글로벌 협업툴 노션 설치파일로 위장한 MSIX 악성코드 유포

노션 설치파일로 위장한 MSIX 악성코드, 정보 탈취해 공격자 서버로 전송
공식 페이지와 유사, 유효한 인증서 도용 및 노션 설치 등... 사용자가 감염 여부 판단 어려워
MSIX 파일 다양한 프로그램으로 위장할 수 있어 각별한 주의 필요

[보안뉴스 박은주 기자] 최근 글로벌 협업 툴 노션(Notion) 설치파일로 위장한 MSIX 악성코드가 유포되고 있어 주의가 요구된다.

▲(왼쪽부터)노션 설치파일로 위장한 MSIX 악성코드 유포지, 노션 공식 홈페이지[이미지=안랩, 캡처=보안뉴스]

안랩 시큐리티 인텔리전스 센터(ASEC)는 악성코드 유포지가 실제 노션 홈페이지와 유사하게 구현됐다고 설명했다. 해당 페이지에서 다운로드 버튼을 클릭하면 ‘Notion-x86.msix’ 이름의 파일이 다운로드 된다. 파일을 실행하면 노션이 설치됨과 동시에 악성코드에 감염되는 것으로 드러났다.

▲악성 인스톨러 실행 화면[자료=ASEC]

악성코드는 정보 탈취형 악성코드인 ‘LummaC2’로 브라우저·암호화폐 정보 및 파일 등 정보를 탈취해 공격자 서버로 전송한다. 또한 업무용 메신저 ‘슬랙(Slack)’, 파일 압축 프로그램 ‘윈라(WinRar)’, 무료 화면 녹화 프로그램 ‘반디캠(Bandicam)’ 등 다양한 프로그램을 위장한 악성 MSIX 파일도 확인됐다.

MSIX는 Windows 앱 패키징 형식을 말하며, ASEC는 MSIX 파일은 실행 시 특히 주의를 기울여야 한다고 당부했다. 다만 이번 공격에 사용된 공격자 서버가 현재는 정상적으로 응답하지 않는 것으로 드러났다.

▲악성 인스톨러 서명 정보[자료=ASEC]

특히 공격에 사용된 파일은 ‘Consoneai Ltd’ 이름의 유효한 인증서로 서명돼 있다. 유효한 인증서를 도용한 것으로 추정되며, 웹 브라우저의 다운로드 검증 혹은 파일 실행 단계에서 탐지를 회피한 것으로 보인다.

이로 인해 사용자가 감염 여부를 알아차리기엔 한계가 있다는 설명이다. 따라서 프로그램을 설치하고 파일을 실행할 때는 반드시 공식 홈페이지의 도메인을 확인해야 한다. 정상 서명을 가졌더라도 서명 게시자를 확인하는 습관이 필요하다.
[박은주 기자(boan5@boannews.com)]

3월 15일부터 시행되고 있는 개정 개인정보보호법과 관련해 가장 까다롭고 이행하기 어려운 조항은 무엇인가요?
	인공지능(AI) 등 자동화된 결정에 대한 정보주체 권리 구체화
	접근권한 관리 등 개인정보 안전성 확보조치 강화 및 고유식별정보 관리실태 정기조사
	영향평가 요약본 공개제도 도입 등 개인정보 영향평가제도
	영상정보처리기기 및 안전조치 기준
	개인정보 보호책임자의 전문성 강화 위한 전문CPO 지정
	국외 수집·이전 개인정보 처리방침 공개 등 개인정보 처리방침 평가제도
	손해배상책임 의무대상자 변경 및 확대
	공공기관 개인정보 보호수준 평가 확대
	기타(댓글로)