비교하고 잘 사는, 다나와 : 가격비교 사이트

다나와 앱
다나와 앱 서비스 목록
다나와 APP
다나와 가격비교 No.1 가격비교사이트 다나와 앱으로
간편하게 최저가를 확인하세요.
- -
QR코드
빈 이미지
다나와 앱 서비스 목록 닫기

국세청 사칭해 유포 중인 악성 LNK 파일 주의!

IP
2023.09.21. 08:21:03
조회 수
340
8
댓글 수
14

공유하기

레이어 닫기

지금 보는 페이지가 마음에 든다면
공유하기를 통해 지인에게 소개해 주세요.

로그인 유저에게는 공유 활동에 따라
다나와 포인트가 지급됩니다.

자세히 >

URL이 복사되었습니다.
원하는 곳에 붙여넣기(Ctrl+V)하세요.

레이어 닫기

* 출처는 안랩입니다.


안랩이 국세청을 사칭한 악성 LNK 파일이 국내에 유포되고 있는 정황을 확인했다


LNK 파일을 악용하는 방식은 과거부터 꾸준히 사용돼 왔으며최근에는 국내 사용자를 노린 사례가 다수 확인되고 있다이번에 확인된 악성 LNK 파일은 어떤 방식으로 유포되는지 자세히 알아보자.

  

해당 악성 LNK 파일은 이메일에 첨부된 URL을 통해 유포되는 것으로 추정되며자사 인프라를 통해 확인된 URL은 아래와 같다.

Ÿ   다운로드 URL

   hxxps://file.gdrive001[.]com/read/?cu=jaebonghouse&so=종합소득세%20신고관련%20해명자료%20제출%20안내.zip

  

이 URL을 실행하면 종합소득세 신고관련 해명자료 제출 안내.zip’라는 이름의 압축 파일이 다운로드된다. 분석 당시에는 다운로드된 압축 파일에 악성 LNK 파일과 정상 한글 문서 2건이 존재했다하지만 현재 해당 압축 파일에서는 정상 한글 문서 3건만 확인된다이 점으로 미루어 보아공격자는 단시간 동안 악성 파일을 유포해 분석 및 추적을 어렵게 한 것으로 보인다.


[그림 1] 악성 LNK 파일을 포함하는 압축 파일

압축 파일 내 국세청 종합소득세 해명자료 제출 안내.lnk’라는 이름의 악성 파일은 약 300MB 크기의 더미 데이터가 붙어있는 형태로악성 파워셸(PowerShell) 명령어를 포함한다.


[그림 2] LNK 파일 내부의 파워셸 명령어

파워셸 명령어는 LNK 파일 내부에 존재하는 정상 한글 문서를 국세청 종합소득세 해명자료 제출 안내.hwp’ 파일로 생성한 후 실행한다생성된 정상 한글 문서는 [그림 3]과 같이 국세청을 사칭한 세금 관련 안내문으로 위장했다따라서 사용자는 악성 LNK 파일을 실행한 후 정상 한글 문서가 실행된 것으로 착각할 수 있다.


[그림 3] 정상 한글 문서

 

이후 LNK 파일 내부의 압축 파일을 ‘%Public%\02641.zip’ 경로에 생성한다그런 다음생성된 압축 파일의 압축을 해제하고 start.vbs' 파일을 실행한다여기서 LNK 파일과 압축 파일은 삭제된다압축을 해제한 후에는 [그림 4]의 파일들이 생성되며각 파일의 기능은 [ 1] 과 같다.


[그림 4] 압축 해제 후 생성되는 파일

 

 

파일명

기능

start.vbs

74116308.bat 실행

74116308.bat

RunKey 등록 (start.vbs)
02619992.bat 
실행 (다운로드 기능)
86856980.bat 
실행 (정보탈취 기능)
20191362.bat 
을 통해 CAB 파일 다운로드

02619992.txt

20191362.bat 을 통해 ZIP 파일 다운로드
unzip.exe 
를 통해 압축 해제 후 rundll32.exe 실행

86856980.txt

사용자 정보 수집
53844252.bat 
실행

20191362.bat

파일 다운로드

53844252.bat

사용자 정보 업로드

unzip.exe

ZIP 파일 압축 해제

[표 1] 스크립트 기능

 


* 전체내용은 아래에서 확인하세요

https://www.ahnlab.com/kr/site/securityinfo/secunews/secuNewsView.do?seq=33992&utm_source=CM&utm_medium=eDM&utm_campaign=SL%5FtypeC&utm_content=987

공감/비공감

공감/비공감안내도움말 보기
유용하고 재미있는 정보인가요?
공감이 된다면 공감 버튼을, 그렇지 않다면 비공감 버튼을 눌러 주세요!
공감이나 비공감을 선택 하는 경우 다나와 포인트를 적립해 드립니다. ※ 공감 버튼의 총 선택 횟수는 전체 공개입니다. 비공감 버튼의 선택 여부는 선택한 본인만 알 수 있습니다.

plc-wave 님의 다른 글 보기

1/8
자유게시판 인기 글
1/5
자유게시판 최신 글 전체 둘러보기
1/1
초대형 크루즈 선박 건조 과정
7월 7일 박스오피스 / F1 더 무비 100만 돌파
모기 맨손으로 잡을 때 팁
전국 대부분 ‘폭염경보’ 일부 소나기 (2)
퇴근하면서 주유하고 저녁에 운동하고 왔네요. (1)
글 작성하고 수정하려니 외계글이~--^ (1)
7/7(월) 8,229보를 걸었습니다. (2)
벌써 하루가 다 갔네요. (1)
1일차 응모 완료했습니다! (4)
EAFF E-1 풋볼 챔피언십(동아시아컵) 대한민국vs중국 7일 오후8시,기분좋은승리를 기대합니다 (6)
오징어게임3에 나오는 줄다리기를 보면 학창시절 생각이 많이나네요 (2)
말잠자리가 있군요 (1)
아기가 태어날 때 엉덩이를 때려 울리는 이유 (2)
엘리트 파일럿들만 마스터 할 수 있다는 비행기술 (2)
레트로 수평 PC케이스 출시 (12)
[당첨자 발표] 긱벤치AI로 내PC 들춰보잣! (15)
일본 동전파스 로이히츠보코 국내 정식 출시 (6)
오호.. 까먹을뻔.. (5)
날씨 때문인지 불쾌지수가 높은가 시비도 걸어오고 싸움도 보이는 날이었네요. (10)
길거리를 배회하는 남자 (1)
이 시간 HOT 댓글!
1/4