거래 견적서나 영수증을 확인해달라는 업무 메일로 속인 뒤 보안프로그램을 끄거나 피해자의 PC를 원격으로 조종하는 피싱 공격이 잇따라 포착됐다.

20일 안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 최근 해외 기업의 영업팀 직원을 사칭해 견적을 수정하거나 제품 버전을 확인해달라는 내용의 피싱 메일이 유포됐다.

메일에는 압축파일이 첨부돼 있다. 사용자가 압축파일 안의 실행파일을 열면 악성코드가 작동한다.

악성코드는 먼저 PC의 관리자 권한 획득을 시도한다. 이후 보안 취약점이 있는 드라이버를 이용해 PC에서 작동 중인 보안프로그램을 강제로 종료한다.

이런 공격 방식을 'BYOVD'(Bring Your Own Vulnerable Driver)라고 한다. 쉽게 말해 해커가 이미 취약점이 알려진 드라이버를 피해자 PC에 설치한 뒤 이를 공격 도구로 사용하는 방식이다.

드라이버는 컴퓨터의 운영체제가 각종 장치나 기능을 제어하도록 돕는 프로그램이다. 일부 드라이버는 운영체제의 핵심 영역인 '커널'에서 작동하기 때문에 높은 권한을 갖는다.

공격자는 이런 드라이버의 취약점을 악용해 일반 프로그램에서는 종료하기 어려운 보안제품의 작동까지 멈췄다. ASEC 분석 결과 악성코드에는 마이크로소프트의 보안 관련 프로그램을 비롯해 여러 보안제품의 프로세스가 종료 대상으로 설정돼 있었다.

보안프로그램을 끈 뒤에는 정보탈취형 악성코드 '팬텀스틸러'(Phantom Stealer)를 정상 윈도 프로세스 안에 숨겨 실행한다.

팬텀스틸러를 통해 사용자의 키보드 입력이나 화면을 기록하고 웹브라우저 등에 저장된 계정정보와 로그인 쿠키, 신용카드 정보, 가상자산 지갑 등을 훔칠 수 있다.

사용자가 복사한 가상자산 지갑 주소를 공격자의 지갑 주소로 몰래 바꿔치기하는 기능도 갖췄다. 피해자가 이를 알아채지 못하고 송금하면 가상자산이 공격자에게 넘어갈 수 있다.


정상적인 원격관리 프로그램도 공격 수단으로
ASEC가 함께 공개한 또 다른 피싱 공격에서는 정상적인 원격관리 프로그램이 해킹 수단으로 악용됐다.

공격자는 미국 기업 직원을 사칭해 거래 영수증을 확인해달라는 메일을 보냈다. 메일에 첨부된 PDF 파일에는 해외 송금 확인서처럼 꾸민 내용과 함께 문서를 보기 위해 '어도비 플래시 플레이어'를 업데이트해야 한다는 가짜 안내가 나온다.

사용자가 안내에 따라 파일을 내려받아 실행하면 정상적인 거래 영수증처럼 보이는 문서가 화면에 나타난다. 하지만 사용자가 문서를 보는 동안 PC에서는 원격관리 프로그램 '스크린커넥트'(Screen Connect)가 몰래 설치된다.

스크린커넥트 자체는 기업이나 정보기술(IT) 담당자가 다른 PC에 원격으로 접속해 문제를 해결하거나 시스템을 관리할 때 사용하는 정상 프로그램이다.

그러나 이번 공격에서는 피해자의 PC가 공격자가 운영하는 원격관리 서버에 연결되도록 설정됐다.

이렇게 되면 공격자는 멀리 떨어진 곳에서도 피해 PC에 접속해 명령을 내리거나 파일을 전송할 수 있다. 다른 악성코드를 추가로 설치하는 것도 가능하다.

정상적으로 개발된 프로그램이나 시스템 기능을 공격에 이용하는 수법을 '리빙 오프 더 랜드'(Living-off-the-Land·LoL)라고 한다.

별도의 낯선 해킹 프로그램만 사용하는 것이 아니라 정상적인 프로그램까지 공격 도구로 활용하기 때문에 피해자가 알아차리기 어려울 수 있다.

ASEC는 정상 프로그램을 악용하는 공격이 지속적으로 확인되고 있다며 출처가 불분명한 이메일의 첨부파일이나 외부 링크를 함부로 실행하지 말 것을 당부했다.

kxmxs4104@news1.kr