[서울=뉴시스]박은비 기자 = 온라인 쇼핑몰과 기업의 고객센터(CS)를 정조준해 "파손된 제품을 환불해달라"며 악성코드를 심는 정교한 사이버 공격이 포착됐다. 고객 문의를 무시하기 어려운 CS 담당자의 심리를 악용해 PC를 장악하는 원격 제어 악성코드(RAT)를 유포하는 수법이다.

19일 안랩 시큐리티 인텔리전스 센터(ASEC)의 최신 보안 보고서에 따르면, 제품 파손이나 교환·환불을 요구하는 고객 문의 메일을 통해 PC를 원격 조종하는 '퓨어랫(PureRAT)' 악성코드가 유포되고 있어 각별한 주의가 필요하다.

퓨어랫은 감염된 시스템 내부 정보를 수집하고 공격자의 원격 명령에 따라 추가 정보 유출을 수행하는 원격 제어형 트로이목마다. 이번 공격에서 공격자는 기업이나 온라인 쇼핑몰의 고객을 사칭해 제품 파손이나 교환, 환불 문의를 주제로 이메일을 발송한 것으로 파악됐다.

◆환불 요청 증빙 자료 링크 보내…클릭하면 악성 파일 다운로드

공격자는 실제 소비자를 사칭해 "배송받은 제품이 깨져 있으니 동봉한 증빙 자료를 확인하고 환불해달라"는 내용의 이메일을 발송했다. 특히 고화질 개봉 영상이나 사진 파일의 용량이 크다는 핑계를 대며 자연스럽게 외부 클라우드 드라이브 링크 접속을 유도했다.

이메일이 포함된 링크에 접속하면 제품 개봉 영상이나 손상 사진이 아닌 ZIP 압축 파일이 다운로드된다. 안랩은 압축 파일 내부에 워드, 엑셀 등 마이크로소프트 오피스 문서로 위장한 실행 파일(EXE)과 숨김 속성의 악성 동적 연결 라이브러리(DLL) 파일이 모습을 드러낸다.

담당자가 파손 상태를 확인하기 위해 오피스 문서로 위장한 실행 파일을 구동하면, 숨겨진 여러 악성코드들이 조합돼 최종적으로 공격자가 외부에서 감염 PC를 마음대로 조정할 수 있게 된다.

◆첨부 파일 열기 전 실제 고객인지부터 체크…"백신도 최신 엔진 유지"

안랩은 고객 문의 메일을 수신하는 CS·영업 담당자의 경우 첨부 파일이나 외부 링크를 열람하기 전, 사내 주문 관리 시스템을 통해 실제 구매 이력이 존재하는 고객인지 대조하는 절차가 필수적이라고 강조했다.

의심 사례로는 ▲주문 번호나 상세 결제 정보 없이 환불만을 독촉하는 메일 ▲대용량을 이유로 외부 다운로드 링크를 제시하는 메일 ▲발신자 메일 주소와 다운로드 링크 도메인이 상이한 경우 ▲압축 해제 시 문서 아이콘 형태의 실행 파일이 나타나는 경우 등이 꼽힌다.

출처가 불분명한 외부 공유 링크나 압축 파일은 즉시 삭제해야 하며, 문서 열람을 핑계로 별도의 실행 파일 구동을 유도할 경우 실행을 중단해야 한다.

안랩 관계자는 "V3 등 백신과 엔드포인트 이상 행위 탐지·대응(EDR) 솔루션을 항상 최신 엔진 상태로 유지해야 한다"며 "의심스러운 링크에 접속했거나 파일을 실행했다면 즉각 네트워크 회선을 분리하고 사내 보안 부서에 신고해야 한다"고 당부했다.


◎공감언론 뉴시스 silverline@newsis.com