악성코드, 기업 겨냥한 표적형 공격이 '대세'

송고 2017.04.11 00:00 | 수정 2017.04.10 23:48
김언한 기자 (unhankim@ebn.co.kr)

'이력서'·'근로계약서'등 맞춤형 타깃 공격 주의

사용자 정보 가로채는 악성코드 심어

악성코드를 감추고 있는 이력서 파일 이미지.ⓒ하우리

악성코드 유포에 표적형 방식이 이용되고 있어 각별한 주의가 요구된다. '근로계약서', '이력서' 등으로 위장해 기업 관계자로부터 클릭될 확률을 높인다. 문서 열람 시 악성코드를 심어 사용자 주요 정보를 빼돌린다.

11일 관련업계에 따르면, 유창한 한국어를 이용한 악성코드 유포 공격이 기승을 부린다. 문서의 주제에 맞는 기업 관계자를 타깃으로 삼아 맞춤형 공격을 시도한다.

최근에는 상반기 채용 시즌에 맞게 이력서로 위장한 공격이 다수 발견됐다. 국내 유명 채용사이트에서 발송된 메일인 것처럼 속여 교묘히 꾀는 수법이다. 공고 제목에 '단순 해피콜', '대출신청 내역 확인 안내 상담원 모집' 등 문구를 넣어 신뢰를 높였다.

지원서 제목에는 '성실한 일꾼-귀사에 입사 지원합니다'라고 명시해 의심을 덜어냈다. 반명함판 사진, 주소, 학력, 경력사항도 입력했다. 하우리에 따르면, 이력서 파일은 채용사이트로 연결되는 것처럼 링크를 통해 다운로드된다.

파일을 클릭할 경우 정상 워드문서로 작성된 이력서 파일을 실행, 정상인 것처럼 사용자를 속인다. 하지만 백그라운드로 악성코드가 동작한다.

그 뒤 사용자 시스템에 설치된 브라우저 종류에 따라 접속한 사이트나 저장된 비밀번호를 가로챈다. 네이트온 메신저의 사용자 정보도 획득한다. 사용자 키보드 입력 값도 저장한 뒤 공격자 서버로 전송한다.

장준영 하우리 보안대응팀 팀장은 “매년 봄철 채용 시즌에 이력서를 위장한 악성코드가 많이 발견된다”며 “메일 내용을 유심히 확인하고 공고한 채용 내용과 일치하는지 꼼꼼하게 확인할 필요가 있다”고 당부했다.

근로계약서로 위장한 악성 이메일도 활개를 친다. ‘근로계약서를 보내드립니다’라는 이메일 제목으로 전달된다.

'근로계약서.hwp'와 '실행예산변경.hwp' 파일명의 한글문서 파일이 첨부돼있다. 근로계약서 문서는 취업장소, 취업직종, 계약기간, 임금 등을 명시한 일반 계약서와 동일한 형태다. 하지만 문서를 열람하면 정보탈취 악성코드에 감염된다. PC 내 정보들이 외부로 전송된다.

유포된 한글문서는 취약점을 이용해 정상 프로그램인 '네트워크 셸(netsh.exe)' 프로그램을 실행한다. 그 뒤 국내의 한 병원 웹 서버에서 그림파일로 위장한 암호화된 정보탈취 악성코드를 추가 다운로드한다. 해당 프로세스의 메모리상에서 복호화해 동작시키는 방식이다.

이 악성코드는 감염된 PC의 정보 및 각종 정보들을 클라우드 서버로 전송하며 추가 악성코드 파일을 다운로드한다. 하우리에 따르면, 올해 초 '북한 신년사'를 주제로 유포된 한글문서 악성코드와 동일 제작자에 의해 제작된 것으로 추정됐다.

USD$	1378.5	▼1.5
EUR€	1470.5	▲1.4
JPY¥	892.0	▼0.5
CNY¥	190.2	▼0.2

악성코드, 기업 겨냥한 표적형 공격이 '대세'

관련기사

전체 댓글 0

매매기준율