견적서 문의를 위장한 피싱 메일 주의 (SnakeKeylogger)

최근 AhnLab SEcurity intelligence Center(ASEC)에서는 견적서 문의 요청을 위장한 피싱 메일이 유포되고 있음을 확인했다. 이메일 본문에는 구매팀 자재관리파트 담당자를 사칭해 견적서를 확인해 달라는 내용으로 위장하고 있으며, 확인을 위해 첨부된 압축파일을 다운로드 하도록 유도한다.
 

[그림 1] 메일 본문

 

사용자가 첨부된 압축 파일을 내려받아 압축을 해제하면 [그림 2]와 같이 JavaScript 파일이 확인된다. 해당 JavaScript 파일은 내부에 난독화된 형태로 포함된 PowerShell 스크립트를 복호화한 뒤 실행한다.

 

[그림 2] 압축 파일

[그림 3] 악성 JavaScript

 

실행된 PowerShell 스크립트는 AES-256-CBC 알고리즘을 이용해 내부의 암호화된 페이로드를 복호화하고, 이를 메모리상에서 실행한다. 이때 복호화되어 실행되는 페이로드 역시 PowerShell 스크립트이다.

 

[그림 4] AES-256-CBC로 암호화된 2차 PowerShell 스크립트

[그림 5] AES-256-CBC 복호화 루틴 및 2차 PowerShell 스크립트 실행 루틴

 

메모리상에서 실행된 2차 PowerShell 스크립트는 내부 페이로드를 XOR 연산으로 복호화한 뒤 다시 메모리상에서 실행한다. 이 과정에서 프로세스 인젝션 대상인 “aspnet_compiler.exe”의 경로와 인젝션에 사용되는 최종 악성코드 페이로드를 인자로 전달한다.

XOR Key

• THeSaTaN56@@^

 

[그림 6] 암호화된 로더 악성코드

[그림 7] 인자로 전달되는 aspnet_compiler.exe의 경로와 최종 악성코드 페이로드

 

메모리상에서 실행된 로더 악성코드는 aspnet_compiler.exe 프로세스를 실행한 뒤, 프로세스 할로잉(Process Hollowing) 기법을 이용해 최종 악성코드를 해당 프로세스에 인젝션한다.

 

[그림 8] 로더 악성코드 메인

 

최종적으로 실행되는 악성코드는 인포스틸러 유형의 SnakeKeylogger이다. SnakeKeylogger는 감염된 시스템에서 웹 브라우저에 저장된 정보, 시스템 정보 및 키로깅 데이터 등 다양한 정보를 수집한 뒤 SMTP 또는 텔레그램을 통해 외부로 전송한다. 공격에 사용된 C2 서버 정보는 다음과 같다.

SnakeKeylogger C2

• Mail Sever : hosting2.ro.hostsailor[.]com
• ID : logs@aewn[.]buzz
• Email To : log@aewn[.]buzz

 

[그림 9] SnakeKeylogger 악성코드 Main

 

대응 가이드

1. 발신자 확인

• 발신자의 이메일 주소가 공식적인 도메인인지 확인한다.

2. 하이퍼 링크 및 첨부 파일 확인

• 메일의 본문에 첨부된 이미지 클릭을 유도한 경우, 클릭 전 연결된 URL 정보를 먼저 확인한다. 의심스러운 URL은 보통 공식 페이지가 아닌 다른 경로를 거쳐 최종적으로 정상 페이지로 리다이렉트될 수 있으므로, 이를 주의 깊게 살펴봐야 한다. 또한, 첨부 파일이 있을 경우 의심 스러운 파일 확장자(.exe, .vbs, .js 등)인지 확인한다.

3. 민감 정보 입력 주의

• 로그인 계정 정보와 같은 민감 데이터를 요구하는 경우, 해당 정보를 입력하기 전에 반드시 해당 페이지의 URL이 공식 페이지인지 확인한다. 공식 페이지가 아닌 경우, 의심스러운 URL일 가능성이 높으므로 주의가 필요하다. 특히, 민감 정보를 입력하기 전에 페이지의 보안 인증(HTTPS, 자물쇠 아이콘)을 확인하고, 의심스러운 경우 절대 정보를 입력하지 않도록 한다.

MD5

e89c8668c8b5041768a59c1532edf2ad