안랩, 美 은행 위장 악성메일 유포 '주의'

[아이뉴스24 최은정 기자] 미국 은행 뱅크오브아메리카(BOA)의 입금 확인 관련 메일로 위장한 원격제어 악성코드가 발견됐다.

안랩(대표 강석균)은 최근 미국 BOA의 '입금 확인 요청' 자동 메일로 위장해 원격제어 악성코드를 유포하는 사례를 발견했다며 27일 사용자 주의를 요구했다.

공격자는 BOA 자동발송 메일로 위장하기 위해 메일 주소에 'donot_reply(회신금지)'를 쓰고 BOA의 이름을 사용한 악성 엑셀파일을 첨부했다. 메일 본문에는 '당신의 계좌에 $9,849가 전자자금이체(EFT) 방식으로 지급됐다, 자동발송 메일이니 회신하지 말고 첨부파일을 확인하라'고 기재해 첨부파일 실행을 유도했다.

만약 사용자가 해당 파일을 열면 파일 상단에 '매크로를 사용할 수 없도록 설정했습니다'는 안내창과 함께 매크로 설치를 권유하는 '콘텐츠 사용' 버튼이 나타난다. 이를 클릭하면 공격자 명령에 따라 키보드 입력 기록, 웹 브라우저에 저장된 사용자 계정 정보 등을 탈취할 수 있는 원격제어 도구 악성코드(Remcos RAT)가 설치된다.

공격자는 악성 파일을 직접 실행하는 것이 아니라 사용자 PC의 정상 프로세스에 악성 스크립트 등을 삽입하는 파일리스 방식으로 백신 파일기반 탐지를 우회했다는 게 회사 측 분석이다. 현재 안랩 백신(V3) 제품군은 해당 악성코드를 진단하고 있다.

장서준 안랩 분석팀 주임연구원은 "최근 문서 프로그램 매크로 실행으로 악성코드를 유포하는 사례가 자주 발견되고 있다"며 "특히 사용자의 의심을 피하기 위해 유명 기업·기관을 사칭하는 경우가 많아 평소 첨부파일이나 해당 파일 내 매크로 기능을 실행하지 않는 것이 좋다"고 말했다.