“입사지원서 열면 정보 싹 털린다”··· 이스트시큐리티, 해킹 경고

실시간
뉴스

보안

“입사지원서 열면 정보 싹 털린다”··· 이스트시큐리티, 해킹 경고

디지털데일리 발행일 2023-06-16 16:20:21

이종현 기자

URL복사

정상 이메일처럼 위장한 해킹메일. 국내 구인구직 사이트의 도메인 주소와 유사하게 설정한 피싱 사이트 주소가 포함돼 있다.

[디지털데일리 이종현기자] 이스트시큐리티는 국내 구인구직 사이트와 유사한 도메인을 이용해킹을 시도하는 정황을 포착했다고 16일 밝혔다.

이번에 공개한 공격은 공개된 다수 공격들과 유사하게 입사지원서 이메일을 위장한 피싱메일을 통해 이뤄졌다. 이메일 내 첨부돼 있는 악성 링크의 도메인 주소를 실제 존재하는 국내 구인구직 사이트 ‘잡인포’와 유사하게 생성한 것이 특징이다.

이스트시큐리티 시큐리티대응센터(ESRC)가 공격에 악용된 C&C 서버의 아이피를 분석한 결과 유사 도메인 사용 이력이 다수 존재했다. 유사 공격이 수차례 이뤄졌음을 시사한다.

메일 수신자가 링크를 클릭하면 공격자 서버에서 ‘오**-hwp(입사지원서).exe’라는 압축파일이 다운로드된다. 한글문서파일처럼 위장한 실행파일(.exe)이다. 윈도는 사용자가 따로 설정하지 않는 이상 개별 파일의 파일 확장자는 보이지 않게 설정돼 있어 자칫하면 문서파일로 오인할 수 있다.

만약 사용자가 실행파일을 실행시키면 백그라운드에서는 ‘넷스코어’라는 프로그램을 실행시킨다. 동시에 사용자 화면에는 실제 이력서처럼 위장한 디코이 파일을 보여줘 해킹이 이뤄지고 있음을 인지하지 못하도록 한다.

넷스코어는 감염 PC 정보를 수집해 특정 서버로 전송한다. 공격자의 명령에 따라 음성녹음, 폴더 및 파일정보수집 등 여러 추가 악성 행위를 할 수 있는 명령제어 기능도 다수 포함돼 있다.

시큐리티대응센터(ESRC) 관계자는 “입사지원서를 위장한 피싱 메일을 통한 공격은 공격자들이 즐겨 사용하는 공격 방식 중 하나”라며 “공격자들은 입사지원서라는 동일한 주제를 가지고, 다양한 형태의 공격 방식을 연구하고 있는 만큼, 이메일 내 첨부파일이나 링크 클릭 시 반드시 주의해야 한다”고 말했다.