Microsoft OneNote를 통해 유포되는 악성코드 분석 보고서

본 문서는 최근 Microsoft OneNote를 활용하여 활발하게 유포되는 악성코드에 대한 분석 보고서이다. ASEC 분석팀은 지난해 11월부터 급격하게 증가한 OneNote 악성코드의 유포 동향을 확인하였고,파일을 실제 실행했을 때의 화면을 기반으로 제작 정도의 정교함에 따라 나누었다.

즉, ‘1) 간단한 블록 이미지로 악성 개체를 은닉한 유형’ 과 ‘2) 보다 더 정교하게 제작한 악성 OneNote 유형’ 으로 분류하였는데, 예시 샘플에 대한 이미지는 다음과 같다.

1) 간단한 블록 이미지로 악성 개체를 은닉한 유형

2) 보다 더 정교하게 제작한 악성 OneNote 유형

이어서, 실제 악성 행위를 수행하는 내부 개체를 파일 포맷 별로 분류하여 분석하였다. 내부개체는 크게 스크립트파일/문서파일/실행파일 로 분류하였으며, 스크립트파일은 확장자 별로 분류하여 분석하였다. 이 과정에서 공격자가 사용자를 속이기 위해 의도한 방식과 AntiVirus 제품 혹은 IDS/IPS 솔루션의 탐지 회피를 목적으로 한 내용도 기술하였다.

내부 개체를 은닉하는 다양한 유형과, 기존에는 PE파일에서 흔히 확인되던 RTLO 기법을 Non-PE 유형의 파일명에 사용했다는 점, PoshC2 프레임워크와 같은 침투테스트 스크립트를 사용하는 여러 단계를 거쳐서 악성 행위가 일어나도록 한다는 점을 통해 앞으로도 보다 더 다양한 유형으로 정교한 악성코드가 제작될 것으로 보인다.

상세 분석 보고서는 아래의 다운로드 링크를 통해 확인 가능하다.

____

____

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.