"암호화폐 거래소 관련 문서 사칭해 악성코드 유포"

[아이뉴스24 최은정 기자] 이스트시큐리티는 '국내 암호화폐 거래소의 계정 운영 정책 변경 안내' 문서로 위장한 사이버 공격을 발견했다고 14일 발표했다.

이번 공격에는 '계정기능 제한 안내.hwp' 파일명을 가진 한글(.hwp) 문서가 악용됐다. 회사 측은 이번 공격이 국내 암호화폐 거래소 계정을 가진 사용자를 대상으로 이뤄진 것으로 추정했으며, 문서 마지막 수정 날짜는 지난 6일로 확인했다.

또한 이스트시큐리티 시큐리티대응센터(ESRC)는 해당 공격은 객체 연결·삽입(OLE) 개체 기능을 악용해 문서를 클릭할 경우 내부에 숨겨진 32비트 악성 실행파일(.exe)을 설치한다고 밝혔다. OLE 개체 기능은 윈도의 여러 응용 프로그램에서 각각의 독립적인 자료들을 다양하게 사용할 수 있는 기능이다.

이와 관련 이스트시큐리티 관계자는 "(OLE 개체 기능을 악용했기 때문에) 알려진 취약점들이 제거된 최신버전 한글문서 작성 프로그램을 사용해도 이용자 클릭에 따라 위협에 노출될 가능성이 존재한다"며 "이는 기존 한글문서의 포스트 스크립트 취약점을 사용한 공격 형태와는 차이점을 보이는 지점"이라고 분석했다.

특히 문서 소프트웨어(SW) 업데이트로 위장하고 있는 악성 실행파일은 내부에 베이스(base)64 코드로 인코딩된 추가 명령이 파워쉘 기반으로 동작하도록 설정돼 있다. 파워쉘 명령이 작동하면 공격자의 명령제어(C2) 주소로 감염 시스템에서 수집한 정보를 전달한다. 이때, 수집하는 정보는 추가 명령제어를 위해 필요한 시리얼 넘버, 제조사, 제품 이름 등이다.

아울러 회사 측은 C2 주소가 국내 부동산 기획·홍보 관련 회사 사이트로 설정돼 있다고 주장했다. 현재 알약에서는 해당 악성 문서 및 추가 악성 파일을 탐지 중이며, ESRC에서는 유사 악성 문서에 대한 모니터링을 진행하고 있다.

문종현 이스트시큐리티ESRC 센터장(이사)은 "이번 공격은 악성코드를 유포하고 수집한 정보를 통해 암호화폐 채굴, 추가정보 수집 등 2차 공격을 수행할 수 있다"며 "한글문서 보안 취약점이 아닌 정상적인 OLE 개체 삽입 기능을 악용했기에 최신버전을 사용 중인 이용자들도 감염될 우려가 있다"고 강조했다.