피싱 메일 주의

거래 확인 메일을 사칭한 피싱 메일 주의!

최근 거래 확인서를 사칭한 피싱 메일이 발견되어 사용자들의 주의가 필요하다.

해당 피싱 메일은 파일이 첨부된 인보이스를 사칭한 메일로 거래 영수증과 함께 첨부 파일 문서를 숙지해 달라는 내용으로 첨부파일 실행을 유도하고 있다.

 

[그림 1] 파일이 첨부된 피싱 메일

 

첨부된 문서 파일을 실행할 경우 “컨텐츠 사용” 버튼을 누르도록 유도한다. 컨텐츠 사용 버튼을 클릭하면 문서 파일에 적용된 VBA 스크립트 매크로가 실행되며 해당 매크로는 공격자의 C&C 서버에 연결하여 추가적인 악성 파일을 다운로드한다.

 

 

[그림 2] 악성 첨부 파일 및 매크로

 

다운로드 된 악성 파일은 DLL 파일이며 정상 파일을 이용해 실행된다.

 

[그림 3] 정상 파일인 “ regsvr32.exe ” 를 통해 실행되는 악성 DLL 파일

 

실행된 DLL 파일은 공격자의 C&C 서버로부터 추가 다운로드를 시도한다. 최종적으로 다운로드 된 파일은 사용자의 정보를 탈취하고, 공격자의 서버에서 사용자의 PC로 명령을 보내 제어하는 악성 동작을 수행한다.

 

[그림 4] 파일 다운로드 패킷

 

이러한 피싱 메일은 알려진 기업에서 보낸 메일로 위장하여 사용자가 의심없이 첨부파일을 실행하게 한다. 따라서 사용자는 수신한 모든 메일에 첨부된 파일을 실행하여 확인할 때 각별한 주의가 필요하다.