금융 악성코드 드리덱스의 영리한 ‘위장’ 주의!

원자폭탄투하 기법 탑재에 한글 키보드 드라이버 프로그램으로 위장까지

[보안뉴스 원병철 기자] 최근 북한으로 의심되는 다양한 금융관련 공격이 늘고 있는 가운데, 금융 악성코드가 새로운 기법으로 강화하는 것은 물론 위장까지 하는 것으로 밝혀져 충격을 주고 있다.

금융 악성코드인 드리덱스(Dridex)가 원자폭탄투하(AtomBombing, 이하 원자폭탄) 기법을 탑재해 점점 강해지는 한편, 자신을 숨기기 위해 한글 키보드 드라이버 프로그램으로 위장한 것이 밝혀진 것. 드리덱스의 강화와 위장을 발견한 순천향대 사이버보안연구센터(센터장 염흥열 교수)는 공격자가 한글 키보드로 위장한 것은 잠재적으로 한국 사용자들도 공격 대상으로 보는 것으로 추정된다고 분석했다.

2014년 처음 발견된 드리덱스는 악성 워드파일(.DOC)이 첨부된 스팸 메일을 통해 유포된다. 스팸메일을 수신한 이용자가 스팸메일의 첨부 파일을 열게 되면, 악성코드가 이용자 컴퓨터에 설치되게 된다. 이 악성코드는 다시 원자폭탄 기법을 활용해 정상적인 응용 프로세스에게 자신의 악성코드를 추가로 주입함으로써 보안 프로그램이 악성코드를 탐지하는 것을 매우 어렵게 만든다.

원자폭탄 기법은 16년 10월 사이버보안기업 엔실로(enSilo) 사에서 개발한 악성코드 주입 기술로, 주로 윈도우 2000부터 최신 윈도우 버전인 윈도우 10까지 영향을 받는 것으로 알려졌다.

이번 발견은 국내 최초로 원자폭탄 탑재형 드리덱스 악성코드를 분석해 동작 원리와 구조를 밝힌 것은 물론, 한글 키보드 드라이버(KO Hangeul Keyboard Layout Stub driver)로 위장하고 있다는 사실을 밝혀냄으로써, 국내 보안관련 기관·기업이 선제적 대응을 하는 데 도움이 될 것으로 기대된다.

센터 장성욱 연구원은 “이번 센터의 발견은 이러한 악성코드의 공격대상이 국내 금융 이용자로도 확대될 수 있어서 국내 사이버보안 대응 기관의 각별한 주의와 신속한 조치가 필요하다”면서, “이용자는 출처가 불분명한 파일이나 이메일 열람을 자제하고 응용 프로그램과 보안 프로그램을 최신으로 유지할 필요가 있다”라고 말했다.
[원병철 기자(boanone@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)