"인보이스 위장한 악성코드 파일 조심하세요"

머니투데이

김주현 기자

공격자가 발송한 '구매 송장(invoice)' 위장 메일/사진제공=안랩

안랩 (63,000원 ▼600 -0.94%)은 최근 '인보이스'(구매 송장) 메일로 위장해 사용자 정보를 노리는 악성코드 유포 사례가 발견됐다고 사용자 주의를 당부했다.

19일 안랩에 따르면, 공격자는 크리스마스와 연말 선물 등 온라인 구매가 많아지는 최근 'Invoice 000(랜덤숫자)'나 'Invoice Confirmation(송장확인)' 등 해외 거래 송장으로 위장한 메일을 발송했다. 공격자는 해당 위장메일에 문서파일(.doc)로 된 악성파일을 직접 첨부하거나 악성 URL(인터넷주소)을 넣어 다운로드를 유도하는 방식으로 악성코드를 유포했다.

사용자가 첨부된 악성파일을 실행하면 정상 문서 파일 화면과 "매크로를 사용할 수 없도록 설정했습니다"라는 문구가 나오면서 '콘텐츠 사용' 버튼이 나타난다. 사용자가 이 버튼을 누르면 '이모텟'(Emotet) 악성코드가 실행된다.

이모텟 악성코드는 사용자 몰래 PC에 실행 중인 웹 브라우저를 확인한 뒤 아이디와 패스워드 등 사용자 정보와 감염 PC 시스템 정보를 탈취한다. 또 특정 웹사이트에 접속해 추가 악성코드 다운로드를 시도해 사용자 PC가 켜질 때마다 이모텟 악성코드가 동작하도록 설정을 변경하기도 한다.

안랩은 악성코드 피해를 줄이기 위해 △출처가 불분명한 메일의 첨부파일·URL 실행금지 △백신 최신버전 유지와 실시간 감시 기능 실행 △파일 실행 전 최신 버전 백신으로 검사 △OS(운영체제)와 인터넷 브라우저(IE·크롬·파이어폭스 등), 오피스 SW등 프로그램 최신 보안 패치 적용 등을 실행해야 한다고 조언했다.

박태환 안랩 ASEC대응팀장은 "온라인 거래가 많아지는 연말에는 기업 담당자나 해외 직구 사용자 등을 노린 공격이 많다"며 "피해를 예방하기 위해 평소 출처가 불분명한 메일의 첨부파일 실행에 주의하는 등 보안 수칙 생활화가 필수"라고 말했다.