LOKIBOT

PDF 내 첨부된 파일을 안전한 파일로 속이기 위한 수법

ASEC 분석팀은 PDF의 첨부파일(Attachment)기능을 이용하여 인포스틸러 유형의 악성코드가 유포되는 것을 확인하였다. 이전에도 확인된 공격방법이었지만, 최근 이러한 유형의 악성코드가 다시 활발하게 유포되는 정황이 확인되어 사용자들에게 알리려 한다. 사용자를 속이기 위해 공격자가 첨부파일의 이름을 활용하여 간단한 트릭을 사용한 점이 주목할만하다. Acrobat Reader에서는 PDF파일 자체에 첨부파일을 추가할 수 있는 기능이 존재하는데, 디폴트 블랙리스트로 지정된 .bin/.exe/.bat/.chm 등의 확장자를 갖는 파일은 위험요소로 인식하여 첨부할 수 없다. 디폴트 블랙리스트/화이트리스트에 존재하지 않는 그 외의 파일들에 대해 사용자의 판단을 확인하는 메세지박스가 발생하는데, 공격자는 이러한 점을 악용하였다. 이메일에 첨부된…

국세청 사칭 메일을 통해 Lokibot 악성코드 유포 중

ASEC 분석팀은 최근 홈택스를 사칭한 악성 메일이 꾸준히 유포되고 있음을 확인하였다. 메일 발신인의 주소는 지난해와 마찬가지로 홈택스를 위장한 hometaxadmin@hometax.go[.]kr, hometaxadmin@hometax[.]kr 이며 본문 내용 역시 전자 세금 계산서 관련 내용이 포함되어 있다. 해당 유형의 메일은 과거부터 꾸준히 유포되고 있으며, 지난해 ‘국세청 ‘전자세금계산서’ 사칭한 Lokibot 유포’ 글에 공유된 사칭 메일의 경우 악성 매크로가 포함된 PPT 파일이 첨부되어 있었으나 최근에는 악성 실행 파일을 압축한 형태로 유포되고 있다. 메일에 첨부된 압축 파일 내부에는 아래와 같이 실행 파일이 존재한다. 파일명에 메일 본문에 작성된 발행일과 동일한…

견적서 요청 피싱메일로 위장한 Lokibot 악성코드

ASEC 분석팀은 견적서 요청 건으로 위장한 Lokibot 악성코드 유포 정황을 확인하였다. Lokibot 악성코드는 수 년 전부터 꾸준히 유포되고 있지만, ASEC 블로그를 통해 제공하는 주간 악성코드 통계를 확인해보면 지속적으로 순위권에 있는 것을 알 수 있다. 이번에 확인된 Lokibot 악성코드는 피싱메일 내 첨부파일을 통해 유포되고 있으며, CAB/LZH 를 이용한 압축파일을 이용한 점이 특징이라고 할 수 있다. 메일 본문의 내용은 매우 간단하지만 관련 업무를 수행하고 있다면 발신인을 비롯한 회사 이름이 국내에 실제로 존재하기 때문에 의심 없이 첨부 파일을 실행해 볼 가능성이 존재한다. 첨부파일을…

기업 대상 <견적의뢰 건> 제목의 이메일 주의

‘견적의뢰 건’ 제목의 악성 이메일이 기업을 상대로 다수 유포되고 있다. 작년 하반기부터 현재까지 이어지고 있는 이 악성 스팸메일 공격은 사용자 계정을 탈취할 목적으로 불특정 다수 기업에게 유포되고 있다. 사용자의 회사 메일 계정을 탈취하기 위해 피싱 웹페이지 접속을 유도하거나, 정보유출형 악성코드인 Lokibot 실행파일을 유포하였다. 이메일 제목은 현재까지 ‘견적의뢰 건’ 또는 ‘견적의 건 (날짜)’ 형태가 확인되었다. 아래는 1월 26일 언론사에 발송된 이메일이다. 이메일은 2개의 HTML 페이지를 첨부파일로 첨부하고 있다. 제목만 다른 동일한 파일이고, 브라우저를 이용해 페이지를 실행하면 내부에 삽입된 스크립트를 통해 악성…

국세청 ‘전자세금계산서’ 사칭한 Lokibot 유포

ASEC 분석팀에서는 금일 Lokibot이 국세청 ‘전자세금계산서’를 사칭하여 유포되고 있음을 확인하였다. 국세청을 사칭한 피싱 공격은 비단 이번 뿐만이 아니었다. 아래와 같이 기존 ASEC 블로그를 통해서 Infostealer 와 CLOP 랜섬웨어가 국세청을 사칭하여 유포된 이력을 확인 할 수 있다. 그 때 당시에는 메일 내부에 HTML 파일을 첨부하여 해당 파일 실행시 추가 악성파일을 다운로드하는 구조로 제작되었으나 이번에는 악성 매크로를 가진 파워포인트(*.PPT) 파일을 첨부하였다. 국세청 ‘전자세금계산서’ 사칭 악성코드 유포 – https://asec.ahnlab.com/ko/1368/ [주의] 국세청 사칭 악성 메일 대량 유포 (Ammyy, CLOP) – https://asec.ahnlab.com/ko/1234/ 이 첨부된 PPT…