랜섬웨어·광고-클리커 등
추가 악성코드 패키지 형태
이셋코리아 '감염 주의보'
추가 악성코드 패키지 형태
이셋코리아 '감염 주의보'
세계적 보안 전문기업 ESET(이셋)의 국내 법인인 이셋코리아 (대표 김남욱)가 랜섬웨어 및 각종 광고-클리커 감염의 단초가 되는 '네머코드'(Nemucod) 다운로더가 다시 확산하고 있다며 23일 주의를 당부했다.
지금까지 네머코드는 대표적인 랜섬웨어 다운로더 중 하나로 알려져 있었으나, 광고-클리커 악성코드인 Kovter를 다운로드하는 사례가 다수 보고되고 있다. 이러한 현상은 랜섬웨어 감염 등 악성 다운로더를 이용한 공격 형태가 피해자에게 랜섬웨어 뿐 아니라 광고-클리커 등 추가 악성코드를 포함한 악성코드 패키지로 제공하는 형태로 발전하고 있음을 보여준다. 추가 악성코드는 랜섬웨어 활동에 대한 주의를 분산시키는 효과도 노린다.
네머코드는 우선 랜섬웨어 실행에 필요한 PHP 인터프리터와 추가 PHP 라이브러리를 다운로드 해 설치한 후, 최종적으로 이셋에 의해 PHP/Filecoder.D 로 진단되는 랜섬웨어 자체를 다운로드 한 후 파일을 암호화하는 악성 행위를 시작한다. 랜섬웨어가 실행되면 MS 오피스 파일, 이미지, 동영상, 사운드 파일 등을 포함해 120여 종류의 확장자를 가진 파일들을 암호화한 후 '.crypted' 확장자를 부여한다. 암호화가 완료되면 네머코드는 몸값 요청 텍스트 파일을 생성하며, 최종적으로 PHP 인터프리터의 라이브러리 및 랜섬웨어는 파일 시스템에서 삭제된다.
김남욱 이셋코리아 대표는 "스크립트 수준의 다운로더 감염에 보다 더 주의를 기울여야 한다. 이러한 다운로더가 시스템에 직접적으로 피해를 주지는 않지만, 제2 제3의 추가 악성코드를 다운로드 할 수 있기 때문에 그 피해를 예측하기가 어렵다. 지금까지는 주로 랜섬웨어 다운로드에 많이 이용되었지만, 이번에 발견된 광고-클리커 및 스파이웨어 이외에도 다양한 악성코드 감염의 통로로 사용될 수 있다는 점을 기억해야 한다"고 밝혔다. 김 대표는 "스크립트 수준의 악성코드는, 그 자체만으로는 악성 여부를 판단하는 기준이 모호하기 때문에 기존의 악성코드 차단 방법만으로는 완벽하게 유입을 차단하기 어렵다"며 "따라서 출처가 불분명한 이메일이나 웹사이트 접속을 자제하는 등의 기본적인 보안 활동이 필요하며, 스크립트가 포함된 이메일의 유입을 차단한다거나 스크립트에 의한 추가 파일 다운로드 행위를 차단하는 등의 보다 적극적인 대응과 방어가 필요하다"고 말했다.
이규화 선임기자 david@
[ 저작권자 ⓒ디지털타임스, 무단 전재 및 재배포 금지 ]
