PEOPLUS NEWS

피플러스 뉴스를 통해 업계소식과 피플러스가 주관하는 행사와 교육, 이벤트 등을 확인하실 수 있습니다.

국가지원 해커조직, 한글 악성파일 변종 계속 유포중

피플러스 뉴스
작성자
피플러스
작성일
2019-11-28 16:07
조회
47
지난 18일 ‘제9대 학회장 선고공고 및 입후보신청서’라는 제목의 악성 한글문서가 국가지원 해커조직에 의해 국내에 유포된 이후, 최근 또 다시 해당 악성 파일의 변종이 지속적으로 유포되고 있는 것으로 확인됐습니다.

5ddf7167436c77940386.png

전문가에 따르면 지난 18일 발견된 문서는 한글 워드프로세서 문서에 제9대 한국국가정보학회 학회장 선거를 공고하는 내용으로 위장한 악성 파일로 문서 내부에 존재하는 EPS(EncapEncapsulated Postscript) 개체가 악성기능을 수행하는 것으로 드러났습니다.

한글문서 내부에 악성 EPS 파일이 존재하며, 내부의 VBS 파일에 의해 파워쉘이 실행되고 이를 통해 외부 파일을 다운로드 및 실행하는 구조를 갖는다는 것. VBS 스크립트 파일은 한글문서 실행 시에는 동작하지 않고, 재부팅 시점에 동작하도록 시작프로그램에 등록돼 있는 것으로 분석됐습니다.

현재까지 이러한 형태의 공격이 널리 확산되는 동시에 V3 등 백신의 탐지를 우회하기 위해 다양한 변종을 제작해서 테스트하는 것으로 보인다고 전문가들은 말합니다. “한글문서 실행 시 시작 프로그램에 등록된 파일이 존재할 경우 의심스러운 문서로 추정할 수 있다”며, “악성코드 제작자는 시작 프로그램에 다양한 형태의 스크립트 파일을 테스트하고 있으며, 이 중 실제 공격에 사용된 파일들도 확인됐다”고 밝혔습니다.

이렇듯 시작 프로그램에 스크립트 파일을 생성해 재부팅 시점에 악성행위가 발생하도록 하는 것은 악성행위가 바로 발생할 경우 다양한 보안 제품을 통해 탐지되는 것을 피하기 위한 것으로 추정되는 만큼 이용자들의 각별한 주의가 필요하다고 당부했습니다.

5ddf72035024e8058183.png


 

출처 : 보안뉴스

 
전체 0