[보안뉴스 / 6.1.] 레드아이즈 악성코드, 한컴 오피스 문서파일로 위장해 유포

정상파일로 보이기 위해 AppData 경로에 onedrivenew 폴더 생성
60분마다 접속하도록 작업 스케줄러 등록…홈페이지 타깃 공격 웹쉘로 확인

[보안뉴스 김영명 기자] 한컴 오피스 문서파일로 위장한 레드아이즈(RedEyes) 악성코드가 유포되고 있는 정황이 확인되고 있다. 해당 악성코드 이름은 ‘누가, 무엇이 세계를 위협하는가(칼럼).exe’이며, 공격자는 한컴 오피스 문서파일로 사용자를 속이기 위해 아이콘을 한컴 오피스 파일과 유사한 형태로 제작됐다. 해당 파일은 압축파일로 돼 있으며, 압축을 해제하면 36,466,238바이트로 비교적 용량이 큰 파일이다.

[이미지=gettyimagesbank]

안랩 ASEC 분석팀(이하 ASEC)은 자체 EDR의 증적 자료를 통해 이와 같은 공격 기법에 대한 탐지가 가능하며, 관련 침해사고 조사에 필요한 데이터를 확인했다. 전체적인 실행 흐름 다이어그램을 보면 악성코드가 실행돼 어떤 프로세스를 사용하는지 한눈에 확인할 수 있다.

악성코드의 주요 증적 데이터를 살펴보면, 악성코드는 정상파일처럼 보이기 위해 AppData 경로에 onedrivenew라는 폴더를 생성하고, onedrivenew.exe라는 파일명으로 자가 복제하는 증적이 확인 가능하다. 또한, 악성코드가 실행된 경로와 동일한 경로에 동일한 파일명의 정상 한컴 오피스 파일을 생성하고 실행하는 증적을 확인할 수 있다. 악성코드는 마이크로소프트 윈도(Windows)의 정상 프로세스인 mstsc.exe에 인젝션돼 실행되며, 원본 파일은 cmd 명령어를 이용해 삭제한다.

▲윈도 정상 프로세스 mstsc.exe의 증적 데이터[자료=안랩 ASEC 분석팀]

악성코드가 인젝션돼 실행되는 윈도 정상 프로세스 mstsc.exe의 증적 데이터를 보면, 악성코드는 시스템이 재부팅되더라도 자동으로 실행되기 위해 Run 하위에 onedrivenew라는 이름으로 악성코드 파일을 등록한다. 그 이후 schtasks.exe 명령어를 이용해 OneDriveOp 이름으로 특정 URL에 60분마다 윈도 정상 파일인 mshta.exe를 이용해 접속하도록 작업 스케줄러에 등록한다.

작업 스케줄러에 등록된 URL은 정상 홈페이지이지만, 웹쉘이 삽입돼 있다. 삽입된 웹쉘은 ‘특정 홈페이지 제작업체가 제작한 홈페이지 타깃 공격(Red Eyes, APT37)’ 사례와 동일한 웹쉘로 확인됐다.

ASEC 관계자는 “타깃 공격을 일반 사용자가 대응하기엔 어려운 측면들이 있다”며 “이러한 위협에 대해 노출되더라도 증적 자료 분석을 통해 대응이 가능하다”고 밝혔다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>