[보안]윈도우 도움말 파일을 이용해 유포되는 에이전트테슬라

L20 plc-wave 22.05.26. 09:39:11

180 8

* 출처는 안랩입니다.

에이전트테슬라 악성코드가 최근 윈도우 도움말 파일(.chm)을 통해 유포되는 방식으로 변경됐다니

주의하셔서 늘 감염에 주의하시길 바랍니다.

아래는 원문내용중 일부입니다.

안랩은 파워포인트(.ppt) 문서 내 악성 VBA 매크로를 이용해 유포되는 에이전트테슬라에 대해 소개한 바 있다. 그런데 최근 에이전트테슬라가 윈도우 도움말 파일(.chm)을 통해 유포되는 방식으로 변경되었다.

이번 글에서는 도움말 파일(.chm)을 이용한 에이전트테슬라의 최신 유포 방식에 대해 자세히 알아본다.

안랩은 악성 도움말 파일(.chm)이 운송 회사인 'DHL'을 사칭한 피싱 메일을 통해 유포되는 것을 확인했다. 이때 악성 도움말 파일은 압축 파일 형태로 피싱 메일에 첨부되어 있었다([그림 1] 참고).

[그림 1] DHL 사칭 피싱 메일

피싱 메일에 첨부된 압축 파일을 압축 해제하면 악성 도움말 파일(.chm)을 확인할 수 있다. 해당 파일을 실행하면 [그림 2]와 같은 대기 문구가 포함된 정상 도움말 창이 보인다. 이로 인해 사용자는 악성 행위를 바로 알아차리기 어렵다.

[그림 2] 정상 도움말 창

이 와중에 파일 내부 HTML에 포함된 악성 스크립트에 의해 악성 행위가 수행된다. 악성 스크립트가 포함된 HTML은 난독화된 형태로 존재한다.

* 전체내용은 아래에서 확인하세요.

자유게시판 인기글

이전 페이지 1/10 다음 페이지