2018년 3분기, 가장 악명 떨친 사이버공격 3가지

뉴트리노 원격 제어봇, 소환장 사칭 갠드크랩 유포, 일일동향보고 사칭 백도어

[보안뉴스 김경애 기자] 2018년 3분기에 가장 악명을 떨친 보안위협으로 △7월, ‘뉴트리오 제어봇 국내 유포’ △8월, 소환장 알림 메일을 통해 유포되는 악성코드 △9월, 일일 동향보고로 위장한 악성 한글문서 3가지가 꼽혔다.

[이미지=iclickart]

7월, 뉴트리노(Neutrino) 원격 제어봇 유포
보안전문업체 하우리에 따르면 지난 7월 웹 브라우저 취약점(CVE-2018-8174)을 사용하는 그랜드소프트(GrandSoft) 익스플로잇 킷이 등장했다며 그랜드소프트 익스플로잇 킷을 이용해 뉴트리노(Neutrino) 원격 제어봇이 유포됐다고 밝혔다.

▲하위 프로세스로 svchost.exe를 생성한 화면[이미지=하우리]

웹사이트에 방문만 해도 감염되는 드라이브 바이 다운로드 공격을 통해 유포된 뉴트리노 원격 제어봇은 한동안 사라졌다가 다시 등장한 백도어 악성코드의 일종이다.

감염자 PC를 원격제어 하는 기능을 갖고 있으며, 가상화 환경과 악성코드 분석 도구가 실행 중일때는 작동하지 않는 등 악성코드 분석과 탐지를 회피하는 능력을 갖췄다. 또한, 윈도우 임시폴더에 자기 자신을 숨김 파일 형태로 복제해 저장한다.

악성코드는 버전에 맞는 명령어 수행을 위해 현재 감염된 악성코드 샘플 버전과 사용자 PC의 이름, 감염날짜 등을 공격자의 명령제어(C&C) 서버로 전송한다. 이후 C&C 서버로부터 명령어를 전달받아 백도어 기능을 수행하며, 이로 인해 감염자 PC는 공격자에 의해 원격제어 될 수 있다.

8월, 소환장 알림 메일 통해 유포되는 악성코드
지난 8월에는 ‘고소를 당했다’는 메시지와 함께 소환장을 다운로드할 수 있는 링크가 첨부된 악성메일이 기승을 부렸다. 공격자는 ‘링크에 제공된 정보를 통해 청문회 날짜 및 시간을 보낸다’는 내용으로 메일 받는 사람이 반드시 링크를 실행하도록 유도했다.

▲피고 소환장을 위장한 악성 메일 화면[이미지=하우리]

링크 실행시 악성코드가 포함된 압축파일이 다운로드된다. 압축파일을 해제하면 자바스크립트 악성코드가 첨부돼 으며, 악성코드 실행시 특정 서버와 통신해 악성코드를 다운받게 된다. 악성코드는 엑셀 아이콘을 이용해 정상파일로 위장하고 있다. 실행되는 악성코드는 갠드크랩 랜섬웨어이며, PC에 있는 파일의 확장자를 KRAB로 변경한다.

9월, 일일 동향보고로 위장한 악성 한글 문서
지난 9월 발견된 악성 한글문서는 ‘한국 부동산 개발 협회’를 위장해 ‘일일 동향보고’라는 문서 제목으로 유포됐다. 특히, 공격주체가 북한의 사이버공격그룹으로 알려진 라자루스로 추정되고 있다. 기존에 라자루스에서 사용한 악성코드와의 유사성을 비롯해 연관성 있는 분석이 지속적으로 나오고 있다.

이렇듯 올해 3분기에도 각종 악성코드와 악성메일이 기승을 부렸다. 이에 따라 이용자는 악성코드에 감염되지 않도록 백신과 소프트웨어는 항상 최신 버전으로 유지하고, 출처가 불분명한 메일을 클릭하지 않도록 주의하는 것이 바람직하다.
[김경애 기자(boan3@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)