DBatLoader 악성코드, 피싱 메일 형태로 유포...추가 악성코드 설치 등 피해 발생
출처 불분명한 메일 첨부 파일 함부로 확인하지 말고, 운영체제 최신 상태로 유지해야
[보안뉴스 박은주 기자] 최근 CMD 파일 형태로 유포되는 ‘DBatLoader(ModiLoader)’라는 이름의 다운로더 악성코드가 발견됐다. 피싱 메일을 통해 퍼지고 있으며 추가 악성코드를 내려받는 등 위협이 이어질 수 있어 주의가 요구된다.
CMD(Command Prompt) 파일은 윈도우 운영체제에서 사용되는 명령 스크립트 파일을 말한다. 이 같은 명령 스크립트 파일 형태로 악성코드가 유포되고 있는 것. 안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 DBatLoader와 같은 속성의 악성코드가 과거 피싱 메일을 통해 실행 파일(EXE파일)과 압축 파일(RAR) 형태로 유포됐다.
해당 악성 파일을 분석해 보면, ‘UTF-16LE’를 의미하는 FF, FE가 포함돼 있었다. 따라서 내부 코드를 텍스트 에디터로 열었을 때 정상적인 내용이 확인되지 않았다. 파일을 ‘UTF-8’로 변환해 내부 코드를 텍스트 에디터로 열어보니 한글 윈도우가 아닌 영문 윈도우에서 실행되는 걸 확인했다. 한글과 영문 윈도우에서 cmd.exe를 사용하는 코드 페이지가 달라 위 같은 현상이 발생했다. 또한, 코드 자체가 난독화돼 있고, 파일 내부에 BASE64로 인코딩된 실행 파일이 포함돼 있었다.
CMD 파일이 실행되면 윈도우에 내장된 프로그램인 ‘extrac32.exe’을 통해 악성 파일 이름을 바꿔 저장 및 실행하게 된다. 이때 CMD 파일 내부에 포함된 데이터를 해석해 ‘.Pif’ 확장자로 변경한 후 실행하게 된다. 일련의 과정을 거쳐 디코딩된 DBatLoader는 델파이 언어로 코드를 변환한 실행 파일이다. 최종적으로 파일 내부에 포함된 DLL을 불러온 후 외부에서 추가 데이터를 받아와서 복호화 과정을 거쳐 실행된다.
이처럼 피싱 이메일을 통해 CMD 파일이 압축돼 유포되고 있다. 악성코드 감염을 예방하기 위해서는 출처가 불분명한 이메일 열람 시 주의를 기울여야 한다. 첨부 파일이나 URL은 함부로 클릭해선 안 된다. 백신 프로그램을 사용하고 운영체제 보안 업데이트를 최신 상태로 유지하는 것이 안전하다. 응용 프로그램과 크롬, 파이어폭스 등 인터넷 브라우저 역시 최신 버전으로 업데이트해 취약점에 노출되지 않도록 주의해야 한다.
[박은주 기자(boan5@boannews.com)]
출처 불분명한 메일 첨부 파일 함부로 확인하지 말고, 운영체제 최신 상태로 유지해야
[보안뉴스 박은주 기자] 최근 CMD 파일 형태로 유포되는 ‘DBatLoader(ModiLoader)’라는 이름의 다운로더 악성코드가 발견됐다. 피싱 메일을 통해 퍼지고 있으며 추가 악성코드를 내려받는 등 위협이 이어질 수 있어 주의가 요구된다.
▲CMD 파일이 첨부된 피싱 메일[자료=ASEC]
CMD(Command Prompt) 파일은 윈도우 운영체제에서 사용되는 명령 스크립트 파일을 말한다. 이 같은 명령 스크립트 파일 형태로 악성코드가 유포되고 있는 것. 안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 DBatLoader와 같은 속성의 악성코드가 과거 피싱 메일을 통해 실행 파일(EXE파일)과 압축 파일(RAR) 형태로 유포됐다.
▲CMD 파일 내부 코드 변환 내용[자료=ASEC]
해당 악성 파일을 분석해 보면, ‘UTF-16LE’를 의미하는 FF, FE가 포함돼 있었다. 따라서 내부 코드를 텍스트 에디터로 열었을 때 정상적인 내용이 확인되지 않았다. 파일을 ‘UTF-8’로 변환해 내부 코드를 텍스트 에디터로 열어보니 한글 윈도우가 아닌 영문 윈도우에서 실행되는 걸 확인했다. 한글과 영문 윈도우에서 cmd.exe를 사용하는 코드 페이지가 달라 위 같은 현상이 발생했다. 또한, 코드 자체가 난독화돼 있고, 파일 내부에 BASE64로 인코딩된 실행 파일이 포함돼 있었다.
CMD 파일이 실행되면 윈도우에 내장된 프로그램인 ‘extrac32.exe’을 통해 악성 파일 이름을 바꿔 저장 및 실행하게 된다. 이때 CMD 파일 내부에 포함된 데이터를 해석해 ‘.Pif’ 확장자로 변경한 후 실행하게 된다. 일련의 과정을 거쳐 디코딩된 DBatLoader는 델파이 언어로 코드를 변환한 실행 파일이다. 최종적으로 파일 내부에 포함된 DLL을 불러온 후 외부에서 추가 데이터를 받아와서 복호화 과정을 거쳐 실행된다.
이처럼 피싱 이메일을 통해 CMD 파일이 압축돼 유포되고 있다. 악성코드 감염을 예방하기 위해서는 출처가 불분명한 이메일 열람 시 주의를 기울여야 한다. 첨부 파일이나 URL은 함부로 클릭해선 안 된다. 백신 프로그램을 사용하고 운영체제 보안 업데이트를 최신 상태로 유지하는 것이 안전하다. 응용 프로그램과 크롬, 파이어폭스 등 인터넷 브라우저 역시 최신 버전으로 업데이트해 취약점에 노출되지 않도록 주의해야 한다.
[박은주 기자(boan5@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
박은주기자 기사보기
[2024-09-12] 
