.jpg)
인터파크 사칭해 고객의 개인정보 침해사고가 일어났다며 이메일 보내
북한발 의심받는 비너스락커 랜섬웨어...첨부파일 확인하면 바로 감염돼
2016년 공격받았던 인터파크...놀란 가입자 노린 일종의 사회공학적 해킹
[보안뉴스 원병철 기자] 최근 북한에서 제작된 것으로 추정되는 비너스락커가 이번에는 인터넷 쇼핑몰 인터파크를 사칭해 개인정보 침해사고가 일어났다며 이메일을 보내 감염을 유도하는 공격을 벌이고 있는 것으로 밝혀졌다.
.jpg)
통합보안기업 이스트시큐리티는 특정 온라인 쇼핑몰에서 유포된 ‘개인정보 유출고객 리스트’를 사칭한 악성파일이 이메일을 통해 유포되고 있다고 전했다. 실제로 본지에서 취재한 결과 범인들이 사칭한 온라인 쇼핑몰은 바로 인터파크인 것으로 알려졌다.
인터파크는 이미 지난 2016년 2,000만 명의 고객정보가 유출돼 방통위로부터 44억 8,000만원의 과징금을 부과 받은 적이 있다. 아이러니한 것은 당시 인터파크를 공격했던 해킹 주체가 북한 경찰총국으로 추정된다는 ‘민·관합동조사단’의 중간수사결과 발표처럼 북한의 소행으로 알려져 있는데, 이번 인터파크 사칭 이메일의 공격수단인 비너스락커 역시 북한에서 제작된 것으로 추정된다는 사실이다.
이번 공격은 이미 한 번 유출사건을 겪었던 인터파크이기에 메일을 받은 인터파크 회원들은 ‘자라보고 놀란 가슴 솥뚜껑보고 놀란다’는 심정으로 첨부파일을 클릭하면 바로 랜섬웨어에 걸릴 수 있는, 일종의 사회공학적 해킹인 셈이다.
.jpg)
현재 유포되고 있는 악성파일은 ‘*.7z’ 포맷으로 압축되어 있으며, 압축을 해제하면 ‘개인정보유출고객리스트.doc’, ‘개인정보유출공지.jpg’ 총 2개의 파일이 나타난다. 압축 해제된 파일 중 이미지 파일로 보이는 ‘개인정보유출공지.jpg’의 실제 파일명은 ‘개인정보유출공지.jpg. lnk’이다.
공격자는 윈도 운영체제(OS)가 ‘확장자명 숨김 처리’를 기본 설정으로 제공한다는 점을 악용해, 실제 확장자명을 숨기기 위해 ‘이중 확장자’를 사용한 것으로 보인다. 이 파일의 실제 확장자인 ‘*.lnk’는 바로가기 기능을 수행하는 확장자로서, 메일 수신자가 이미지로 위장된 바로 가기 파일을 실행할 경우 비너스락커 변종 랜섬웨어가 실행되어 PC에 저장된 각종 파일이 인질로 잡히게 된다.
이스트시큐리티 시큐리티대응센터는 “이번 악성 파일은 지난해 발생한 국내 특정 온라인 종합 쇼핑몰 해킹 사건을 통해 유출된 고객 개인 정보 리스트를 사칭한 압축 파일 형태로 유포되고 있다”며, “분석 결과 이 악성 파일은 비너스락커 랜섬웨어의 변종으로, 사용자가 호기심으로 첨부된 파일을 클릭하면 그 즉시 랜섬웨어에 감염된다”고 경고했다.
한편, 인터파크도 이번 사건을 확인하고 해당내용을 공지했다. 인터파크는 인터파크를 사칭해 악성코드를 포함한 메일이 수신되는 사례가 확인됐다면서, 회원들의 주의를 당부했다. 또한 인터파크에서 발송하는 이메일 주소에는 반드시 ‘interpark.com’이 포함된다고 강조했다. 실제로 본지에서 입수한 메일을 보면 보내는 사람의 메일주소는 ‘gmail.com’으로 되어 있다.
[원병철 기자(boanone@boannews.com)]
북한발 의심받는 비너스락커 랜섬웨어...첨부파일 확인하면 바로 감염돼
2016년 공격받았던 인터파크...놀란 가입자 노린 일종의 사회공학적 해킹
[보안뉴스 원병철 기자] 최근 북한에서 제작된 것으로 추정되는 비너스락커가 이번에는 인터넷 쇼핑몰 인터파크를 사칭해 개인정보 침해사고가 일어났다며 이메일을 보내 감염을 유도하는 공격을 벌이고 있는 것으로 밝혀졌다.
통합보안기업 이스트시큐리티는 특정 온라인 쇼핑몰에서 유포된 ‘개인정보 유출고객 리스트’를 사칭한 악성파일이 이메일을 통해 유포되고 있다고 전했다. 실제로 본지에서 취재한 결과 범인들이 사칭한 온라인 쇼핑몰은 바로 인터파크인 것으로 알려졌다.
인터파크는 이미 지난 2016년 2,000만 명의 고객정보가 유출돼 방통위로부터 44억 8,000만원의 과징금을 부과 받은 적이 있다. 아이러니한 것은 당시 인터파크를 공격했던 해킹 주체가 북한 경찰총국으로 추정된다는 ‘민·관합동조사단’의 중간수사결과 발표처럼 북한의 소행으로 알려져 있는데, 이번 인터파크 사칭 이메일의 공격수단인 비너스락커 역시 북한에서 제작된 것으로 추정된다는 사실이다.
이번 공격은 이미 한 번 유출사건을 겪었던 인터파크이기에 메일을 받은 인터파크 회원들은 ‘자라보고 놀란 가슴 솥뚜껑보고 놀란다’는 심정으로 첨부파일을 클릭하면 바로 랜섬웨어에 걸릴 수 있는, 일종의 사회공학적 해킹인 셈이다.
▲ ‘고객 개인정보 리스트’를 사칭한 비너스락커 랜섬웨어(자료제공 : 이스트시큐리티)
현재 유포되고 있는 악성파일은 ‘*.7z’ 포맷으로 압축되어 있으며, 압축을 해제하면 ‘개인정보유출고객리스트.doc’, ‘개인정보유출공지.jpg’ 총 2개의 파일이 나타난다. 압축 해제된 파일 중 이미지 파일로 보이는 ‘개인정보유출공지.jpg’의 실제 파일명은 ‘개인정보유출공지.jpg. lnk’이다.
공격자는 윈도 운영체제(OS)가 ‘확장자명 숨김 처리’를 기본 설정으로 제공한다는 점을 악용해, 실제 확장자명을 숨기기 위해 ‘이중 확장자’를 사용한 것으로 보인다. 이 파일의 실제 확장자인 ‘*.lnk’는 바로가기 기능을 수행하는 확장자로서, 메일 수신자가 이미지로 위장된 바로 가기 파일을 실행할 경우 비너스락커 변종 랜섬웨어가 실행되어 PC에 저장된 각종 파일이 인질로 잡히게 된다.
이스트시큐리티 시큐리티대응센터는 “이번 악성 파일은 지난해 발생한 국내 특정 온라인 종합 쇼핑몰 해킹 사건을 통해 유출된 고객 개인 정보 리스트를 사칭한 압축 파일 형태로 유포되고 있다”며, “분석 결과 이 악성 파일은 비너스락커 랜섬웨어의 변종으로, 사용자가 호기심으로 첨부된 파일을 클릭하면 그 즉시 랜섬웨어에 감염된다”고 경고했다.
한편, 인터파크도 이번 사건을 확인하고 해당내용을 공지했다. 인터파크는 인터파크를 사칭해 악성코드를 포함한 메일이 수신되는 사례가 확인됐다면서, 회원들의 주의를 당부했다. 또한 인터파크에서 발송하는 이메일 주소에는 반드시 ‘interpark.com’이 포함된다고 강조했다. 실제로 본지에서 입수한 메일을 보면 보내는 사람의 메일주소는 ‘gmail.com’으로 되어 있다.
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-15] 
.jpg)
