구매 주문서를 위장한 피싱 메일 주의
최근 AhnLab SEcurity intelligence Center(ASEC)에서는 구매 주문서 확인 요청으로 위장한 피싱 메일이 유포되는 정황을 확인하였다. 이메일 본문에는 첨부된 구매 주문서를 확인한 후 관련 자료를 회신해 달라는 내용이 포함되어 있으며, 사용자가 첨부된 DOCX 문서 파일을 다운로드해 열람하도록 유도한다.
- 첨부된 파일 : PURCHASED ORDER.docx
[그림 1] 피싱 메일 본문
첨부된 DOCX 문서 내부에는 악성 RTF 파일인 niza.rtf가 포함되어 있으며, altChunk 요소를 통해 word\niza.rtf 파일을 불러온다. altChunk는 DOCX 문서에서 사용하는 WordprocessingML 요소로, 콘텐츠를 본문 XML에 직접 삽입하지 않고 HTML이나 RTF 등 외부 형식의 콘텐츠를 문서 내부로 가져와 표시하도록 한다.
[그림 2] DOCX 파일 내부에 존재하는 악성 RTF 파일
niza.rtf 파일 내부에는 [그림 3]과 같이 악성 VBS 파일인 832734.vbs와 수식 편집기 취약점을 트리거하는 Equation.3 개체가 포함되어 있다. 832734.vbs 파일은 %TEMP% 경로에 생성되며, 수식 편집기 취약점을 통해 cmd.exe /C cscript %TMP%\832734.vbs 명령이 실행되면서 악성 VBS 파일이 실행된다.
[그림 3] RTF 파일에 포함된 832734.vbs와 취약점 코드
832734.vbs 파일은 Base64로 인코딩된 데이터를 %APPDATA%\Tempor.zip 파일로 생성한 후, PowerShell을 숨김 상태로 실행한다. 이후 PowerShell 스크립트는 실제 ZIP 형식이 아닌 Tempor.zip 파일에서 Base64 문자열을 읽어 디코딩하고, 디코딩된 데이터를 %TEMP% 경로에 임의의 GUID 이름을 가진 ZIP 파일로 저장한다. 이후 기존 %USERPROFILE%\AppData\Roaming\Templates\python312x86 폴더가 존재할 경우 해당 폴더를 삭제하고 다시 생성한 다음, 임시 ZIP 파일의 압축을 해당 경로에 해제한다. 압축 해제가 완료되면 임시 ZIP 파일을 삭제하고, python312x86 폴더에 포함된 pythonw.exe를 통해 Protected.py 파일을 실행하여 후속 악성 행위를 수행한다.
[그림 4] 832734.vbs 코드 중 일부
[그림 5] 디코딩된 Tempor.zip 파일
Protected.py는 동일 경로의 Excepteur.Dal을 Base64 디코딩한 후 Salsa20 → ChaCha20 → RC4 → XOR 순으로 복호화한다. 복호화된 데이터에는 PE 로더와 쉘코드가 존재하며, 로더를 메모리에 매핑한 뒤 쉘코드 주소를 전달하여 실행한다.
[그림 6] Protected.py 코드 중 일부
쉘코드는 최종적으로 인포스틸러 유형의 SnakeKeylogger를 실행한다. Snake Keylogger는 레지스트리 Run 키를 통해 지속성을 확보한 후 키보드 입력, 클립보드, 화면, Wi-Fi 비밀번호, 브라우저 및 메일 계정정보, FileZilla 접속정보, Discord 토큰과 공인 IP 및 위치 정보 등을 탈취한다.
SnakeKeylogger C2
- Mail Sever : cphost17.qhoster[.]net:587
- ID : obsender4snake@exzwzc[.]com
- Email To : kingmethodlogs2026@exzwzc[.]com
[그림 7] SnakeKeylogger
대응 가이드
1. 발신자 확인
- 발신자의 이메일 주소가 공식적인 도메인인지 확인한다.
2. 하이퍼 링크 및 첨부 파일 확인
- 메일의 본문에 첨부된 이미지 클릭을 유도한 경우, 클릭 전 연결된 URL 정보를 먼저 확인한다. 의심스러운 URL은 보통 공식 페이지가 아닌 다른 경로를 거쳐 최종적으로 정상 페이지로 리다이렉트될 수 있으므로, 이를 주의 깊게 살펴봐야 한다. 또한, 첨부 파일이 있을 경우 의심 스러운 파일 확장자(.exe, .vbs, .js 등)인지 확인한다.
3. 민감 정보 입력 주의
- 로그인 계정 정보와 같은 민감 데이터를 요구하는 경우, 해당 정보를 입력하기 전에 반드시 해당 페이지의 URL이 공식 페이지인지 확인한다. 공식 페이지가 아닌 경우, 의심스러운 URL일 가능성이 높으므로 주의가 필요하다. 특히, 민감 정보를 입력하기 전에 페이지의 보안 인증(HTTPS, 자물쇠 아이콘)을 확인하고, 의심스러운 경우 절대 정보를 입력하지 않도록 한다.
AhnLab TIP를 구독하시면 연관 IOC 및 상세 분석 정보를 추가적으로 확인하실 수 있습니다. 자세한 내용은 아래 배너를 클릭하여 확인해보세요.
