[악성코드 분석] 회사 메일을 이용한 피싱 메일 C&C 감염 주의

회사 메일을 이용한 피싱 메일 C&C 감염 주의

1. 개요 

이메일 피싱 공격은 요즘 선행하는 악성코드의 공격 기법 중 하나이다. 대게 공격자는 악성코드를 성공적으로 실행시키기 위해, 업무와 관련되거나 사회적으로 이슈화되는 내용의 이메일을 보내어 공격 성공률을 높인다. 이러한 이메일 첨부파일에 한글 문서(.HWP) 로 위장한 C&C 악성코드가 있다면 감염된 PC는 원격지로부터 공격자의 명령을 받아 시스템을 자유자제로 조작하고 감시 당할 우려가 있다. 

이번 보고서에서는 파일명 ‘美 사이버 보안시장의 현재와 미래.hwp’란 한글 문서에서 추가적으로 드롭되어 실행되는 C&C악성코드에 대하여 알아보고자 한다.

2. 분석 정보

2-1. 파일 정보

구분	내용
파일명	美 사이버 보안시장의 현재와 미래.hwp
파일크기	97,792 Byte
진단명	Trojan-Dropper/HWP.EPS.Gen
악성동작	드롭퍼

 

구분	내용
파일명	jusched.exe
파일크기	70,656 Byte
진단명	Trojan/W32.Snarebot.70656
악성동작	C&C

 

2-2. 유포 경로

특정 회사의 사내 그룹 및 개인 메일 계정으로 유입되었다.

[그림 1] 첨부 된 메일 내용

2-3. 실행 과정

아래그림과 같이 이메일에 있는 첨부파일(.HWP)을 사용자가 열람할 경우, 시작 프로그램 폴더에 LNK 파일을 생성하고 또다른 경로인 %TEMP%\..\ 상위 경로에 악성 실행파일을 추가로 생성한다. 해당 악성코드는 사용자 PC를 재부팅 하였을 때 생성된 LNK 파일에 특정 인자 값을 지정하여 실행파일을 실행한다.

[그림 2] 동작 흐름도

3. 악성 동작

3-1. 파일 드롭

메일에 첨부된 HWP 파일은 취약점을 이용한 공격방식이 아닌 HWP 정상 스크립트를 이용하여 파일 드롭을 수행하는 것으로 확인된다. 해당 HWP 파일 내부에는 파일 다운로드 기능을 하는 스크립트와 함께 드롭 될 파일의 바이너리 값이 존재한다.

[그림 3] HWP파일 내부 스크립트

아래와 같이 해당 HWP 파일에서 ‘바로가기 파일(.lnk)’, ‘악성실행파일(.exe)’ 두개의 파일이 스크립트를 이용하여 드롭된다.

[그림 4] 악성 파일 드롭

3-2. 시작 프로그램 등록

‘美 사이버 보안시장의 현재와 미래.hwp’ 파일을 열람 하였을 때, 시작 프로그램 폴더에 LNK 파일을 생성하는 것을 확인 할 수 있다. 생성된 LNK파일의 속성값을 확인 하였을 때 실행파일의 경로와 함께 특정 인자 값이 존재한다. 해당 인자 값이 없을 경우 악성 실행파일은 정상적으로 실행이 되지 않는다.

[그림 5] 생성 된 LNK 파일과 인자 값

3-3. 원격지 연결 시도

해당 악성코드는 LNK 파일을 통하여 하기의 원격지 서버에 연결을 시도 한다. 또한 C&C 명령을 받아 동작을 수행 할 때 마다 원격지 서버와 통신을 한다. 이는 해당 공격자의 명령과 데이터를 주고 받기 위한 동작으로 확인된다.

하지만 현재 분석시점에서는 해당 원격지서버는 접속이 정상적으로 이루어지지 않는다. 

[그림 6] 원격지 서버 연결 시도1

[그림 7] 원격지 서버 연결 시도2

원격지 연결 시도 후, HTTP상태 코드를 확인하여 연결이 성공적으로 이루어 졌는지 확인한다. 

[그림 8] 원격지 서버 연결 상태 확인

3-4. C&C 명령 테이블

현재 원격지 서버와 연결이 정상적으로 이루어지지 않고 있지만, 원격지 연결이 성공적으로 이루어질 경우 원격지 서버로부터 명령을 받아 추가적인 동작을 수행할 수 있다. 전체적인 C&C 동작 목록은 아래와 같다.

[그림 9] C&C 명령 테이블1

[그림 10] C&C 명령 테이블2

3-5. C&C 명령 주요 동작

다음은 ‘jusched.exe’ 악성코드의 C&C 명령에 따른 주요 동작을 확인 한 내용이다. 

정보 수집 및 전송
PC 정보	시스템 드라이브 정보	프로세스&모듈 정보
파일 속성 및 데이터	파일 및 폴더 정보	CAB 관련 파일 데이터

[표 1] 정보 수집 및 전송

해당 악성코드는 감염 PC이름과 시스템 정보를 수집한다.

[그림 11] 사용자 PC정보 수집

또한 감염 PC의 시스템 드라이브의 정보를 수집한다.

[그림 12] 시스템 드라이브 정보 수집

C&C 명령을 통하여 특정 이름과 일치하는 파일이나 디렉토리 정보를 수집한다.

[그림 13] 파일 및 디렉터리 정보 수집

 

추가 악성 동작
특정 프로세스 실행	특정 파일 다운로드	지정 프로세스 종료
지정한 파일 변조

[표 2] 추가 악성 행위

공격자는 특정 파일의 날짜, 디렉터리 생성 시간, 마지막 접근 시간, 수정 시간을 변경한다.

[그림 14] TimeStamp 변경 시도

아래 그림은 특정 문자열을 디코딩 하였을 때 다음과 같은 문자열로 변경된다. 해당 문자열은 명령프롬프트(cmd.exe)를 이용하여 파일을 실행하는데 사용되는 것을 확인 할 수 있다.

[그림 15] cmd 명령어를 통한 파일 실행

 

문자열	디코딩
%7toDt%7tJ>%7	%s /c %s 2>%s
%7toDt%7t>%7tJ>%s	%s /c %s > %s 2>&1

[표 3] Decoding

C&C 명령 동작 내용중 일부는 원격지 서버로부터 특정 프로세스를 실행한다는 것을 알 수 있다.

[그림 16] C&C 명령을 통하여 특정 프로세스 실행

원격지 C&C 명령을 통해 파일 이름과 데이터를 받아와 특정 파일을 생성할 수 있다. 이는 파일을 다운로드하여 추가적인 악성 동작을 수행할 수 있도록 한다.

[그림 17] 특정 파일 추가 다운로드

4. 결론

이번에 분석한 악성코드는 HWP 첨부파일을 다운로드하여 여는 순간, 사용자 PC가 감염되어 악성 동작을 수행하기 때문에 감염사실을 인지하기 어렵다. C&C악성코드 같은 경우 감염 후 바로 동작을 수행 할 수도 있지만 일정 시간 동안 대기 상태로 존재하다가 추후 공격자의 명령을 수행할 수 있다는 점 때문에 국내주요기관 및 기업은 이메일에 첨부된 파일을 열람 시 주의를 하여야 한다.   

악성코드에 의한 피해를 방지하기 위해서는 출처가 불분명한 파일을 함부로 실행해서는 안된다. 또한 백신 제품을 항상 최신으로 업데이트 하여 PC를 보호하여야 한다. 

상기 악성코드는 잉카인터넷 안티바이러스 제품 nProtect Anti-Virus Spyware V3.0과 nProtect Anti-Virus/Spyware V4.0에서 진단 및 치료가 가능하다.

[그림 18] nProtect Anti-Virus/Spyware V4.0 진단 및 치료 화면

[그림 19] nProtect Anti-Virus/Spyware V3.0 진단 및 치료 화면