viewer

원본 이메일에 대한 답신 이메일인 것처럼 속여 악성 코드를 유포하는 사례가 늘고 있어 주의가 요구된다.

16일 안랩에 따르면 악성 코드인 칵봇(Qakbot)이 ‘이메일 하이재킹’ 수법을 통해 국내 사용자에게 유포되고 있다.

칵봇은 랜섬웨어 설치시 해커들이 이를 활용해 이용자의 PC나 노트북에 원격 접속이 가능토록 하는 윈도 운영체제(OS) 용 악성 코드다. 이를 통해 해커들은 은행 자격 증명이나 윈도 도메인 자격 등을 훔친다.



이번에 발견된 칵봇 유포 수법은 기존에 수신된 정상 이메일을 가로채 본문에 악성 PDF 파일을 첨부한 뒤 사용자에게 회신하거나 전달하는 방식이다. 공격 대상은 원본 이메일 수신자와 참조자다.

해커들은 회신 메일을 보내 수신자가 첨부된 PDF 파일을 열어보도록 유도한다. PDF 파일에는 마이크로소프트의 클라우드 서비스인 ‘애저(Azure)’ 로고와 함께 ‘오픈’ 버튼의 클릭을 유도하는 문구가 적혀있다. 이를 클릭하면 성코드에 감염되도록하는 인터넷주소(URL)로 연결된다.

안랩은 “원본 이메일이 오간 시점은 2018∼2022년으로 매우 다양하지만 원본 이메일의 발송 시점이 올해는 아닌 것으로 확인됐다”며 “다수 악성 메일이 이번 사례와 유사한 형태로 유포되고 있어 출처가 불분명한 메일은 가급적 열람해서는 안 된다”고 밝혔다.