MS 보안팀 사칭 악성메일 주의…한국 사용자 겨냥

[CBC뉴스] 마이크로소프트(MS) 보안팀을 사칭한 이메일을 통해 국내 사용자를 노리는 신종 악성코드가 발견돼 주의가 요구된다.

15일 보안업체 지니언스에 따르면 북한 연계 해킹조직 APT37의 소행으로 추정되는 원격제어 악성코드(RAT) '나왈랫(NarwhalRAT)'이 최근 한국 사용자를 대상으로 유포되고 있는 것으로 확인됐다.

공격은 "MS 계정에서 일회용 인증코드(OTP)가 반복 생성되는 이상 징후가 감지됐다"는 내용의 스피어피싱 이메일로 시작된다. 이메일 발신자명은 'Microsoft 계정 팀'으로 표시되지만 실제 발신 주소는 공식 마이크로소프트 도메인이 아닌 것으로 파악됐다.

메일은 계정 탈취 가능성을 언급하며 첨부 파일 확인을 유도한다. 사용자가 압축 파일을 해제한 뒤 한글 문서로 위장한 바로가기(.lnk) 파일을 실행하면 정상 문서가 열리는 동시에 악성코드가 백그라운드에서 설치된다.

지니언스는 해당 악성코드가 설치 과정에서 'naverwhale'이라는 폴더를 생성하는 점에 착안해 'NarwhalRAT'이라는 이름을 붙였다. 국내 이용자가 많은 네이버 웨일 브라우저를 연상시키는 명칭을 사용한 점은 한국 사용자를 주요 표적으로 삼고 있음을 보여주는 정황으로 분석된다.

또 악성코드 내부에는 카카오톡 관련 창을 별도로 식별해 처리하는 기능도 포함돼 있는 것으로 확인됐다. 이는 정보 수집 효율을 높이기 위해 한국 사용자 환경에 맞춰 설계된 것으로 보인다.

나왈랫은 키보드 입력 기록 수집(키로깅), 화면 캡처, 마이크 녹음, USB 저장장치 파일 탈취, 원격 명령 실행 등 30여 종 이상의 기능을 수행할 수 있다.

공격자는 이를 통해 사용자의 활동 내역과 접속 서비스, 입력 정보 등을 실시간에 가깝게 수집할 수 있으며, 탈취한 데이터는 임시 저장 후 일괄 전송하는 방식으로 탐지를 회피하는 것으로 분석됐다.

지니언스는 이번 공격이 지난해 공개된 APT37의 파이썬 기반 백도어 공격과 구조적으로 유사하다고 설명했다. 미끼 문서 작성자 정보, 악성 바로가기 파일 구성, 배치파일 난독화 기법, 작업 스케줄러를 활용한 지속성 확보 방식 등이 상당 부분 일치했다는 것이다.

지니언스는 "유사한 변종 악성코드가 지속적으로 등장할 가능성이 있다"며 "출처가 불분명한 이메일 첨부파일 실행을 자제하고, 파일 기반 탐지뿐 아니라 행위 기반 보안 모니터링 체계를 강화해야 한다"고 당부했다.

★ 네티즌 어워즈 투표하러 가기 ▶
★ 실시간 뉴스속보 - CBC뉴스 텔레그램 ▶

▮ CBC뉴스ㅣCBCNEWS 하영수 기자