날로 진화하는 '악성코드'의 습격

2015년 자주 등장했던 악성코드 3종
매크로, SNS, 포털사이트 겨냥한 악성코드까지

페이스북 링크를 악용한 악성코드

[아시아경제 한진주 기자] 2015년에는 랜섬웨어를 비롯해 다양한 악성코드가 활개를 쳤다.

안랩에 따르면 하루 평균 수백만개의 악성코드가 유포되고 있고, 이중에서도 신·변종 악성코드가 평균 10만개에 달한다.

지난해에는 매크로 악성코드와 페이스북 링크나 포털사이트 팝업창을 통한 악성코드가 빈번하게 등장했다.

지난해 초에는 한동안 주춤했던 매크로(Macro) 악성코드가 다시 등장했다. 국내에서도 지난 2월 한 달간 150개 이상의 매크로 악성코드가 안랩에 보고됐다. 2014년에 발견된 매크로 악성코드 수 보다도 많다.

매크로(Macro)는 사용자가 입력하는 키보드 입력순서를 보관했다가 그대로 실행하는 기능을 의미한다. 워드나 엑셀 등 오피스 프로그램에서는 반복적인 키 입력 뿐 아니라 사용자가 원하는 행동을 할 수 있는 프로그램 언어 역할을 한다.

해당 악성 파일은 본문 내용에 '본 문서는 보안상 모자이크 처리되었으며 문서 상단의 옵션을 클릭하여 매크로 활성화하라'는 안내와 함께 이미지를 모자이크 처리해 사용자의 호기심을 자극하고 있다. 이 문서 파일에 삽입된 매크로 악성코드는 C&C 서버로부터 악성 파일을 추가로 다운로드해 실행하고 사용자 시스템 내의 정보를 탈취하는 키로깅을 수행한다.

이러한 매크로 악성코드 피해를 최소화하려면 평소 MS오피스의 매크로 기능을 비활성화 상태로 유지하는 것이 좋다. 무엇보다 의심스러운 메일의 첨부 문서는 함부로 열어보지 말아야 한다.

SNS를 활용한 악성코드도 급증하고 있다. 유튜브(YouTube)의 성인물 동영상으로 가장한 링크가 첨부된 SNS 게시물을 이용한 사례도 있다.

이 악성코드는 사용자가 SNS 게시물의 링크를 클릭하면 성인물 동영상을 재생하기 위해 플래시 플레이어 설치가 필요하다며 가짜 프로그램의 다운로드를 유도한다. 사용자가 가자 플래시 플레이어를 다운로드 및 설치하는 순간 악성코드에 감염되고, 이 악성코드는 C&C 서버로부터 변조된 악성 크롬(Chrome) 파일을 다운로드해 실행한다.

이렇게 설치된 가짜 크롬은 사용자가 백신 제공업체 웹사이트 접근하는 것을 차단해버린다. 또한 사용자가 페이스북에 접속할 때 친구목록에 등록된 지인들을 성인물 게시글에 태깅한다.

이로 인해 이 악성코드는 단 이틀만에 11만명을 감염시키는 등 엄청난 속도로 확산됐다. SNS를 이용한 악성코드가 심각한 우려의 대상인 이유다.

포털에 접속하는 사용자들을 노린 금융감독원 사칭 팝업창도 등장했다. 허위 팝업창은 이른바 뱅키(Banki)류의 악성코드에 감염된 PC에서 포털 사이트에 접속할 때 나타난다. 뱅키 악성코드가 사용자 PC의 hosts 파일을 변조해 정상적인 포털 사이트로의 접근을 방해한 것이다.

최근에는 사용자 PC뿐만 아니라 공유기의 DNS를 변조하는 뱅키류의 악성코드가 증가하고 있다. 이 악성코드는 제대로 관리되지 않는 공유기 및 네트워크 기기의 계정 정보를 탈취한다. 해당 악성코드는 사용자 PC와 연결된 네트워크를 탐색하여 공유기 관리자 계정으로 로그인을 시도한다.

공유기의 관리자 계정 접속에 성공하면 네트워크 주소 및 로그인 계정 등을 C&C 서버로 전송한다. 공격자는 C&C 서버로 전송된 정보를 통해 기기에 원격 접속하거나 공격을 수행한다. 공유기를 사용할 때는 반드시 비밀번호를 설정하고, 최신 버전 패치로 업데이트 해야한다.

안랩 관계자는 "다양한 랜섬웨어 변종을 비롯해 체리피커 등 POS 시스템 악성코드까지 다양한 종류의 악성코드들이 지속적으로, 진화하는 형태로 등장하고 있다"며 "피해를 입지 않기 위해서는 백신과 자주 사용하는 응용프로그램 또한 보안 업데이트를 적용해 최신 버전으로 유지하는 것이 중요하다"고 설명했다.