국세청 등 공공기관, 대학 등을 사칭한 악성 LNK(바로가기) 파일이 퍼져 주의가 요망된다.
2일 안랩에 따르면 최근 국내 사용자들을 대상으로 LNK를 이용한 이러한 악성 파일 유포 사례가 다수 확인되고 있다.
안랩이 확인한 악성 LNK 파일은 이메일에 첨부된 URL(인터넷 주소)을 통해 유포되는 것으로 추정된다.
URL을 클릭하면 '종합소득세 신고 관련 해명자료 제출안내.zip'이라는 이름의 압축 파일이 다운로드되며, 이 압축 파일에는 정상적인 한글 문서 2개와 악성 LNK 파일이 함께 존재한다.
현재는 문제의 URL에서 다운로드되는 압축 파일에 정상적 한글 문서 3개만 들어있다고 안랩은 전했다. 공격자가 짧은 기간에만 악성 파일을 유포함으로써 이후 분석과 추적을 어렵게 만든 것으로 보인다.
압축 파일 내 '국세청 종합소득세 해명자료 제출 안내.lnk'라는 이름의 악성 파일은 약 300MB 크기의 더미 데이터가 붙어있는 형태로, 악성 파워셸(PowerShell) 명령어를 포함한다.
파워셸 명령어는 먼저 파일 내부에 있는 정상 한글 문서를 '국세청 종합소득세 해명자료 제출 안내.hwp'라는 이름으로 생성한 뒤 실행한다고 안랩은 설명했다.
이 한글 문서는 국세청의 세금 관련 안내문으로 위장해 사용자는 악성 LNK 파일이 아니라 정상적 한글 문서를 실행했다고 착각할 수 있다.
이후 LNK 파일 내부에 존재하는 압축 파일을 특정 경로에 생성한 뒤 압축 해제함으로써 사용자 정보를 탈취하고 추가 악성 파일을 다운로드하는 것으로 조사됐다.
국세청 사칭 외에도 '협의회 참여단체 현황', '통일부 조직개편 설명자료', '주차등록신청서-학생용', '수강 신청 정정원' 등의 다양한 주제로 위장한 악성 LNK 파일이 유포되는 것으로 나타났다.
안랩 관계자는 “최근 국내 사용자를 대상으로 악성 LNK 파일의 유포 건수가 증가하고 있으며, 다운로드되는 파일에 따라 추가 피해도 발생할 수 있다”면서 “메일 발신자를 상세히 확인하고 출처가 불분명한 파일의 열람을 자제해야 한다”고 조언했다.
김명희 기자 noprint@etnews.com
