* 출처는 안랩입니다.
온라인 쇼핑몰이나 기업의 고객 지원 담당자라면 제품이 파손됐다며 교환 또는 환불을 요청하는 이메일을 자주 접할 것이다. 그런데 최근 이런 고객 문의를 악용해 원격 제어 악성코드 ‘PureRAT’이 유포되는 정황이 포착됐다. 제품 개봉 영상이나 손상 사진을 확인해 달라며 자연스럽게 외부 링크 접속을 유도한 뒤, 문서로 위장한 악성 파일을 실행하는 수법이다. 특히 정상적인 오피스 문서처럼 보이는 파일과 DLL 사이드 로딩(Side-Loading) 기법을 활용해 사용자가 악성 파일임을 쉽게 알아차리지 못하게 만든다는 점이 특징이다. 제품 파손 및 환불 문의로 위장한 PureRAT 공격 방식과 주요 특징, 대응 방법을 살펴보자.
출처: Adobe Stock / Adobe Firefly로 편집
PureRAT은 감염된 시스템의 정보를 수집하고 공격자의 명령에 따라 다양한 악성 행위를 수행할 수 있는 원격 제어 악성코드다. 유포 캠페인과 변종에 따라 초기 실행 방식이 달라지며, 기존 사례에서는 LNK, PowerShell, VBS, Python 로더, DLL 사이드 로딩 등 다양한 기법이 활용됐다.
이번 공격에서 공격자는 기업이나 온라인 쇼핑몰의 고객을 사칭해 제품 파손이나 교환, 환불 문의를 주제로 이메일을 발송했다.
해당 이메일은 배송된 제품이 파손됐다고 주장하며 교환 또는 환불 절차를 문의하거나 제품 개봉 영상과 손상 사진을 확인해 달라는 내용을 담고 있다. 공격자는 파일 용량이 커서 이메일에 직접 첨부할 수 없다는 이유를 들며, 수신자가 외부 문서 공유 서비스나 드라이브 링크에 접속하도록 유도한다.
[그림 1] 제품 파손 및 환불 문의로 위한 피싱 이메일
영상과 사진 대신 다운로드되는 ZIP 파일 다운로드
이메일에 포함된 링크에 접속하면 제품 개봉 영상이나 손상 사진이 아닌 ZIP 압축 파일이 다운로드된다. 안랩은 다음과 같은 파일명으로 유포되는 것을 확인했다.
- Complete_Unboxing_And_Damage_Inspection.zip
- Full_Unboxing_Process_Inspection_Record*.zip
- Parcel_Inspection_And_Unboxing.zip
압축 파일 내부에는 Word, Excel 등 Microsoft Office 문서로 위장한 실행 파일과 숨김 상태의 악성 DLL 파일 등이 포함돼 있다.
사용자가 문서 내용을 확인하기 위해 실행 파일을 실행하면, 동일한 경로에 존재하는 악성 DLL이 DLL Side-Loading 방식으로 함께 로드된다. DLL Side-Loading은 정상 프로그램의 동작을 악용해 악성 DLL을 불러오는 공격 기법이다.
이후 악성 DLL은 필요한 데이터를 복호화하고 후속 페이로드를 실행하며, 최종적으로 PureRAT을 동작시킨다.
[그림 2] 압축 파일 내부 구성 및 숨김 속성으로 존재하는 악성 파일
* 전체내용은 아레에서 확인하세요.
![V3 프로 유저도 탐낸다? 역대급 타건감의 8K 자석축! 레이저 헌츠맨 V3 HE 리뷰 [프리미엄 리포터V]](https://img.danawa.com/images/attachFiles/7/47/6046860_1.jpeg?shrink=320:180)
