최근 이메일을 통한 악성코드 유포방법이 다양하게 나타나고 있는 가운데 이번엔 안철수연구소(대표 김홍선 http://www.ahnlab.com/)가 마이크로소프트 아웃룩 업데이트 메일로 위장한 악성코드가 국내로 유입되는 것을 포착하는 한편 신용카드 결제 메일로 위장한 악성코드가 해외에서 발견됐다고 밝혀 주의가 필요하겠다.
▲지난 23일 22시경 안철수연구소는 MS아웃룩 업데이트 사칭 악성코드 메일이 처음으로 국내에 유입되는 것을 탐지했다.
안철수연구소에 따르면 최근 MS 아웃룩 업데이트 메일로 위장한 악성코드는 지난 23일 22시경에 처음으로 국내에 유입되는 것이 탐지됐으며, 월드페이(WorldPay) 신용카드 결제 메일로 위장한 악성코드 역시 한국시각으로 23일 새벽에 해외에서 발견됐다.
MS 아웃룩 업데이트 메일로 위장한 것은 이메일 제목이 ‘Critical Update for Microsoft Outlook’, ‘Install Update for Microsoft Outlook’, ‘Microsoft Outlook Critical Update’, ‘Update for Microsoft Outlook’, ‘Microsoft has released an update for Microsoft Outlook’ 등이며, 본문은 ‘MS 아웃룩 및 아웃룩 익스프레스의 업데이트를 위해 officexp-KB910721-FullFile-ENU.exe 파일을 실행하라’는 내용이다.
문제의 officexp-KB910721-FullFile-ENU.exe 파일은 ‘제트봇’ 변형(Win-Trojan/Zbot.81920.C)으로 특정 인터넷 사이트에서 다른 악성코드를 내려받는 증상이 있다. 처음에는 officexp-KB910721-FullFile-ENU.exe 파일이 이메일에 첨부되어 유포됐으나, 최근에는 해당 파일을 다운로드할 웹사이트 URL이 링크돼 유포된다. 이 웹사이트는 악의적인 iframe 코드가 삽입돼 사용자 PC에 취약점이 있는 경우 이를 이용해서 악성코드를 설치하기도 한다.
또한 신용카드 결제 메일로 위장한 악성코드는 이메일 제목이 ‘WorldPay CARD transaction Confirmation’이며 Worldpay_NR9772.zip 파일이 첨부돼 있다. 이 파일의 압축을 풀면 Worldpay_NR9772.exe 등의 파일이 생성된다. Worldpay_NR9772.exe 파일 또한 ‘제트봇’ 변형(Win-Trojan/Zbot.88576.D)이다.
사용자는 이런 수상한 이메일을 받으면 즉시 삭제해야 한다. 더욱이 MS사에서는 업데이트 관련해 개별 메일을 발송하지 않고 윈도우 보안센터와 보안 업데이트 사이트에 공지하므로 유의해야 한다. 또한 V3 365 클리닉이나 V3 Lite와 같은 유·무료 백신프로그램으로 ‘제트봇’ 악성코드를 진단·치료하면 된다. 아울러 실시간 감시를 켜두는 것이 중요하다.
한편 조시행 안철수연구소 시큐리티대응센터 상무는 “대부분은 이와 같이 영문으로 된 이메일은 안 열어보지만 업무상 영어를 많이 쓰는 기업에서는 열어보는 경우가 많은 만큼 주의가 필요하다”고 말한 뒤 “이는 유명 업체를 사칭해 이메일을 보내 악성코드를 유포하는 전형적인 수법이다. 사용자는 신뢰하기 어려운 첨부 파일을 함부로 열지 말고 통합보안 백신의 최신 버전 유지 및 실시간 감시 기능 사용을 생활화해야 한다”고 강조했다.
[김정완 기자(boan3@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김정완기자 기사보기
[2024-04-18] 
.jpg)
