안랩, 업무 관련 회신 메일 악성코드 유포 '주의'

[아이뉴스24 최은정 기자] 동영상 편집본 확인 요청 등 업무와 관련된 회신 메일로 악성코드를 유포하는 사례가 발견됐다.

안랩(대표 강석균)은 최근 각종 주제의 업무 메일에 대한 회신으로 악성코드를 유포하는 사례를 발견했다며 1일 사용자 주의를 당부했다.

공격자는 공적조서 송부, 동영상 편집본 확인 요청, 학술 행사 안내 등 주제의 업무 관련 메일을 미리 수집했다. 이후 각 메일의 발송자를 대상으로 악성 엑셀 파일(.xlsm)이 담긴 압축파일을 첨부해 회신했다. 메일 회신 시 공격자는 정보 공개, 업무 요청 등 내용을 기재해 첨부파일 실행을 유도했다는 게 회사 측 설명이다.

이번에 발견한 악성 메일은 총 세 종류다. 먼저 특정 사용자가 표창 발급을 위해 발송한 공적조서 메일 관련, 공격자는 '당신의 상사에게 이 메일을 보여줄까?'라며 '정보가 공개되기 전에 첨부파일을 확인하라'는 협박성 내용을 기재했다.

또 동영상 편집본 확인 요청 메일에는 '모든 데이터를 직접 확인하면 좋겠다, 파일을 첨부했다'는 내용으로 회신하기도 했다. 이외에 공격자는 특정 단체가 발송한 학술 행사 안내 메일에 대한 회신으로 '일주일 전에 확인하라고 요청한 내용이 있다, 파일을 복사했으니 확인하라'는 내용을 보내 악성 첨부파일 실행을 유도했다.

회사 측에 따르면 해당 세 경우 모두 악성코드 동작 방식은 동일하다. 만약 사용자가 첨부 파일을 다운로드하고 악성 엑셀 파일을 실행하면 '콘텐츠 사용 버튼을 클릭'을 위한 메시지가 등장한다.

사용자가 이를 클릭할 경우 악성코드에 감염되는 식이다. 이후 악성코드는 명령제어(C&C) 서버에 접속해 랜섬웨어, 정보 유출 악성코드 등을 추가 다운로드할 수 있다. 현재 안랩 백신(V3) 제품군은 해당 악성코드를 진단하고 있다.

장서준 안랩 분석팀 주임연구원은 "이번 사례는 공격자가 다양한 방법으로 사용자가 보낸 메일을 수집해 해당 메일 회신으로 악성코드 유포를 시도한 것이 특징"이라며 "직접 보낸 메일에 대한 회신이기 때문에 사용자들이 의심하지 않고 피해를 당할 수 있다"고 말했다.