동영상 편집본 확인 요청, 학술행사 참석 여부 등 이메일 회신으로 악성코드 유포
교묘한 방식이라도 첨부파일 및 URL 주의하기, 백신 사용하기 등 기본 보안수칙으로 피해 예방 가능
[보안뉴스 이상우 기자] 최근 업무메일 회신으로 악성코드를 유포하는 사례가 등장해 사용자 주의가 필요하다. 공격자는 공적조서 송부, 동영상 편집본 확인 요청, 학술 행사안내 등 주제의 업무관련 메일을 미리 수집했다. 이후 해당 메일을 발송한 사용자를 타깃팅해 악성 엑셀파일이 담긴 압축파일을 첨부해 회신 메일을 보냈다. 특히, 공격자는 회신에 정보공개 협박 및 업무 요청을 기재해 사용자의 첨부파일 실행을 유도했다.
안랩이 이번에 발견한 악성 메일은 총 3종류다. △먼저 공격자는 특정 사용자가 표창 발급을 위해 발송한 공적조서 메일에 대한 회신으로 ‘당신의 상사에게 이 메일을 보여줄까?’라며 ‘정보가 공개되기 전에 첨부파일을 확인하라’는 협박성 내용을 기재했다. △또, 다른 사용자가 보낸 동영상 편집본 확인 요청 메일에 ‘모든 데이터를 직접 확인하면 좋겠다, 파일을 첨부했다’는 내용으로 회신하기도 했으며 △이외에 공격자는 특정 단체가 발송한 학술행사 안내 메일에 대한 회신으로 ‘일주일 전에 확인하라고 요청한 내용이 있다. 파일을 복사했으니 확인하라’는 내용을 보내 악성 첨부파일 실행을 유도하기도 했다.
3종류 모두 악성코드 동작 방식은 동일하다. 만약 사용자가 무심코 해당 회신 메일의 첨부파일을 내려받아 악성 엑셀파일을 실행하면 ‘내용을 보기 위해 콘텐츠 사용 버튼을 클릭하라’는 메시지가 등장한다. 사용자가 메시지에 속아 화면 상단의 ‘콘텐츠 사용’ 버튼을 클릭할 경우 매크로를 통해 악성코드를 실행한다. 이후 악성코드는 명령제어(C&C) 서버에 접속해 랜섬웨어, 정보유출 악성코드 등을 추가로 내려받는다. 현재 안랩 V3 제품군은 해당 악성코드를 진단하고 있다.
이와 같은 악성코드 피해를 줄이기 위해서는 △출처가 불분명한 메일의 첨부파일·URL 실행금지 △백신 최신버전 유지 및 실시간 감시 기능 실행 △파일 실행 전 최신 버전 백신으로 검사 △운영체제 및 웹 브라우저(IE, 크롬, 파이어폭스 등), 오피스 SW 최신 보안 패치 적용 등 기본적인 보안 수칙을 준수해야 한다.
안랩 분석팀 장서준 주임연구원은 “이번 사례는 공격자가 다양한 방법으로 사용자가 보낸 메일을 수집해 해당 메일의 회신으로 악성코드 유포를 시도한 것이 특징”이라며, “직접 보낸 메일에 대한 회신이기 때문에 사용자들이 의심하지 않고 피해를 당할 수 있어 이를 예방하기 위해서는 출처가 불분명한 메일이나 첨부파일 등은 실행하지 말아야 한다”고 말했다.
[이상우 기자(boan@boannews.com)]
교묘한 방식이라도 첨부파일 및 URL 주의하기, 백신 사용하기 등 기본 보안수칙으로 피해 예방 가능
[보안뉴스 이상우 기자] 최근 업무메일 회신으로 악성코드를 유포하는 사례가 등장해 사용자 주의가 필요하다. 공격자는 공적조서 송부, 동영상 편집본 확인 요청, 학술 행사안내 등 주제의 업무관련 메일을 미리 수집했다. 이후 해당 메일을 발송한 사용자를 타깃팅해 악성 엑셀파일이 담긴 압축파일을 첨부해 회신 메일을 보냈다. 특히, 공격자는 회신에 정보공개 협박 및 업무 요청을 기재해 사용자의 첨부파일 실행을 유도했다.
▲악성 메일 유형[자료=안랩]
안랩이 이번에 발견한 악성 메일은 총 3종류다. △먼저 공격자는 특정 사용자가 표창 발급을 위해 발송한 공적조서 메일에 대한 회신으로 ‘당신의 상사에게 이 메일을 보여줄까?’라며 ‘정보가 공개되기 전에 첨부파일을 확인하라’는 협박성 내용을 기재했다. △또, 다른 사용자가 보낸 동영상 편집본 확인 요청 메일에 ‘모든 데이터를 직접 확인하면 좋겠다, 파일을 첨부했다’는 내용으로 회신하기도 했으며 △이외에 공격자는 특정 단체가 발송한 학술행사 안내 메일에 대한 회신으로 ‘일주일 전에 확인하라고 요청한 내용이 있다. 파일을 복사했으니 확인하라’는 내용을 보내 악성 첨부파일 실행을 유도하기도 했다.
3종류 모두 악성코드 동작 방식은 동일하다. 만약 사용자가 무심코 해당 회신 메일의 첨부파일을 내려받아 악성 엑셀파일을 실행하면 ‘내용을 보기 위해 콘텐츠 사용 버튼을 클릭하라’는 메시지가 등장한다. 사용자가 메시지에 속아 화면 상단의 ‘콘텐츠 사용’ 버튼을 클릭할 경우 매크로를 통해 악성코드를 실행한다. 이후 악성코드는 명령제어(C&C) 서버에 접속해 랜섬웨어, 정보유출 악성코드 등을 추가로 내려받는다. 현재 안랩 V3 제품군은 해당 악성코드를 진단하고 있다.
이와 같은 악성코드 피해를 줄이기 위해서는 △출처가 불분명한 메일의 첨부파일·URL 실행금지 △백신 최신버전 유지 및 실시간 감시 기능 실행 △파일 실행 전 최신 버전 백신으로 검사 △운영체제 및 웹 브라우저(IE, 크롬, 파이어폭스 등), 오피스 SW 최신 보안 패치 적용 등 기본적인 보안 수칙을 준수해야 한다.
안랩 분석팀 장서준 주임연구원은 “이번 사례는 공격자가 다양한 방법으로 사용자가 보낸 메일을 수집해 해당 메일의 회신으로 악성코드 유포를 시도한 것이 특징”이라며, “직접 보낸 메일에 대한 회신이기 때문에 사용자들이 의심하지 않고 피해를 당할 수 있어 이를 예방하기 위해서는 출처가 불분명한 메일이나 첨부파일 등은 실행하지 말아야 한다”고 말했다.
[이상우 기자(boan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
이상우기자 기사보기
[2024-04-23] 
.jpg)
.jpg)
