안랩(대표 강석균)은 최근 법 위반 통지를 빌미로 정보탈취형 악성코드(인포스틸러)를 유포하는 지능형 피싱 메일을 다수 발견하고, 개인 및 기업 사용자의 주의를 당부했다.
이번 피싱 공격은 사용자의 심리를 파고드는 사회공학적 기법과 교묘한 악성코드 위장 기술을 복합적으로 활용한 것이 특징이다.
안랩이 공개한 사례에서 공격자는 국내 법무법인을 사칭해 저작권 소유자인 모 기업의 법률 대리인으로서 수신자의 저작권 침해 행위에 대해 통지한다는 내용의 메일을 발송했다(보충자료 1 참조).
공격자는 경찰로부터 수집된 문서.pdf라는 문구에 URL을 삽입해 첨부파일처럼 위장하고, 침해 증거 자료를 첨부한다는 내용을 적어 사용자의 클릭을 유도했다. 해당 자료는 분쟁 및 법적 절차에서 증거로 사용된다는 설명을 덧붙여 수신자에게 심리적 압박을 가했다.
첨부파일로 위장한 문구를 클릭하면, 실행 파일(.exe)과 DLL(*) 파일 등이 포함된 압축 파일(.zip)이 다운로드 된다. 실행 파일의 경우, 파일명에 .pdf를 삽입해 사용자가 해당 파일의 실제 확장자인 .exe를 인식하기 어렵게 했다.
*DLL(Dynamic Link Library, 동적 링크 라이브러리): 윈도우에서 여러 프로그램이 공통적으로 사용하는 공유 라이브러리
사용자가 무심코 문서 파일로 위장한 실행 파일을 클릭하면, 동일한 경로에 위치한 악성 DLL 파일이 함께 실행되어 인포스틸러가 작동한다. 이러한 유형의 악성코드는 계정정보, 금융정보, 키보드 입력값, 화면 캡처 등 감염 PC 내 다양한 정보를 탈취해 공격자 서버로 전송한다.
피싱 메일로 인한 피해를 예방하기 위해서는 출처가 불분명한 메일 속 첨부파일 및 URL 실행 금지, URL 접속 시 기업 및 서비스의 공식 사이트 주소와 비교, PC, OS(운영체제), SW, 인터넷 브라우저 등에 대한 최신 보안 패치 적용, 백신 실시간 감시 기능 실행, 계정 별 다른 비밀번호 설정 등 기본 보안 수칙을 지켜야 한다.
안랩은 차세대 위협 인텔리전스 플랫폼 안랩 TIP에서 이번 사례를 포함한 다양한 피싱 공격 동향과 보안 권고문, 침해지표(IoC) 등을 제공 중이다. 또한, V3 제품군과 샌드박스 기반 지능형 위협 (APT) 대응 솔루션 안랩 MDS는 피싱 사이트로 연결되는 URL에 대한 탐지 및 실행 차단 기능을 지원한다.
|
