국가기관과 호텔, 통신사 사칭한 이모텟 악성코드 대량 유포됐다

동일한 메일을 조직 구성원이 함께 수신할 수 있도록 해주는 ‘그룹메일’ 타깃으로 유포

[보안뉴스 원병철 기자] 특정 국가 기관과 호텔, 통신사, 국내 기업의 정보를 무작위로 수집하거나 인용해 한국어로 작성된 메일과 함께 Emotet(이모텟) 악성코드가 대량으로 유포되고 있어 주의가 필요하다. 보안 전문 기업 이스트시큐리티(대표 정상원)은 2019년 4분기 꾸준히 유포가 진행됐던 Emotet 악성코드가, 잠시간의 휴식기를 가진 후 지난 1월 14일부터 또다시 본격적으로 유포되고 있다고 22일 밝혔다.

▲국내 기업을 사칭, 업무공유 메일로 위장한 Emotet 악성메일[자료=이스트시큐리티]

Emotet 악성코드는 주로 이메일을 통해 유포되며, 자가 복제, 사용자 정보 탈취 및 다운로드 등 다양한 악성 행위를 수행한다. 이번에 발견된 Emotet 악성코드 역시 기존에 발견되었던 것과 유사하게 메일 수신자가 첨부된 문서 파일을 열어보도록 유도하기 위해, 다양한 국내 기관과 기업 정보를 사칭해 업무공유 및 지원요청, 청구서, 견적서 등의 한글로 작성된 이메일을 발송하는 유포 방식을 사용하고 있다.

특히 이번 공격은 기업에서 업무 편의를 위해, 동일한 메일을 조직 구성원이 함께 수신할 수 있도록 해주는 ‘그룹메일’을 타깃으로 하고 있어 더욱 주의가 요구된다. 수신자가 doc 문서 파일을 열어보고 매크로 기능을 활성화한다면, 악성 파일에 포함되어 있던 파워셸 코드가 실행되며 공격자가 세팅한 C&C 서버에 접속하여 Emotet 악성코드를 내려 받게 된다. 사용자PC에서 실행된 Emotet은 자가복제 및 자동실행을 등록해, △사용자 PC 정보 탈취 △추가 악성코드 다운로드 △백도어 역할 등의 악성 행위를 수행하게 된다.

ESRC 센터장 문종현 이사는 “기업에서는 이러한 Emotet 악성코드 감염이 기업 내부 정보 유출 및 2차 공격으로 이어질 위험성이 높으므로, 출처가 불분명한 메일에 포함된 첨부파일과 링크에 대한 접근은 최대한 삼가야 한다”며, “특히 기업 그룹 메일 수신자에 대한 집중 모니터링이 필요하고, 검증되지 않은 파일은 실행 전 반드시 신뢰할 수 있는 백신 프로그램을 통해 악성 여부 검사를 수행해야 한다"고 당부했다.

한편 알약에서는 해당 Emotet 악성코드를 탐지명 ‘Trojan.Agent.Emotet’, ‘Trojan.Downloader.DOC.Gen’으로 차단, 치료하고 있다.
[원병철 기자(boanone@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)