이스트시큐리티, 이모텟 악성코드 유포 정황 발견

▲ 특정 국가 기관과 호텔, 통신사 등을 사칭해 이모텟 악성코드를 유포하는 이메일 예시

[아이티데일리] 특정 국가 기관과 호텔, 통신사, 국내 기업의 정보를 무작위로 수집하거나 인용해 한국어로 작성된 메일과 함께 ‘이모텟(Emotet)’ 악성코드가 대량으로 유포되고 있어 각별한 주의가 요구된다.

이스트시큐리티(대표 정상원)은 지난해 4분기 꾸준히 유포가 진행됐던 이모텟 악성코드가, 잠시간의 휴식기를 가진 후 지난 14일부터 또다시 본격적으로 유포되고 있다고 밝혔다.

이모텟 악성코드는 주로 이메일을 통해 유포되며, 자가 복제, 사용자 정보 탈취 및 다운로드 등 다양한 악성 행위를 수행한다. 이번에 발견된 이모텟 악성코드 역시 기존에 발견됐던 것과 유사하게 메일 수신자가 첨부된 문서 파일을 열어보도록 유도하기 위해, 다양한 국내 기관과 기업 정보를 사칭해 업무공유 및 지원요청, 청구서, 견적서 등의 한글로 작성된 이메일을 발송하는 유포 방식을 사용하고 있다.

특히 이번 공격은 기업에서 업무 편의를 위해, 동일한 메일을 조직 구성원이 함께 수신할 수 있도록 해주는 ‘그룹메일’을 타깃으로 하고 있어 더욱 주의가 요구된다. 수신자가 doc 문서 파일을 열어보고 매크로 기능을 활성화한다면, 악성 파일에 포함돼 있던 파워셸 코드가 실행되며 공격자가 세팅한 C&C 서버에 접속해 이모텟 악성코드를 내려받게 된다.

사용자PC에서 실행된 이모텟은 자가복제 및 자동실행을 등록해 ▲사용자 PC 정보 탈취 ▲추가 악성코드 다운로드 ▲백도어 역할 등의 악성 행위를 수행하게 된다.

문종현 이스트시큐리티 ESRC장은 ”이모텟 악성코드 감염은 기업 내부 정보 유출 및 2차 공격으로 이어질 위험성이 높으므로, 출처가 불분명한 메일에 포함된 첨부파일과 링크에 대한 접근은 최대한 삼가해야 한다”면서, “특히 기업 그룹 메일 수신자에 대한 집중 모니터링이 필요하고, 검증되지 않은 파일은 실행 전 반드시 신뢰할 수 있는 백신 프로그램을 통해 악성 여부 검사를 수행해야 한다”고 당부했다.

한편 알약에서는 해당 이모텟 악성코드를 탐지명 ‘Trojan.Agent.Emotet’, ‘Trojan.Downloader.DOC.Gen’으로 차단, 치료하고 있다.

저작권자 © 아이티데일리 무단전재 및 재배포 금지