안랩 “이메일 가로채기 수법으로 악성코드 칵봇 유포 주의”

2023.04.16 19:10:11

김진희 기자 jjang@hellot.net

 

원본 이메일에 대한 답장 또는 전달한 이메일인 것처럼 속여 악성 코드를 유포하는 사례가 포착돼 주의가 요구된다.


16일 안랩에 따르면 악성 코드인 칵봇(Qakbot)이 '이메일 하이재킹' 수법을 통해 국내 사용자에게 유포되고 있다.


칵봇은 은행 자격 증명, 윈도우 도메인 자격 증명을 훔치고, 랜섬웨어를 설치하는 공격자들에게 원격 접속을 제공하는 윈도우 악성 코드다.

 


이번에 발견된 칵봇 유포 수법은 기존에 수신된 정상 이메일을 가로채 본문에 악성 PDF 파일을 첨부한 다음 사용자에게 회신하거나 전달하는 방식이다. 공격 대상은 원본 이메일의 수신자와 참조자다.


회신 또는 전달된 이메일의 본문 내용은 이전 이메일의 내용과 연관성이 떨어지지만, 수신자가 첨부된 PDF 파일을 열어보도록 유도하고 있다.


PDF 파일에는 마이크로소프트 애저 로고와 함께 '오픈' 버튼의 클릭을 유도하는 문구가 적혀있는데, 이를 누르면 악성 URL로 연결된다.


안랩은 "원본 이메일이 오간 시점은 2018∼2022년으로 매우 다양하다"면서 다만 원본 이메일의 발송 시점이 올해는 아닌 것으로 확인됐다고 설명했다.


그러면서 "다수 악성 메일이 이번 사례와 유사한 형태로 유포되고 있어 출처가 불분명한 메일은 가급적 열람해서는 안 된다"고 당부했다.

 

헬로티 김진희 기자 |

Copyright ⓒ 첨단 & Hellot.net





상호명(명칭) : (주)첨단 | 등록번호 : 서울,자00420 | 등록일자 : 2013년05월15일 | 제호 :헬로티(helloT) | 발행인 : 이종춘 | 편집인 : 김진희 | 본점 : 서울시 마포구 양화로 127, 3층, 지점 : 경기도 파주시 심학산로 10, 3층 | 발행일자 : 2012년 4월1일 | 청소년보호책임자 : 김유활 | 대표이사 : 이준원 | 사업자등록번호 : 118-81-03520 | 전화 : 02-3142-4151 | 팩스 : 02-338-3453 | 통신판매번호 : 제 2013-서울마포-1032호 copyright(c) HelloT all right reserved.