美 BOA 사칭 이메일 주의… 원격제어 악성코드 유포

 
 
기사공유
  • 카카오톡 공유
  • 카카오톡 공유
  • 네이버 블로그
  • 카카오스토리
  • 텔레그램 공유
  • url 공유
뱅크오브아메리카의 자동회신 메일로 위장해 악성코드를 유포하는 사례가 발견됐다. /사진=이미지투데이
뱅크오브아메리카의 자동회신 메일로 위장해 악성코드를 유포하는 사례가 발견됐다. /사진=이미지투데이
최근 미국의 유명 은행인 BOA(Bank of America)의 ‘입금 확인 요청’ 자동 메일로 위장해 원격제어 악성코드를 유포하는 사례가 발견돼 사용자 주의가 요구된다.

27일 안랩에 따르면 공격자는 BOA의 자동발송 메일로 위장하기 위해 메일 주소에 ‘donot_reply(회신금지)’를 쓰고 BOA의 이름을 사용한 악성 엑셀파일을 첨부했다. 메일 본문에는 “당신의 계좌에 $9849가 전자자금이체(EFT) 방식으로 지급됐다. 자동발송 메일이니 회신하지 말고 첨부파일을 확인하라”고 기재해 첨부파일 실행을 유도했다.

악성코드 유포에 사용된 메일 본문. /자료제공=안랩
악성코드 유포에 사용된 메일 본문. /자료제공=안랩
사용자가 무심코 첨부된 악성 엑셀 파일을 실행하면 매크로 실행을 유도하는 내용의 문서 파일이 열린다. 해당 파일 상단에는 “매크로를 사용할 수 없도록 설정했습니다”라는 안내창과 매크로 설치를 권유하는 ‘콘텐츠 사용’ 버튼이 나타난다.

사용자가 이에 속아 ‘콘텐츠 사용’ 버튼을 클릭하면 공격자의 명령에 따라 키보드 입력 기록, 웹 브라우저 내에 저장된 사용자 계정 정보 등을 탈취할 수 있는 원격제어도구인 ‘Remcos RAT’ 악성코드가 설치된다. 특히 공격자는 악성 파일을 직접 실행하는 방식이 아니라 문서의 매크로 기능을 악용해 사용자 PC의 정상 프로세스에 악성 스크립트 등을 삽입하는 ‘파일리스’ 방식으로 백신의 파일 기반 탐지 우회를 시도한다.

매크로 실행을 유도하는 악성 엑셀 파일. /자료제공=안랩
매크로 실행을 유도하는 악성 엑셀 파일. /자료제공=안랩
이 같은 악성코드 피해를 줄이기 위해 사용자들은 ▲출처가 불분명한 메일의 첨부파일·URL 실행 자제 ▲메일 내 첨부파일의 매크로(‘편집 허용’ 및 ‘콘텐츠 사용’ 등) 기능 실행 자제 ▲백신 최신 버전 유지 및 실시간 감시 기능 실행 등 필수 보안 수칙을 지켜야 한다. 현재 V3 제품군은 해당 악성코드를 진단하고 있다.

장서준 안랩 분석팀 주임연구원은 “최근 문서 프로그램 매크로 실행으로 악성코드를 유포하는 사례가 자주 발견되고 있다”며 “사용자 의심을 피하기 위해 유명기업·기관을 사칭하는 경우가 많다. 사용자는 평소 첨부파일이나 해당 파일 내 매크로 기능을 실행하지 않는 게 좋다”고 말했다.
 

팽동현
팽동현 dhp@mt.co.kr  | twitter facebook

열심히 하겠습니다. 감사합니다.

이 기자의 다른기사 보기 >
  • 0%
  • 0%
  • 코스피 : 3140.51상승 10.4218:03 09/17
  • 코스닥 : 1046.12상승 6.6918:03 09/17
  • 원달러 : 1175.00상승 3.218:03 09/17
  • 두바이유 : 75.34하락 0.3318:03 09/17
  • 금 : 73.06하락 0.0318:03 09/17
  • [머니S포토] 추석명절 연휴 앞둔 서울역
  • [머니S포토] 오세훈 시장 '전통시장에서 키오스크로 구매 가능'
  • [머니S포토] 수화통역사와 대화 나누는 잠룡 이낙연
  • [머니S포토] 당대표 취임 100일 이준석 "정치개혁 통해 정권 창출할 것"
  • [머니S포토] 추석명절 연휴 앞둔 서울역

커버스토리

정기구독신청 독자의견