ASEC 분석팀은 매크로 시트(Excel 4.0 Macro)를 이용한 악성 엑셀 문서가 피싱 메일을 통해 국내에 다수 유포 중인 정황을 확인하였다. 매크로 시트를 이용한 방식은 악성코드 유포자가 자주 사용하는 방식으로, SquirrelWaffle / Qakbot 을 비롯한 다양한 악성코드 유포에도 사용된 이력이 존재한다.
매크로 시트를 활용한 악성코드에 대해서는 위와 같이 본 블로그에 여러 차례에 걸쳐 소개한 바 있다. 이번에 소개하려는 형태도 유포 방식이 크게 다르지 않으나 유사한 형식의 파일명으로 다량 유포하는 정확이 확인되어 사용자들의 주의가 요구된다.
대부분의 파일명은 biz-106093825.xls / recital-1105217019.xls / miss-1360738092.xls 와 같이 ‘짧은영단어-[0-9]{7,10}’ 의 형태를 띄는 것으로 확인되었다. ASEC 분석팀에서 확보한 파일들 중 일부를 소개하면 다음과 같다.
- biz-10682809.xls
- biz-108566842.xls
- recital-1105217019.xls
- miss-1601179456.xls
- proto-1643065415.xls
- miss-1360738092.xls
- record-1844987577.xls
- record-16733321.xls
최초 엑셀 파일을 실행했을 때에는 다음과 같이 숨긴 시트가 확인되며, 숨겨진 시트들에는 흰색의 텍스트로 분산은닉 되어있는 데이터가 존재한다.
숨겨진 시트에 분산은닉 되어있는 매크로 코드를 분석해보면 다음과 같다.
URLDownloadToFileA 함수를 이용하여 시트에 존재하는 외부 URL 로 접근하여 추가 악성코드를 ‘C:\Datop\test.test’ 의 파일명으로 지정하여 내려받고, 이어 regsvr32.exe 를 이용하여 실행하기 위한 목적으로 확인된다.
현재는 다운로드가 되지 않기 때문에 아래와 같이 매크로 실행 시 오류가 발생하지만, 내부적으로 확보한 ‘test.test’ 유형의 파일은 뱅킹 악성코드의 일종인 Qakbot 인 것으로 확인되었다.
만약 외부URL과의 연결이 유효하여 정상적으로 추가 악성코드가 내려받아진다면, 윈도우 정상 프로세스인 explorer.exe 를 실행하여 쉘코드를 인젝션 후 추가 악성행위를 수행한다. Qakbot 악성코드는 기본적인 실행 지속성을 위해 작업 스케쥴러를 수정하는 행위와 C2에 대한 POST Connection 도 확인되는데 해당 정보는 다음과 같다.
또한, 감염된 시스템에 대해 수집한 정보를 POST 커넥션을 통해 C2에 전송하게 되는데, OS버전 및 비트 수, 사용자 이름, 컴퓨터 이름을 비롯한 일반 시스템 정보 외에도 아래와 같은 시스템 유틸리티 명령어를 통해서도 정보를 수집하는 것을 확인할 수 있다.
다수의 유사 파일명으로 대량 유포되는 정황이 확인된 관계로, 사용자들은 출처를 알 수 없는 의심스러운 메일을 수신하였을 경우 첨부 파일을 실행하는 것은 지양해야한다. 또한, 사용하고 있는 백신을 항상 최신 버전으로 업데이트하려는 주의가 요구된다.
현재 V3 에서는 파일진단 뿐 아니라 아래와 같이 행위탐지도 가능하다.
[파일진단]
Downloader/XLS.XLMacro
[행위진단]
Malware/MDP.Behavior.M3638
[IOC]
91725a6d34b1ebde3554d22797ee8b2d
hxxps://slterp[.]com/q6tM5LqSc7CV/alp.html
hxxps://uptownsparksenergy[.]com/Vcvci5hRYpb/alp.html
hxxps://greenhillsacademy[.]org/d1XXblsaG/alp.html
hxxps://jjfinserv[.]com/sPgUbTca273t/super.gif
hxxps://live.sportsanews[.]com/9oQZ7XHINQ/super.gif
hxxps://e2eprocess[.]cl/d12AIIiIB4Q1/super.gif
연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.
Categories:악성코드 정보