Home > 전체기사

매크로 시트 이용한 악성 엑셀, 메일 통해 또 다시 국내 유포

  |  입력 : 2021-11-08 01:26
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기 네이버 블로그 보내기
SquirrelWaffle, Qakbot 비롯한 다양한 악성코드 유포에도 사용돼
안랩 ASEC “유사 파일명으로 대량 유포되는 정황 확인...메일 첨부파일 실행 주의”


[보안뉴스 권 준 기자] 최근 매크로 시트(Excel 4.0 Macro)를 이용한 악성 엑셀 문서가 피싱 메일을 통해 국내에 다수 유포 중인 것으로 드러났다. 안랩 ASEC 분석팀에 따르면 매크로 시트를 이용한 방식은 악성코드 유포자가 자주 사용하는 방식으로, SquirrelWaffle, Qakbot을 비롯한 다양한 악성코드 유포에도 사용된 이력이 존재하는 것으로 분석됐다.

▲국내에 다수 유포되고 있는 악성 엑셀 매크로 파일[이미지=안랩 ASEC 분석팀]


매크로 시트를 활용한 악성코드는 유사한 형식의 파일명으로 최근 다량 유포하는 정황이 확인됐다는 게 ASEC 분석팀의 설명이다. 대부분의 파일명은 △biz-106093825.xls △recital-1105217019.xls △miss-1360738092.xls 등과 같이 ‘짧은영단어-[0-9]{7,10}’의 형태를 띄는 것으로 확인됐다. ASEC 분석팀에서 확보한 파일들 중 일부는 다음과 같다.

biz-10682809.xls
biz-108566842.xls
recital-1105217019.xls
miss-1601179456.xls
proto-1643065415.xls
miss-1360738092.xls
record-1844987577.xls
record-16733321.xls


최초 엑셀 파일을 실행했을 때에는 숨긴 시트가 확인되며, 숨겨진 시트들에는 흰색의 텍스트로 분산 은닉되어 있는 데이터가 존재하는 것으로 드러났다. 숨겨진 시트에 분산 은닉되어 있는 매크로 코드를 분석해보면 URLDownloadToFileA 함수를 이용해 시트에 존재하는 외부 URL로 접근해 추가 악성코드를 ‘C:\Datop\test.test’의 파일명으로 지정해서 내려받도록 했는데, 이는 regsvr32.exe를 이용해 실행하기 위한 목적으로 보인다는 게 안랩 ASEC 분석팀의 설명이다.

▲흰색 글씨로 분산 은닉되어 있는 매크로 코드[이미지=안랩 ASEC 분석팀]


현재는 다운로드가 되지 않기 때문에 매크로 실행 시 오류가 발생하지만, 안랩 ASEC 분석팀에서 확보한 ‘test.test’ 유형의 파일은 뱅킹 악성코드의 일종인 Qakbot인 것으로 확인됐다. 만약 외부 URL과의 연결이 유효해 정상적으로 추가 악성코드가 내려받아 진다면, 윈도우 정상 프로세스인 explorer.exe를 실행해 쉘코드를 인젝션힌 후, 추가 악성 행위를 수행하는 것으로 추정된다. Qakbot 악성코드는 기본적인 실행 지속성을 위해 작업 스케쥴러를 수정하는 행위와 명령제어(C&C) 서버에 대한 POST Connection도 확인됐다.

또한, 감염된 시스템에 대해 수집한 정보를 POST 커넥션을 통해 C&C에 전송하게 되는데, OS 버전 및 비트 수, 사용자 이름, 컴퓨터 이름을 비롯한 일반 시스템 정보 외에도 시스템 유틸리티 명령어를 통해서도 정보를 수집하는 것으로 드러났다.

안랩 ASEC 분석팀은 “다수의 유사 파일명으로 대량 유포되는 정황이 확인된 관계로, 사용자들은 출처를 알 수 없는 의심스러운 메일을 수신했을 경우 첨부 파일을 실행하는 것은 지양해야 한다”며, “또한, 사용하고 있는 백신을 항상 최신 버전으로 업데이트할 필요가 있다”고 당부했다.
[권 준 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기 네이버 블로그 보내기

  •  SNS에서도 보안뉴스를 받아보세요!! 
아스트론시큐리티 파워비즈 2023년2월23일 시작 시큐아이 위즈디엔에스 2018
설문조사
오픈AI가 개발한 인공지능 챗봇 챗GPT가 GPT4 버전까지 나오면서 디지털 혁신의 촉매재 역할을 하고 있습니다. 보안 분야에서도 챗GPT로 인해 보안위협이 가속화될 것이라는 전망과 함께 보안업무에 효과적으로 활용된다면 보안대응 역량 향상에도 크게 기여할 것이라는 의견도 제기됩니다. 이에 대한 여러분들의 생각은 어떠신가요?
챗GPT 악용으로 인해 보안위협이 더욱 고도화되고 증가할 것
챗GPT를 악용하는데 한계가 있어 보안위협이 소폭 늘어나는 추세에 그칠 것
챗GPT 활용에 따라 보안대응 업무에 적지 않은 도움이 될 것
챗GPT의 적극적인 도입 및 적용 통해 보안대응 역량이 획기적으로 향상될 것
보안위협 또는 보안대응과 관련해서는 큰 영향이 없을 것
기타(댓글로)