금융 악성코드 드리덱스의 영리한 ‘위장’ 주의!

원자폭탄투하 기법 탑재에 한글 키보드 드라이버 프로그램으로 위장까지

[보안뉴스 원병철 기자] 최근 북한으로 의심되는 다양한 금융관련 공격이 늘고 있는 가운데, 금융 악성코드가 새로운 기법으로 강화하는 것은 물론 위장까지 하는 것으로 밝혀져 충격을 주고 있다.

금융 악성코드인 드리덱스(Dridex)가 원자폭탄투하(AtomBombing, 이하 원자폭탄) 기법을 탑재해 점점 강해지는 한편, 자신을 숨기기 위해 한글 키보드 드라이버 프로그램으로 위장한 것이 밝혀진 것. 드리덱스의 강화와 위장을 발견한 순천향대 사이버보안연구센터(센터장 염흥열 교수)는 공격자가 한글 키보드로 위장한 것은 잠재적으로 한국 사용자들도 공격 대상으로 보는 것으로 추정된다고 분석했다.

2014년 처음 발견된 드리덱스는 악성 워드파일(.DOC)이 첨부된 스팸 메일을 통해 유포된다. 스팸메일을 수신한 이용자가 스팸메일의 첨부 파일을 열게 되면, 악성코드가 이용자 컴퓨터에 설치되게 된다. 이 악성코드는 다시 원자폭탄 기법을 활용해 정상적인 응용 프로세스에게 자신의 악성코드를 추가로 주입함으로써 보안 프로그램이 악성코드를 탐지하는 것을 매우 어렵게 만든다.

원자폭탄 기법은 16년 10월 사이버보안기업 엔실로(enSilo) 사에서 개발한 악성코드 주입 기술로, 주로 윈도우 2000부터 최신 윈도우 버전인 윈도우 10까지 영향을 받는 것으로 알려졌다.

이번 발견은 국내 최초로 원자폭탄 탑재형 드리덱스 악성코드를 분석해 동작 원리와 구조를 밝힌 것은 물론, 한글 키보드 드라이버(KO Hangeul Keyboard Layout Stub driver)로 위장하고 있다는 사실을 밝혀냄으로써, 국내 보안관련 기관·기업이 선제적 대응을 하는 데 도움이 될 것으로 기대된다.

센터 장성욱 연구원은 “이번 센터의 발견은 이러한 악성코드의 공격대상이 국내 금융 이용자로도 확대될 수 있어서 국내 사이버보안 대응 기관의 각별한 주의와 신속한 조치가 필요하다”면서, “이용자는 출처가 불분명한 파일이나 이메일 열람을 자제하고 응용 프로그램과 보안 프로그램을 최신으로 유지할 필요가 있다”라고 말했다.
[원병철 기자(boanone@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다