특정 게시판 이용한 정보유출
보안전문기업 (주)하우리(대표 김희천)는 최근 지능형지속위협(APT) 악성문서가 지속적으로 발견되고 있는 가운데, 특정기업을 겨냥한 악성문서가 발견됐다고 4일 밝혔다.
해당 악성파일은 exe 실행파일(** *** 상황 보고서.pdf.exe) 형태로 돼 있지만, 윈도우 폴더 옵션 설정 중 “알려진 파일 형식의 파일 확장명 숨기기” 를 비활성화 해야만 exe 인 파일 확장자가 보인다.
따라서 해당 파일을 받은 PC 사용자는 육안으로는 악성코드인지 판단하기 어렵다.
◆…악성코드를 실행하면 보여지는 정상문서
◆…실제로 감염 시스템에서 보여지는 exe 악성파일
또한, 악성파일 실행시 정상 PDF 파일이 보여짐과 동시에 백그라운드에서 악성코드가 실행되기 때문에 PC 사용자가 감염사실을 인지하기란 쉽지 않다.
이번 APT 공격에 이용된 PDF 의 내용이 특정 기업의 임원ㆍ주요주주 특정증권등 소유상황 보고서다.
해당 기업에 맞는 문서로 위장하고 증권상황에 관심이 많은 임원 및 일반 주주들에게 메일에 첨부돼 배포됐을 가능성이 높다.
해당 악성코드에 감염되었을 경우 다음과 같은 증상이 발생된다.
백도어 악성코드 설치△C&C 서버에 접속하여 악성코드 제작자의 명령 수행 △시스템 정보(hostname, OS정보 및 버전 정보, IP 정보) 수집 △동작중인 프로세스 목록 수집 △프로세스 동작 확인 및 종료 등이다.
김정수 보안대응센터장은 “이번에 접수된 악성파일의 특징은 APT 공격의 범위가 정치적, 안보적 성향에서 벗어나 사회전반의 기업들, 기관들, 사회 공공단체들 까지 확대될 가능성에 심각성을 느껴야 한다. 국가적 차원에서 현재 발생하고 있는 보안 위협들에 대한 대응과 대비가 필요하며, 이를 위해서는 범국민적 보안의식 제고와 점검, 보안 규제강화가 필요할 것으로 생각된다”고 말했다.
