발주서 확인 요청으로 위장한 피싱 메일 주의 (Xloader)

최근 AhnLab SEcurity intelligence Center(ASEC)에서는 발주서 확인 요청으로 위장한 피싱 메일 유포 사례를 확인했다. 이메일 본문에는 발주서 확인을 위해 발주서로 위장한 악성 DOCX 파일을 확인하도록 유도한다.

 

[그림 1] 피싱 이메일 본문

 

사용자가 첨부된 DOCX 파일을 다운로드하여 실행하면, [그림 2]와 Word의 “다른 문서 내용 가져오기(altChunk)” 기능을 악용해 Word 파일 내부에 악성 RTF 문서가 실행된다.

 

[그림 2] altChunk에 포함된 악성 RTF 문서 경로

[그림 3] Word 파일 내부에 악성 RTF 문서

 

Word가 악성 RTF 문서를 처리하는 과정에서 문서 내부의 OLE 객체에 포함된 악성 VBS 파일이 %TMP%\724812.vbs 경로에 생성된다. 이후 수식 편집기(Equation Editor)의 알려진 취약점인 CVE-2017-11882를 악용하는 OLE 객체가 아래 명령을 실행해 해당 VBS 파일을 실행한다.

실행 명령

• CmD.exe /C cscript %tmp%\724812.vbs

 

[그림 4] 악성 RTF 내부 OLE 객체

[그림 5] OLE 객체에 삽입된 악성 VBS 파일 실행 명령

 

실행된 악성 VBS 파일에는 Base64로 인코딩된 데이터가 포함되어 있으며, 해당 데이터를 그대로 %TMP%\Quisque.Dal 경로에 파일로 생성한다. 또한, 내부 존재하는 1차 PowerShell 스크립트를 실행한다. 생성된 데이터 파일은 [표 1]과 같은 구조로 구성되어 있다.

 

[그림 6] 악성 VBS 파일 내부 데이터

[그림 7] Base64로 인코딩된 데이터 파일

시작 Offset	끝 Offset	길이	설명
0x0	0x284	0x285	로더
0x285	0x57A7C	0x577F8	Payload
0x57A7D	0x5C997	0x4F1B	2차 PowerShell 스크립트

[표 1] 데이터 파일 구조 (디코딩 시)

 

1차 PowerShell 스크립트는 실행 시 [표 2]와 같이 PowerShell 실행 경로와 스크립트를 각각 TORO와 Laboris 레지스트리 값에 저장한다. 이후 Run 키에 Cupidatat 값을 등록하여 사용자 로그인 시 저장된 PowerShell 스크립트가 자동으로 실행되도록 함으로써 지속성을 확보한다.

 

[그림 8] 레지스트리 등록

레지스트리 경로	값 이름	값 데이터
HKCU\Environment	TORO	PowerShell.exe 경로
HKCU\SOFTWARE\AppDataLow	Laboris	1차 PowerShell 스크립트
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run	Cupidatat	%TORO% -w 1 $inwindi=(Get-ItemProperty -Path ‘HKCU:\SOFTWARE\AppDataLow\’).Laboris;%TORO% ($inwindi)

[표 2] 레지스트리 등록 목록

 

이후 1차 PowerShell 스크립트는 %TMP%\Quisque.Dal 파일을 복호화해 2차 PowerShell 스크립트를 실행한다. 2차 PowerShell 스크립트는 로더 악성코드를 실행하며, 이 과정에서 암호화된 Payload를 인자로 전달한다. 로더 악성코드는 전달받은 Payload를 XOR 연산으로 복호화한 뒤 메모리상에서 실행한다.

XOR 키

• 0x6B506102

 

[그림 9] 2차 PowerShell 실행

[그림 10] 로더 악성코드 실행

[그림 11] 로더 악성코드의 XOR 복호화 루틴

 

최종적으로 실행되는 악성코드는 인포스틸러(Infostealer) 유형의 XLoader이다. XLoader는 감염된 시스템에서 PC 정보와 브라우저 정보 등 민감한 정보를 탈취하며, 추가 악성코드를 다운로드하는 등 다양한 악성 기능을 수행한다.

 

C2

• hxxp://www.dumbsplash[.]com/ilto/

 

[그림 12] Xloader 버전 정보 (8.9)

 

 

대응 가이드

1. 발신자 확인

• 발신자의 이메일 주소가 공식적인 도메인인지 확인한다.

2. 하이퍼 링크 및 첨부 파일 확인

• 메일의 본문에 첨부된 이미지 클릭을 유도한 경우, 클릭 전 연결된 URL 정보를 먼저 확인한다. 의심스러운 URL은 보통 공식 페이지가 아닌 다른 경로를 거쳐 최종적으로 정상 페이지로 리다이렉트될 수 있으므로, 이를 주의 깊게 살펴봐야 한다. 또한, 첨부 파일이 있을 경우 의심 스러운 파일 확장자(.exe, .vbs, .js 등)인지 확인한다.

3. 민감 정보 입력 주의

• 로그인 계정 정보와 같은 민감 데이터를 요구하는 경우, 해당 정보를 입력하기 전에 반드시 해당 페이지의 URL이 공식 페이지인지 확인한다. 공식 페이지가 아닌 경우, 의심스러운 URL일 가능성이 높으므로 주의가 필요하다. 특히, 민감 정보를 입력하기 전에 페이지의 보안 인증(HTTPS, 자물쇠 아이콘)을 확인하고, 의심스러운 경우 절대 정보를 입력하지 않도록 한다.

MD5

5bd3c5f273ba5ae4c4ae745c6943a4f7

8b3542531d98a47524c0f468d0158996

e0d7a34bc9f4590bc073d08b50c854d1

URL

http[:]//www[.]dumbsplash[.]com/ilto/