QakBot과 동일한 방법으로 유포중인 IcedID(BokBot) – 악성 엑셀 다수 유포 중

ASEC 분석팀은 최근 국내 사용자를 대상으로 악성 매크로를 이용한 스팸 메일의 유입이 증가하고 있는 정황을 확인하였다. 유포가 증가한 악성 Excel 파일명은 document-1962646879.xls 와 같이 document-[랜덤한숫자].xls 의 형식을 갖는다.

압축 파일이 첨부되어 발송되는 스팸 메일에서 첨부 파일을 다운로드 받게 되면, 해당 압축 파일에는 Excel 파일이 포함되어 있는 것을 확인할 수 있다.

문서를 실행하면 아래와 같은 문구를 통해 사용자의 호기심을 자극한다. DOCUSIGN에 의해 문서가 인코딩 되어있음을 암시하며, 암호화 된 문서를 확인하기 위해서는 ‘편집 활성화(Enable Editing)’ 혹은 ‘콘텐츠 사용(Enable Content)’ 버튼을 클릭하도록 유도하는 것이다.

해당 Excel 파일은 수식 매크로(Excel 4.0 매크로)를 사용하여 악성 실행파일을 다운로드 하며, rundll32.exe 를 이용하여 내려받은 dll 파일을 실행하게 된다.

수식 매크로 셀에 기입된 다운로드 URL 을 비롯한 텍스트는, DocuSign 시트가 아닌 Doc1/Doc2 시트 내에 하얀색 글씨를 사용하여 분산은닉 해두었다. 분석 당시에는 대부분의 다운로드 URL이 끊긴 상태로 확인되어 유사한 파일을 이용하여 분석하였다.

Excel 4.0 매크로를 이용하여 Excel의 셀에서 다운로더 기능을 수행하는 코드를 실행하는데 간략한 과정은 다음과 같다. URLDownloadToFile 함수를 이용하여 hxxps://malware_url/(number).gif 형식의 악성URL에서 실행파일을 다운로드 받으며, 이렇게 내려받은 rieuro.vnt 파일은 확장자가 dll 로 변경되어 rundll32.exe 에 DllRegisterServer 파라미터로 로드되어 실행된다.

이러한 방식은 기존 ASEC 블로그에서 지속적으로 소개해왔던 QakBot 악성코드의 유포방식과 동일하다.

악성 매크로를 통해 국내 유포 중인 Qbot 악성코드 – ASEC BLOG

ASEC 분석팀은 지난 8월부터 Qbot(Qakbot) 을 다운로드하는 문서 파일이 국내에 지속적으로 유포중인 것을 확인하였다. 해당 문서는 악성 매크로를 포함하고 있으며, 매크로 실행시 추가 악성 파일을 다운로드하게 된다. 다운로드되는 Qbot 악성코드는 지난 6월부터 아래의 해외 사이트를 통해 유포 정황이 소개되었다. (6월 15일) https://www.bleepingcomputer.com/news/security/us-bank-customers-targeted-in-ongoing-qbot-campaign/ (8월 20일)…

급여명세서로 유포 중인 Qakbot 악성코드 (*.xlsb) – ASEC BLOG

뱅킹형 악성코드로 알려진 QakBot(이하 QBot)이 최근 국내 사용자를 대상으로 유포되고 있음을 확인하였다. QBot은 2008년부터 존재했던 오래된 악성코드이다. 그러나 올 해부터 유포량이 급증해 해외에서 자주 거론된 바 있으며, 8월부터는 국내 사용자를 타겟으로 유포되고 있어 해당 블로그에서 소개하였다. 8월에는 VBS(Visual Basic Script)를 사용해 악성 실행 파일을 다운로드 하였다. 하지만 최근에는 다운로드 방식을 수식 매크로(Excel 4.0 Macro)를 사용해 악성 실행 파일을 다운로드한다. 수식 매크…

셀 수식에 입력 되어있는 URL을 통해 QakBot으로 추정되는 실행파일을 내려받을 것으로 예상했으나, 다운로드 된 dll파일을 실행하여 분석 시 QakBot 이 아닌 IcedID(BokBot) 악성코드로 확인되었다.

2017년 말에 처음 발견된 IcedID 악성코드는 BokBot 으로도 불리는데, IcedID 또한 HTTPS 웹페이지를 변조하는 모듈형 뱅킹 악성코드이다. 다운로드 받은 dll파일을 동작 시켰을 때 발생하는 패킷을 분석해보면, IcedID 악성코드의 방식과 동일함을 확인할 수 있다.

사용자들은 출처가 불분명한 메일 열람 시 주의해야 하며, 첨부파일을 최대한 실행하지 않도록 해야 한다.

현재 V3 제품에서는 관련 파일에 대해 다음과 같이 진단하고 있다.

• Trojan/Win64.IcedID
• Trojan/XLS.Agent

[IOC 정보]

• MD5 : cd395ad83c4ca080c1bd9bce1341e01f
• hxxps://mavenconsulting.com[.]pk/ds/2202.gif
• hxxp://prolomstenn[.]fun