"외교·안보 설문지인줄 알았는데"… 알고 보니 내 정보 털어가는 악성파일

외교·안보 관련 설문지 문서파일로 위장한 악성 매크로 프로그램이 유포되고 있어 이용자들의 주의가 필요하다는 분석이 나왔다.


안랩 (64,400원 0.00%)은 최근 특정 해외 매체의 외교·안보 관련 인터뷰 질문지로 위장한 악성 매크로 유도 문서 파일을 잇따라 발견했다며 23일 이같이 밝혔다.

안랩에 따르면 이 문서는 'CNA[Q].doc'라는 파일 명으로 정부의 외교·안보 정책 등에 대한 질문을 담고 있다. 사용자가 답변 작성을 위해 타이핑을 시작하면 매크로 사용을 유도하는 메시지와 함께 '콘텐츠 사용'이라는 버튼이 문서 상단에 나타난다.

만약 사용자가 무심코 이 버튼을 클릭하면 악성 매크로가 실행된다. 이 경우 사용자 PC의 최근 폴더 경로와 폴더 내용, 시스템 정보 등이 공격자의 서버로 유출된다.

이 문서를 열기 위해서는 암호가 필요하다. 공격자는 메일 본문에 암호를 적은 뒤 함께 이 악성 문서파일을 유포한 것으로 추정됐다. 메일 본문에 포함된 암호 없이는 파일을 열 수 없도록 설정, 분석을 방해하는 동시에 공격 메일을 받은 당사자만 타깃으로 해서 공격하기 위한 것으로 추정됐다.


안랩은 "외교·안보 분야 전문가들이 참여 중인 메신저 단체 대화방 등을 중심으로 유포되는 악성 문서도 꾸준히 발견되고 있다"며 "최근 발견된 문서에서 공격자는 파일명에 NLL(북방한계선), 중국 정치현황 등 국제동향 이슈 관련 키워드를 포함해서 수신자의 관심을 끌었고 외교·안보 분야 특정 전문가의 실명도 파일명에 포함해 수신자의 의심을 피했다"고 설명했다.

또 "사용자가 해당 문서를 실행하면 사용자 몰래 공격자가 악성코드 유포나 정보 탈취 등 공격을 수행하기 위해 사용하는 C2(Command & Control) 서버로 연결된다"며 "이후 이 서버로부터 정보탈취, 백도어 등 추가 악성코드를 내려받아 사용자가 접속한 기기에 설치할 것으로 추정된다"고 했다.

이어 피해 예방을 위해 사용자는 △출처가 불분명한 문서 파일의 실행 및 '콘텐츠 사용' 버튼 클릭 금지 △오피스 SW(소프트웨어), OS(운영체제) 및 인터넷 브라우저 등 프로그램 최신 보안 패치 적용 △백신 최신버전 유지 및 실시간 감시 기능 실행 등 기본 보안 수칙을 지켜야 한다고 당부했다.

김건우 안랩 시큐리티대응센터(ASEC)장은 "최근 이메일 뿐만 아니라 메신저 단톡방 등 다양한 경로로 악성파일이 유포되고 있다"며 "특히 공격자들은 사용자들이 관심있을 만한 소재를 활용하기 때문에 사용자들은 아무리 관심이 가는 내용의 문서라도 출처가 불분명한 파일은 실행하지 않고 '콘텐츠 사용'도 자제하는 등 기본 보안수칙을 준수해야 한다"고 말했다.