이스트시큐리티가 해당 공격에 악용된 C&C(명령제어)서버 IP를 조사한 결과, 여러 국내 구인구직 사이트 주소에서 일부만 바꾼 도메인 사용 이력이 존재, 다수의 유사 공격이 이미 진행됐다는 사실이 파악됐다.
악성메일 수신자가 해당 링크를 클릭하면, 공격자 서버에서 '오**-hwp(입사지원서).exe' 파일명의 악성 실행파일(.EXE)이 포함된 캐비닛 파일(.CAB)이 내려온다. 윈도의 폴더 보기 옵션은 기본적으로 해제돼있어, 사용자가 따로 설정하지 않는 이상 개별 파일의 확장자가 보이지 않는다. 공격자는 이런 점을 악용해 한글 문서파일처럼 보이도록 위장했다.
사용자가 이에 속아 악성파일을 실행시키면 백그라운드에 'netscore.exe' 프로그램이 실행되며, 사용자 화면에는 실제 이력서처럼 위장한 디코이 파일을 보여줘 사용자가 공격임을 인지하지 못하도록 유도한다. 실행된 악성코드는 감염된 PC 정보를 수집하여 특정 서버로 전송하며, 공격자 명령에 따라 음성녹음이나 폴더·파일정보수집 등 다양한 추가 악성 행위를 할 수 있는 명령제어 기능도 다수 포함됐다.이 악성코드의 경우 카카오톡 PC 버전의 ID 정보 탈취 등 악성 페이로드 명령제어 기능도 지속적으로 추가되고 있어 사용자 주의가 필요하다. 이스트시큐리티는 연관 악성파일의 탐지 기능을 자사 알약 제품에 긴급 업데이트했으며, 피해 확산 방지를 위해 NCCC(국가사이버안보협력센터)와 KISA(한국인터넷진흥원) 등 관련 부처와 협력하고 있다.
ESRC(이스트시큐리티 시큐리티대응센터) 측은 "입사지원서를 위장한 피싱메일을 통한 공격은 공격자들이 즐겨 사용하는 공격 방식 중 하나"라며 "공격자들은 입사지원서라는 동일한 주제를 갖고 다양한 형태의 공격방식을 연구하고 있는 만큼 이메일 내 첨부파일이나 링크 클릭 시 반드시 주의해야 한다"고 밝혔다.팽동현기자 dhp@dt.co.kr
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
