웹하드, 토렌트 등 자료 공유 사이트 통해 악성코드 유포... X웜, Remcos RAT, 백도어 등
모니터링·키로거·캠 탈취·추가 악성코드 다운로드 등 악성 행위 수행
[보안뉴스 박은주 기자] 성인 게임이나 정상 프로그램으로 위장한 악성코드가 퍼지고 있다. 주로 웹하드나 토렌트 등 자료 공유 사이트를 통해 유포되는 만큼 각별한 주의가 필요하다.
안랩 시큐리티 인텔리전스 센터(ASEC)가 공유한 사례에 따르면 공격자는 ‘X웜(Worm) v5.6(이하 X웜)’ 악성코드를 유포했다. 유포 방식은 다음과 같다. 우선 웹하드를 통해 게임을 내려받아 압축을 해제하면 ‘Start.exe’라는 실행 파일이 존재한다.
정상적인 게임처럼 보이지만, 실제 게임을 실행하는 파일은 따로 생성된다. 이때 파일을 실행하면 바로 악성코드가 작동하는 것이 아니라, ‘Game Play!’ 버튼을 클릭해야 악성코드와 게임이 동시에 실행된다. 샌드박스 우회를 위한 방법으로 추정된다.
또한, ‘SoundP2.muc’은 음악 설정 파일로 위장한 채 로더(Loader) 악성코드를 실행한다. 윈도우 폴더에 복사한 후, 자동 실행 방지를 위해 레지스트리에 ‘Google’이라는 이름으로 ‘C:\Windows\NisSrv.ex’ 데이터를 가진 채 등록된다.
이후 명령제어(C&C) 서버에서 암호화된 X웜과 로더가 내려받아지는 것. 설치된 로더는 MSBuild.exe에 X웜을 주입해 악성 행위를 실행한다. X웜은 △모니터링 △키로거 △캠 탈취 △추가 악성코드 다운로드 등 악성 행위를 수행한다.
이 밖에도 △Remcos RAT △UDP RAT △njRAT △njRAT △KoRAT 백도어 등이 성인 게임이나 정상 프로그램으로 위장해 웹하드를 통해 유포하는 사례가 다수 발견됐다. 공격자는 깃허브(Github)와 같은 플랫폼에서 쉽게 구할 수 있는 악성코드를 악용했다. 이처럼 국내 웹하드, 토렌트 등 자료 공유 사이트를 통해 악성코드가 유포되고 있다. 따라서 유틸리티 및 게임 등 프로그램은 공식 홈페이지에서 내려받는 것이 권장된다.
[박은주 기자(boan5@boannews.com)]
모니터링·키로거·캠 탈취·추가 악성코드 다운로드 등 악성 행위 수행
[보안뉴스 박은주 기자] 성인 게임이나 정상 프로그램으로 위장한 악성코드가 퍼지고 있다. 주로 웹하드나 토렌트 등 자료 공유 사이트를 통해 유포되는 만큼 각별한 주의가 필요하다.
▲웹하드에서 성인 게임으로 위장하여 유포 중인 악성코드[자료=ASEC]
안랩 시큐리티 인텔리전스 센터(ASEC)가 공유한 사례에 따르면 공격자는 ‘X웜(Worm) v5.6(이하 X웜)’ 악성코드를 유포했다. 유포 방식은 다음과 같다. 우선 웹하드를 통해 게임을 내려받아 압축을 해제하면 ‘Start.exe’라는 실행 파일이 존재한다.
▲Start.exe 실행 화면[자료=ASEC]
정상적인 게임처럼 보이지만, 실제 게임을 실행하는 파일은 따로 생성된다. 이때 파일을 실행하면 바로 악성코드가 작동하는 것이 아니라, ‘Game Play!’ 버튼을 클릭해야 악성코드와 게임이 동시에 실행된다. 샌드박스 우회를 위한 방법으로 추정된다.
▲정상 게임 실행 파일로 위장한 악성코드[자료=ASEC]
또한, ‘SoundP2.muc’은 음악 설정 파일로 위장한 채 로더(Loader) 악성코드를 실행한다. 윈도우 폴더에 복사한 후, 자동 실행 방지를 위해 레지스트리에 ‘Google’이라는 이름으로 ‘C:\Windows\NisSrv.ex’ 데이터를 가진 채 등록된다.
▲악성코드 유포 도식도[자료=ASEC]
이후 명령제어(C&C) 서버에서 암호화된 X웜과 로더가 내려받아지는 것. 설치된 로더는 MSBuild.exe에 X웜을 주입해 악성 행위를 실행한다. X웜은 △모니터링 △키로거 △캠 탈취 △추가 악성코드 다운로드 등 악성 행위를 수행한다.
이 밖에도 △Remcos RAT △UDP RAT △njRAT △njRAT △KoRAT 백도어 등이 성인 게임이나 정상 프로그램으로 위장해 웹하드를 통해 유포하는 사례가 다수 발견됐다. 공격자는 깃허브(Github)와 같은 플랫폼에서 쉽게 구할 수 있는 악성코드를 악용했다. 이처럼 국내 웹하드, 토렌트 등 자료 공유 사이트를 통해 악성코드가 유포되고 있다. 따라서 유틸리티 및 게임 등 프로그램은 공식 홈페이지에서 내려받는 것이 권장된다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-12-04] 
.jpg)
