네이버 툴바 위장 악성코드 등 동일수법 융단공격!

중국 특정 해커조직 의심...업데이트 서버 변조 등 지능적 방법 동원

[보안뉴스 권 준] ‘네이버 툴바 캐리어’ 파일로 위장한 악성코드가 2주 전 뿌려진 것으로 드러나 PC 사용자들의 각별한 주의가 요구되고 있다.

특히, 이번 악성코드는 최근 한글 업데이트 서버에서 유포된 것으로 추정되는 한컴뷰어 파일과 동일한 제작자 또는 툴을 바탕으로 만들어진 것으로 알려져 특정 사이버범죄 집단에 의한 치밀한 공격이 광범위하게 이루어지고 있는 것 아니냐는 우려가 제기되고 있다. 

최근 이렇듯 유사한 성격의 악성코드를 다수 발견한 하우리의 최상명 선행연구팀장은 “최근 발견된 일련의 악성코드들을 분석해본 결과 동일한 공격자이거나 동일한 공격 툴을 사용하는 것으로 나타났다”며, “다만, 한컴뷰어 파일이 한컴 업데이트 서버 변조를 통해 특정 타깃으로 유포된 것으로 보이는 반면, 네이버 툴바 캐리어 파일의 경우 유포경로를 아직 확인하지 못했다”고 밝혔다.

이로 인해 ‘네이버 툴바 캐리어’란 파일명으로 위장한 악성코드의 경우 단순히 네이버 툴바란 이름을 사칭해 만든 것인지 실제 네이버 툴바를 통해 유포된 것인지 확인할 수 없다는 것. 최상명 팀장의 분석내용을 중심으로 두 가지 파일의 악성코드를 비교해보면 다음과 같다.

▲ 한컴뷰어 및 네이버 툴바 위장 악성코드 비교

특히, 한컴 업데이트 서버 변조를 통해 유포된 악성코드는 보안전문가들에게는 매우 유명한 PlugX라는 악성코드의 변종으로 알려졌다. 대부분의 백신업체 및 보안업계에서는 해당 악성코드를 유포하는 조직을 중국의 특정해커 조직으로 추측하고 있다는 게 최상명 팀장의 설명이다. 해당 조직은 전 세계적으로 많은 나라에 다양한 방법으로 해당 악성코드를 은밀히 유포하고 있는 것으로 알려졌고, 국내에도 이전부터 다양하게 유포되고 있다는 얘기다.

또한, 국내에는 한컴뷰어 파일 및 네이버 툴바 캐리어 파일 위장 악성코드와 유사한 악성코드가 ‘2012년 건강검진 실시안내.zip’, ‘nhn.rtf.exe’ 등의 파일명으로 이메일의 첨부파일 형태로도 유포된 것으로 드러났으며, 악성기능은 모두 키로깅으로 동일한 것으로 나타났다.  

이번 일련의 악성코드 유포와 관련해 하우리 최상명 선행연구팀장은 “특정 해커 조직에서 국내 기업 및 기관을 대상으로 한 공격이 지속적으로 발생하고 있다. 특히, 악성코드 감염을 위한 업데이트 서버 변조와 같이 아주 지능적인 방법들이 동원되고 있다”며, “국내를 공격하는 해커들과 악성코드의 특징을 끊임없이 추적·관리하여 향후 해당 조직에 의한 유사한 공격들이 발생할 경우 효과적으로 차단할 수 있도록 해야 한다”고 당부했다.

[권 준 기자(editor@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>

• “
•  SNS에서도 보안뉴스를 받아보세요!! 
• ”

• 조회순
• 추천순
• 스크랩순

• 1

  [긴급] 레디스 DB 시스템에서 원격 코드 ...

• 2

  [단독] 랜섬웨어 조직 RA그룹, SK가스의...

• 3

  쿼드마이너, 구 버전 개발 테스트용 소스코드...

• 4

  북한 IT노동자, 가짜 이력서로 서방국 취업...

• 5

  제140차 CISO포럼, 보안사고 이후 거버...

• 1

  악명 높은 봇넷 엔지오웹, 각종 범죄 인프라...

• 2

  [개인정보 보호법 해석 사례-④] 인사·노무...

• 3

  블랙프라이데이라는 쇼핑 시즌 노리는 중국 해...

• 4

  [정보세계정치학회 칼럼] 데이터·공급망 안보...

• 5

  최고의 ‘보안 강연자’를 선발하다... IS...

• 1

  개인정보 유출 사고 대응방안 논의... 공공...

• 2

  인류를 위한 인공지능 거버넌스, 어떤 제안 ...

• 3

  깃허브에서 활동하는 개발자들을 노리는 고급 ...

• 4

  [단독] 한국지능정보사회진흥원, 관리자계정 ...

• 5

  이스트시큐리티, 파주 세경고 학생 대상 AI...