뉴트리노 원격제어봇 악성코드 유포...감염 주의

최신 웹브라우저 취약점(CVE-2018-8174) 이용해 유포 중

[보안뉴스 김경애 기자] 최신 웹브라우저 취약점을 이용한 ‘뉴트리노’ 원격제어봇 악성코드가 국내에 유포되고 있어 국내 인터넷 이용자들의 주의가 필요하다.

▲명령제어 서버와의 통신을 위해 사용되는 악성코드의 인증키

보안전문기업 하우리(대표 김희천)는 “이번에 발견된 뉴트리노(Neutrino) 원격제어봇은 악성코드 유포 도구인 그랜드소프트(GrandSoft) 익스플로잇킷을 이용해 최신 웹브라우저 취약점인 “CVE-2018-8174” 취약점으로 7월 15일경부터 국내에 유포됐다”며 “보안에 취약한 일반 사용자들은 특정 웹사이트에 접속하는 것만으로도 해당 악성코드에 감염될 수 있다”고 밝혔다.

악성코드에 감염되면 공격자가 마련한 명령제어 서버로 연결을 시도한다. 총 세 개의 명령제어 서버의 주소가 하드코딩 되어있으며, 그 중 연결이 가능한 서버를 사용하여 통신을 시작한다.

악성코드가 명령제어 서버와 통신에 사용하는 인증키는 ‘bc00595440e801f8a5d2a2ad13b9791b’이며, 이는 MD5 해시 값으로 ‘just for fun’을 의미한다. 모든 통신은 ‘베이스64(Base64)’ 인코딩 방식으로 인코딩되어 이루어진다.

▲명령제어 서버로부터 명령을 전달받아 악성행위를 수행하는 코드

원격제어봇 악성코드는 명령제어 서버로부터 공격자의 명령을 전달받아 수행한다. 전달받는 명령에는 현재 화면의 스크린샷 전송, 추가 악성 명령어 실행, 파일 삭제 등이 있기 때문에 감염자의 PC는 공격자에 의해 원격제어될 수 있다.

해당 악성코드는 가상 환경에서는 실행되지 않으며, 악성코드 분석 도구 등이 실행 중이면 작동하지 않는 등 악성코드 분석과 탐지를 방해하는 기능도 가지고 있다. 또한, 실행 시 윈도우 임시폴더에 자기 자신을 숨김파일 형태로 복제해 저장한다.

하우리 보안연구센터는 “한동안 사라졌던 ‘뉴트리노’ 원격제어봇 악성코드가 그랜드소프트 익스플로잇킷과 함께 돌아왔다”라며, “인터넷 사용자들은 웹브라우저를 최신 버전으로 업데이트해 감염을 예방할 수 있다”고 밝혔다.
[김경애 기자(boan3@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)