논문·자소서·이력서 등 사칭 악성문서 유포 성행

안랩(대표 강석균)은 최근 9~10월간 논문, 자기소개서, 이력서 등 업무나 학술 관련 내용을 위장한 악성 파일을 이용해 악성코드를 유포하는 사례를 잇따라 발견했다고 26일 밝혔다.

공격자는 특정 국방 관련 논문 파일(.doc)에 악성 매크로를 삽입해 변조한 후 이를 유포했다. 해당 파일을 열면 상단에 ‘콘텐츠 사용’ 버튼이 나타난다.

만약 사용자가 ‘콘텐츠 사용’ 버튼을 누르면 즉시 악성코드에 감염된다. 감염 이후 해당 악성코드는 해커의 명령제어(C&C) 서버에 접속해 공격자의 명령에 따라 사용자 PC의 정보를 탈취하는 등 악성 행위를 수행할 수 있다. 사용자가 악성 문서 파일을 실행해도 정상적인 논문 내용이 나타나기 때문에 사용자가 악성코드 감염 사실을 알아차리기 어렵다.

자기소개서를 위장한 악성 문서 파일도 발견됐다. 안랩이 발견한 악성 문서 파일(.rtf)은 특정 기업명이 파일명에 사용됐고 내부에는 악성스크립트가 포함돼 있다.

만약 사용자가 최신 보안 패치를 하지 않은 마이크로소프트(MS) 워드 프로그램으로 해당 악성 문서 파일을 실행하면 정상적인 자기소개 내용이 나타남과 동시에 문서 내 악성 스크립트가 동작해 사용자 PC가 악성코드에 감염된다. 감염 이후 해당 악성코드는 악성 URL에 접속해 추가 악성코드 다운로드를 시도한다.

지난 9월 이력서로 위장한 랜섬웨어 유포 사례도 발견됐다. 공격자는 임의의 이름을 제목으로, “안녕하세요 공고보고 메일드립니다”라는 본문이 적힌 메일을 무작위로 발송했다. 메일에는 특정인의 이름을 파일명으로 한 압축파일을 첨부했다.

사용자가 속아 압축파일을 내려받고 모두 해제했을 때 나타나는 파일은 워드파일 아이콘으로 위장했지만 실제로는 랜섬웨어 실행파일(.exe)이다. 이 파일을 실행할 경우, 사용자의 PC는 랜섬웨어 '마콥'에 감염된다.

관련기사

피해를 예방하기 위해 안랩은 ▲오피스 소프트웨어(SW), 운영체제(OS) 및 인터넷 브라우저 등 프로그램 최신 보안 패치 적용 ▲출처가 불분명한 문서 파일의 실행 및 ‘콘텐츠 사용’ 버튼 클릭 금지 ▲파일 실행 전 실제 파일 형식(확장자) 확인하기 ▲백신 최신 버전 유지 및 실시간 감시 기능 실행 등 보안 수칙을 지켜야 한다고 당부했다.

양하영 안랩 분석팀장은 “공격자는 업무 및 일상 생활에서 익숙한 소재를 활용해 악성 파일을 유포한다”며 “사용자는 출처가 불분명한 메일의 첨부파일을 실행하지 않고 사용 중인 문서 프로그램, SW 등의 최신 패치를 적용하는 등 기본 보안 수칙 준수를 생활화해야 한다”고 말했다.