웹하드에서 ‘오피스+정품 인증 툴’ 받다간 악성코드 감염된다!

오피스 설치 프로그램으로 위장해 유포 중인 BitRAT 악성코드

[보안뉴스 원병철 기자] 최근 ‘윈도우 정품인증 툴’로 위장한 BitRAT 악성코드가 이번에는 ‘오피스 정품인증 툴’로 위장해 유포되고 있어 사용자들의 주의가 요구된다. 안랩 ASEC 분석팀은 BitRAT 악성코드가 유포 파일을 변경해 오피스 설치 프로그램을 통해 피해자들을 유인하고 있다고 밝혔다.

▲윈도우 정품 인증 툴을 위장한 게시글[자료=ASEC]

웹하드에서 업로드된 악성코드가 포함된 게시글은 ‘[최신][저렴]오피스 2021 설치 + 영구 정품 인증’이라는 제목으로 되어 있다. 다운로드된 파일은 ‘Program.zip’이라는 압축 파일이며, 게시글의 설명대로 비밀번호 ‘1234’로 암호 압축되어 있다. 압축 파일 내부에는 ‘OInstall.exe’라고 하는 오피스 설치 프로그램이 포함되어 있다.

▲압축 파일 내부에 포함된 파일들[자료=ASEC]

피해자에게 노출되는 화면은 오피스 다운로드 프로그램이지만, 실제 다운로더 악성코드는 윈도우 시작 프로그램 폴더에 악성코드를 설치한다. 일반적으로 처음 설치되는 것은 동일한 유형의 다운로더 악성코드이며, 이렇게 실행된 다운로더는 최종적으로 BitRAT 악성코드를 %TEMP% 경로에 ‘Software_Reporter_Tool.exe’라는 이름으로 설치한다.

▲피해자에게 노출되는 오피스 다운로드 프로그램[자료=ASEC]

▲피해자 모르게 다운로드 되는 실제 악성코드(BitRAT 다운로더)[자료=ASEC]

다음은 BitRAT 악성코드의 기능이다.

1. 네트워크 통신 방식
– TLS 1.2를 이용한 암호화된 통신
– Tor를 이용한 통신

2. 기본 제어
– 프로세스 관리자
– 서비스 관리자
– 파일 관리자
– 윈도우 관리자
– 소프트웨어 관리자

3. 정보 탈취
– 키로깅
– 클립보드 로깅
– 웹캠 로깅
– 오디오 로깅
– 웹 브라우저과 같은 애플리케이션 계정 정보 탈취

4. 원격 제어
– 원격 데스크탑
– hVNC (Hidden Desktop)

5. 프록시
– SOCKS5 Proxy : UPnP를 이용한 포트 포워딩 기능 제공
– Reverse Proxy : SOCKS4 Proxy

6. 코인 마이닝
– XMRig 코인 마이너

7. 기타
– DDoS 공격
– UAC Bypass
– 윈도우 디펜더 비활성화

ASEC는 국내 웹하드 등 자료 공유 사이트를 통해 악성코드가 활발하게 유포되고 있어 사용자의 주의가 필요하다고 지적하고, 자료 공유 사이트에서 다운받은 실행파일은 각별히 주의해야 하며, 유틸리티 및 게임 등의 프로그램은 반드시 공식 홈페이지에서 다운로드하는 것을 권장했다.
[원병철 기자(boanone@boannews.com)]

최근 발생한 크라우드 스트라이크의 보안 SW 업데이트 오류 사태처럼 SW 공급망에 보안이슈가 발생할 경우 관련된 각종 시스템 및 IT 인프라 마비가 일어날 수 있다는 게 드러났습니다. 이러한 공급망 보안을 위협하는 가장 큰 요인은 무엇이라고 생각하시나요?
	랜섬웨어, 피싱 등의 사이버 공격
	SW 업데이트 및 SW 교체 과정에서의 오류
	SW 자체에 존재하는 보안 취약점
	시스템 관리자의 운영상 실수 및 관리 미흡
	기타(댓글로)