입사지원서 위장한 ‘소디노키비(Sodinokibi)’ 랜섬웨어 발견

김진수 / 기사승인 : 2019-08-13 07:54:03
  • -
  • +
  • 인쇄
파일 첨부방식 아닌 다운로더 통한 C2 접근·유포 수법, 이용자 주의보
입사지원서로 위장한 악성 메일 화면 [사진=이스트시큐리티]

[IT비즈뉴스 김진수 기자] 입사지원서로 위장된 소디노키비(Sodinokibi) 랜섬웨어가 이메일을 통해 유포되고 있어 주의가 요구된다.


이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 기존의 비너스락커 유포 조직의 소행으로 추정되는 이번 공격은 비너스락커 유포 당시보다 진화한 공격형태를 갖춘 소디노키비 랜섬웨어가 유포 중인 것으로 보인다.


공격자는 구직자가 입사지원서를 제출하는 것처럼 사칭한 메일을 통해 랜섬웨어를 유포하고 있는 것으로 보인다. 해당 메일은 유창한 한글 표기법을 사용하고 있으며 메일 제목 역시 ‘회사명_직무(이름)’ 순으로 기재해 수신자가 실제 입사지원서로 인지하고 파일을 열어보도록 유도하고 있다.


메일에 첨부된 입사지원서 파일은 ‘7z’ 형식의 압축파일이다. 압축을 해제하면 실제 입사지원서 제출하는 파일처럼 위장된 ‘이력서.pdf’, ‘포트폴리오.pdf’ 이름의 2개 파일이 나타난다. 변종에 따라서는 ‘이력서.hwp’, ‘포트폴리오.hwp’ 파일명도 존재하는 것으로 알려졌다.


첨부된 파일은 실제 PDF, HWP 문서 파일이 아닌 악성 실행파일(EXE)이다. 공격자는 문서파일 이름에 공백을 삽입해 수신자가 악성파일을 PDF나 HWP 문서로 착각하도록 유도하는 것으로 보인다.


파일을 여는 순간 해커가 만들어 둔 명령제어서버(C2)에 연결되면서 소디노키비 랜섬웨어를 다운로드 실행 후 수신자 PC의 주요 데이터를 암호화한다.


ESRC는 이번 공격에서 확인된 2개 요소를 들면서 공격자가 기존보다 진화된 방식을 사용하고 있다고 언급했다.


첨부된 악성코드 파일명에 ‘_복사본’이라는 텍스트가 추가된 것을 확인 할 수 있는데, 이는 공격자 자신이 만든 악성 exe 파일을 복사하면서 실수로 ‘-복사본.exe’ 파일명이 붙여진 것으로 추정된다. 공격자가 한국어 윈도(Windows) 운영체제를 쓰고 있다고 추측할 수 있다.


또 랜섬웨어를 직접 첨부·유포하는 방식을 사용한 기존 수법과 달리 이번에 발견된 공격의 경우 사용자 PC 내 암호화폐 지갑 관련 정보를 수집하는 기능을 먼저 수행하고 다운로드 후 랜섬웨어를 추가로 설치하는 수법을 사용했다.


ESRC센터장 문종현 이사는 “기존 갠드크랩(GandCrab) 랜섬웨어 시절부터 사용하던 첨부파일 유포 방식에 다운로더가 추가된 것이 특이점”아라며 “다운로더는 소디노키비 랜섬웨어 유포 외에도 정상적인 모듈을 다수 다운로드하고 암호화폐 지갑 정보를 탈취하는 기능도 추가된 만큼 위협 벡터를 면밀히 관찰할 볼 필요가 있다”고 조언했다.


이어 “해외 C2 서버에 한국어 버전의 베리즈웹쉐어(BerryzWebShare) 파일 공유 서버가 구축된 것이 확인됐다. 서버 내에 '이명박 이력서.doc.bat' 파일 등 파워쉘 명령을 통해 페이스트빈(Pastebin) 호스트가 C2로 악용돼 소디노키비 랜섬웨어 유포 시도가 추가 발견되기도 했다”며, “이 베리즈웹쉐어 서버는 지난해 말 비너스락커 조직이 갠드크랩 유포에 활용했던 방식이라는 점에서 동일 조직의 유사성을 보여준다”고 밝혔다.


[저작권자ⓒ IT비즈뉴스. 무단전재-재배포 금지]

  • 글자크기
  • +
  • -
  • 인쇄
뉴스댓글 >

주요기사

+

많이 본 기사

마켓인사이트

+

컴퓨팅인사이트

+

스마트카

+

PHOTO NEWS