영문으로 작성된 메일에는 코로나 바이러스와 중국 현황 담겨 있어...첨부파일 열면 악성파일 감염돼
[보안뉴스 원병철 기자] 최근 신종 코로나바이러스 이슈를 악용한 각종 피싱 메일이 전 세계적으로 유포되고 있다. 지난 2월 3일에도 미국, 영국, 일본 등에서 코로나 바이러스 관련 피싱 공격이 발견된 바 있다. 코로나 바이러스 피싱 메일은 주로 CDC(Centers for Disease Control and prevention) 혹은 바이러스 연구학자를 사칭해 피싱 메일을 유포하는 지역의 새로운 감염 사례에 대해 경고하고 ‘안전조치’를 제공하는 형태로 첨부파일 혹은 첨부문서를 열어보도록 사용자들을 현혹시키고 있다.
이스트시큐리티 시큐리티대응센터(ESRC)는 이번에 한국에서 새롭게 확인된 악성 메일도 마찬가지 형태라고 설명하면서, 메일 제목이 ‘Coronavirus Update: China Operations’라고 되어 있어 신종 코로나바이러스에 대한 메일 수신자들의 관심과 염려를 악용하고 있다고 지적했다.
메일 본문 내용은 특정 회사가 현재 신종 코로나바이러스와 관련된 중국 내 상황을 간략히 언급하고, 해당 회사가 이러한 상황을 맞이하여 어떻게 대응하고 있는지, 그리고 중국 이외의 다른 나라의 공장에 연락하는 방법을 포함해 생산일정이 재개되는 일정은 첨부파일을 확인하라는 형태로 사용자로 하여금 첨부파일을 열도록 유도한다. 따라서 메일 수신자가 추가적으로 궁금한 내용 확인을 위해 첨부파일을 열어보게 되면, 악성코드에 감염된다.
악성메일에 첨부된 첨부파일 ‘Factory Contacts and Office Resumption.pif’는 정상 프로세스 ‘Regasm.exe’에 Nanocore 페이로드를 다운로드하는 코드를 인젝션시키고 이를 실행한다. 인젝션되어 실행되는 Regasm.exe는 구글 드라이브에서 인코딩된 페이로드를 다운로드 및 디코딩해서 실행한다.
최종적으로 ‘Regasm.exe’에서 실행되는 페이로드는 닷넷으로 제작된 Nanocore로 C&C 서버와 통신하여 키로깅, 원격제어 등의 가능한 백도어 기능을 수행하게 된다. 키로깅 데이터는 ‘C:\Users\[사용자 계정]\AppData\Roaming\ F1EFF6A8-B2D5-442A-974C-7B7D1F4E11E6\Logs\[사용자 계정]’ 경로안 ‘KB_[임의의 숫자 7자리].dat’ 파일에 키로깅 데이터가 저장된다.
2월 7일 오전 현재까지 한글로 작성된 신종 코로나 관련 피싱 메일을 포함한 악성 메일은 확인되지 않고 있다. 하지만 이미 해외에서 여러 차례 신종 코로나 이슈를 활용한 악성 메일 유포가 확인된 만큼 한글로 작성된 국내 사용자 타깃 공격은 언제라도 발생할 수 있기 때문에 사용자들은 출처가 불분명한 신종 코로나 관련 메일 수신 시 열람에 주의를 기울여야 한다고 ESRC는 강조했다.
한편, 알약에서는 해당 악성코드에 대해 Backdoor.RAT.MSIL.NanoCore로 대응 중에 있으며, ESRC는 신종 코로나를 사칭하는 피싱 캠페인 및 악성 메일 유포에 대한 집중 모니터링을 진행하고 있다고 설명했다.
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 최근 신종 코로나바이러스 이슈를 악용한 각종 피싱 메일이 전 세계적으로 유포되고 있다. 지난 2월 3일에도 미국, 영국, 일본 등에서 코로나 바이러스 관련 피싱 공격이 발견된 바 있다. 코로나 바이러스 피싱 메일은 주로 CDC(Centers for Disease Control and prevention) 혹은 바이러스 연구학자를 사칭해 피싱 메일을 유포하는 지역의 새로운 감염 사례에 대해 경고하고 ‘안전조치’를 제공하는 형태로 첨부파일 혹은 첨부문서를 열어보도록 사용자들을 현혹시키고 있다.
▲신종 코로나바이러스 사칭 피싱 메일[자료=ESRC]
이스트시큐리티 시큐리티대응센터(ESRC)는 이번에 한국에서 새롭게 확인된 악성 메일도 마찬가지 형태라고 설명하면서, 메일 제목이 ‘Coronavirus Update: China Operations’라고 되어 있어 신종 코로나바이러스에 대한 메일 수신자들의 관심과 염려를 악용하고 있다고 지적했다.
메일 본문 내용은 특정 회사가 현재 신종 코로나바이러스와 관련된 중국 내 상황을 간략히 언급하고, 해당 회사가 이러한 상황을 맞이하여 어떻게 대응하고 있는지, 그리고 중국 이외의 다른 나라의 공장에 연락하는 방법을 포함해 생산일정이 재개되는 일정은 첨부파일을 확인하라는 형태로 사용자로 하여금 첨부파일을 열도록 유도한다. 따라서 메일 수신자가 추가적으로 궁금한 내용 확인을 위해 첨부파일을 열어보게 되면, 악성코드에 감염된다.
▲다운로드 기능의 코드[자료=ESRC]
악성메일에 첨부된 첨부파일 ‘Factory Contacts and Office Resumption.pif’는 정상 프로세스 ‘Regasm.exe’에 Nanocore 페이로드를 다운로드하는 코드를 인젝션시키고 이를 실행한다. 인젝션되어 실행되는 Regasm.exe는 구글 드라이브에서 인코딩된 페이로드를 다운로드 및 디코딩해서 실행한다.
▲구글 드라이브 업로더 정보[자료=ESRC]
2월 7일 오전 현재까지 한글로 작성된 신종 코로나 관련 피싱 메일을 포함한 악성 메일은 확인되지 않고 있다. 하지만 이미 해외에서 여러 차례 신종 코로나 이슈를 활용한 악성 메일 유포가 확인된 만큼 한글로 작성된 국내 사용자 타깃 공격은 언제라도 발생할 수 있기 때문에 사용자들은 출처가 불분명한 신종 코로나 관련 메일 수신 시 열람에 주의를 기울여야 한다고 ESRC는 강조했다.
한편, 알약에서는 해당 악성코드에 대해 Backdoor.RAT.MSIL.NanoCore로 대응 중에 있으며, ESRC는 신종 코로나를 사칭하는 피싱 캠페인 및 악성 메일 유포에 대한 집중 모니터링을 진행하고 있다고 설명했다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
.jpg)
.jpg)
