국세청 등 공공기관, 대학 등을 사칭한 악성 LNK(바로가기) 파일이 사용되고 있어 이용자들의 주의가 요망된다.
2일 안랩(053800)에 따르면 최근 국내 사용자들을 대상으로 LNK를 이용한 이러한 악성 파일 유포 사례가 다수 확인되고 있다. 안랩이 확인한 악성 LNK 파일은 이메일에 첨부된 URL(인터넷 주소)을 통해 유포되는 것으로 추정된다. URL을 클릭하면 ‘종합소득세 신고 관련 해명자료 제출안내.zip’이라는 이름의 압축 파일이 다운된다. 이 압축 파일에는 정상적인 한글 문서 2개와 악성 LNK 파일이 함께 존재한다.
현재는 문제의 URL에서 다운로드되는 압축 파일에 정상적인 한글 문서 3개만 들어있다고 안랩은 전했다. 공격자가 짧은 기간에만 악성 파일을 유포함으로써 이후 분석과 추적을 어렵게 만든 것으로 보인다. 압축 파일 내 ‘국세청 종합소득세 해명자료 제출 안내.lnk’라는 이름의 악성 파일은 약 300MB 크기의 더미 데이터가 붙어있는 형태로, 악성 파워셸(PowerShell) 명령어를 포함한다.
이 한글 문서는 국세청의 세금 관련 안내문으로 위장해 사용자는 악성 LNK 파일이 아니라 정상적인 한글 문서를 실행했다고 착각할 수 있다. 이후 LNK 파일 내부에 존재하는 압축 파일을 특정 경로에 생성한 뒤 압축 해제함으로써 사용자 정보를 탈취하고 추가 악성 파일을 다운로드하는 것으로 조사됐다.
국세청 사칭 외에도 ‘협의회 참여단체 현황’, ‘통일부 조직개편 설명자료’, ‘주차등록신청서-학생용’, ‘수강 신청 정정원’ 등의 다양한 주제로 위장한 악성 LNK 파일이 유포되는 것으로 나타났다.
< 저작권자 ⓒ 서울경제, 무단 전재 및 재배포 금지 >
taek@sedaily.com
