보안

온라인 요금 청구서를 사칭한 악성 이메일 등장...국내에도 배포

편집부 | ITWorld 2012.10.17
잉카인터넷 대응팀이 10월 15일 오후 9시 경 미국 대형 통신업체인 AT&T의 온라인 서비스에서 발송한 것처럼 위장한 악성 이메일이 국내 및 해외 사용자에게 무단 배포 중인 것을 발견했다고 블로그를 통해 밝혔다. 
 
잉카인터넷 대응팀에 따르면, 이번에 발견된 악성 이메일은 미국 AT&T 온라인 요금 청구서 내용으로 둔갑시켜 사용자를 현혹시켰다. 이 악성 이메일 본문에는 어도비 리더 제품과 오라클 자바 제품의 보안취약점을 악용해 별도의 악성파일이 몰래 설치되도록 만든다. 
 
보통 이 방식으로 악성파일을 전파시키는 것을 소셜 엔지니어링, 혹은 사회공학적 기법이라고 말하며, 이메일 수신자가 실제 AT&T 서비스를 받고 있는 고객이라면 자칫 호기심이나 무의식적으로 악성 링크를 클릭할 가능성이 있다. 
 
악성파일에 감염되면 사이버 범죄자로부터 자신도 모르게 원격제어나 개인 주요정보 등이 유출될 수 있는 피해를 입을 수 있다. 특히, 온라인을 통한 전자금융 서비스 등을 자주 이용하는 경우 민감한 금융정보나 개인 사생활 등이 노출돼 예기치 못한 대형사고로 이어질 수도 있다. 
 
잉카인터넷 측은 실제 전 세계의 수많은 사이버 범죄집단들이 금전적인 수익에 몰입하고 있다는 것을 반드시 명심해야 한다고 주장했다. 
 
잉카인터넷 측은 "이런 종류의 보안 위협은 매우 다양하게 발생하고 있으며, 10월 11일 자사의 공식블로그에 공개됐던 롬니 미대선 후보의 CNN 뉴스속보로 위장한 악성이메일 국내 유입의 변종 형태 가운데 하나로 블랙홀 익스플로잇 키트(Blackhole Exploit Kit) 프로그램을 통해 꾸준히 유사한 공격이 진행되고 있어 각별한 주의가 요구된다"고 설명했다.
 
이번 악성파일의 전파 과정을 살펴보면, 우선 공격자는 이메일 수신자가 최대한 신뢰할 수 있도록 발신자 주소를 AT&T 온라인 서비스(AT&T Online Services)로 위장했다. 이 방식은 이메일의 내부구조를 변경해 충분히 조작할 수 있기 때문에 발신지 이메일 주소만으로 속지 않도록 유의할 필요가 있다.
 
 
이메일 본문에는 새로운 AT&T 계정이 준비되어 있고, 표기되어 있는 청구내역 및 납입 만기일 등을 보고 결제를 진행하도록 유도하고 있다. 사용자에 따라 약 2,674달러의 청구금액에 놀라 해당 사이트로 접근을 시도할 수 있게 된다. 그러나 이메일 본문에 링크되어 있는 모든 URL 주소는 실제 AT&T 웹사이트가 아닌 해킹된 웹사이트로 연결되도록 조작되어 있다.
 
이메일 본문에이 있는 모든 링크는 해킹되어 변조된 'index.html' 사이트로 연결되어 있고, 사용자가 클릭할 경우 악성코드가 실행된다. 
 
index.html 파일은 내부 스크립트 명령에 의해 또다른 세 개의 'js.js' 자바스크립트가 실행되도록 만든다. 공격자들은 세 개의 스크립트를 서로 다른 웹사이트에 복수 등록해 혹시 모를 차단에 대비한 것으로 추정된다. 스크립트 파일은 모두 동일한 명령어를 포함하고 있고, 또다른 웹사이트의 'software-say.php' 주소로 연결되도록 구성되어 있다.
 
'software-say.php' 파일은 난독화된 코드로 구성되어 있고, 자바와 PDF 파일의 보안 취약점 파일이 실행된다. 이때 사용자의 보안상태가 취약한 경우 또 다른 사이트에서 별도의 악성파일(EXE)이 다수 설치 시도된다.
 
악성파일은 다수의 C&C(Command and Control) 서버로 접속을 시도하고, 공격자의 추가 명령에 따라서 다양한 보안위협에 노출될 수 있다. 
 
이메일의 첨부파일과 본문링크 등을 통한 악성파일 전파수법은 매우 오래된 구식 방식이지만, 아직도 많은 이용자들이 아무런 의심없이 너무나 쉽게 열람해 보고 있는 것이 현실이다. 
 
이로 인해 각종 보안위협에 노출되는 피해가 반복되고 있는 실정이기도 하다. 이 때문에 악성파일 제작자들은 끊임없이 이메일 첨부파일 및 링크변조 수법을 공격 방식으로 사용하는 이유이기도 하다.
 
아울러 이런 위협을 예방하기 위해서는 사용자 스스로 보안의식을 고취하는 노력이 매우 중요하며, 수신된 첨부파일이나 본문에 포함된 URL 링크 주소에 항시 잠재적 보안위협이 포함되어 있을 수 있다는 의심과 악성파일 검사 정도는 한번쯤 확인하고 열람하는 습관이 요구된다. 
 
더불어 어도비 리더(PDF)와 자바 취약점이 꾸준히 악용되고 있으므로, 항상 최신 버전으로 업데이트하는 노력이 중요하다. editor@itworld.co.kr
Sponsored

회사명 : 한국IDG | 제호: ITWorld | 주소 : 서울시 중구 세종대로 23, 4층 우)04512
| 등록번호 : 서울 아00743 등록발행일자 : 2009년 01월 19일

발행인 : 박형미 | 편집인 : 박재곤 | 청소년보호책임자 : 한정규
| 사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.