놈(Venom) RAT 악성코드 유포 방식과 동일하다.

[이미지=ASEC]

RAT 악성코드는 바로가기 파일을 통해 HTML 응용 코드인 HTA에서 다운로드 된다. 해당 바로가기 파일에는 악성 파워쉘 명령어가 포함돼 있고, MSHTA를 실행해 악성 스크립트를 내려받는다.

▲악성코드 동작과정[자료=ASEC]

안랩 시큐리티 인텔리전스 센터(ASEC)의 분석에 따르면 바로가기 파일에 포함된 악성 URL은 다음과 같다.

-hxxp://193.***.***[.]253:7287/2.hta.hta
-hxxp://193.***.***[.]253:7287/.hta
-hxxp://85.209.176[.]158:7287/6.hta

▲불법 도박 베팅과 관련한 방법이 저장된 percent.xlsm 파일[이미지=ASEC]

이중 첫 번째 URL에는 VBS 코드가 존재한다. VBS 코드 내부에는 정상 문서 파일과 RAT 악성코드를 내려받는 파워쉘 명령어가 난독화돼 있다. 파워쉘 명령어는 실행 시 특정 주소에서 엑셀 문서를 내려받는다. 문서는 ‘%APPDATA%’ 폴더에 percent.xlsm 파일(이하 엑셀 파일)로 저장된다. 엑셀 파일은 불법 도박 베팅과 관련한 방법이 저장돼 있다. 관련 사용자를 대상으로 유포되는 것으로 예상된다.

▲악성 URL에서 확인된 추가 파일 목록[이미지=ASEC]

이후 추가 실행 파일을 내려받아 ‘%APPDATA%’ 폴더에 darkss.exe로 저장된다. 저장된 실행 파일은 베놈 RAT 악성코드로 키로깅 및 사용자 정보를 유출할 뿐만 아니라, 공격자로부터 명령을 받아 다양한 악성 행위를 수행할 수 있다.

또한 공격자는 다양한 종류의 RAT 악성코드를 사용하고 있다. 악성 파일 외에 다양한 HTA 스크립트와 디코이 문서 파일, 악성 실행 파일이 포함돼 있다. 추가로 확인된 디코이 문서 역시 불법 도박 사이트 관련 정보를 포함하고 있으며, 심지어 일부 사용자의 개인정보가 담겨 있다. 이중 악성 실행 파일인 ‘Darksoft111.exe’와 ‘Pandora_cryptered.exe’는 각각 베놈 RAT과 판도라(Pandora) hVNC 악성코드로 확인됐다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)