'세무 위반' 안내 메일 믿었다가…중국산 악성코드 주의보

“72시간 내 자료 제출하라”…실행 유도
감염되면 PC 원격 조작이나 자료 탈취

세무 당국의 위반 통지를 사칭해 악성코드를 설치하도록 유도하는 피싱 이메일이 유포돼 주의가 요구된다.

연합뉴스는 19일 이스트시큐리티 시큐리티대응센터(ESRC)를 인용, 최근 국내 기업 담당자를 대상으로 '세무 위반 및 제재 통지'라는 제목의 피싱 메일이 발송됐다고 보도했다.

사진은 해당 기사 내용과 직접적인 관계 없음. 픽사베이

공격자는 악성 파일을 이메일에 직접 첨부하지 않고 정상 파일 공유 서비스 링크를 이용해 보안 시스템의 탐지를 우회하도록 설계했다. 메일에는 세무조사 과정에서 특정 조항을 위반했다며 72시간 안에 관련 자료를 제출하지 않으면 제재를 받을 수 있다는 내용이 담겼다.

메일 속 링크를 클릭하면 정상 파일 공유 서비스를 통해 '세금 위반 코드.zip' 파일이 다운로드된다. 압축을 풀어 실행 파일을 열면 중국에서 개발된 원격제어 프로그램 '알디뷰어(RdViewer)'를 설치하는 악성 프로그램이 작동한다.

실행 파일에는 중국 랴오닝성 소재 개인 명의로 발급된 유효한 코드서명 인증서가 적용돼 윈도 스마트스크린 경고나 보안 프로그램의 평판 기반 탐지를 피하도록 한 것으로 분석됐다.

악성코드가 실행되면 원격제어 프로그램은 사용자 계정 내부의 숨김 경로에 설치되고, 윈도 서비스에 정상 프로그램처럼 등록돼 컴퓨터를 재부팅해도 자동 실행된다. 설치가 완료되면 최초 실행 파일은 스스로 삭제돼 사용자가 감염 사실을 인지하거나 사후 분석을 하기 어렵게 만든다.

최근 국내 기업 담당자를 대상으로 ‘세무 위반 및 제재 통지’라는 제목의 피싱 메일이 발송됐다. 이스트시큐리티 시큐리티대응센터(ESRC)

ESRC는 설치된 원격제어 프로그램이 시스템 프로세스처럼 위장한 뒤 공격자의 명령제어(C2) 서버와 연결돼 PC 화면과 파일, 오디오 등에 접근할 수 있는 통로를 제공한다고 설명했다. 감염될 경우 공격자가 원격에서 PC를 조작하거나 내부 자료를 탈취할 가능성이 있다.

ESRC는 이번 공격에 대해 세무 위반 통지와 짧은 제출 기한을 내세워 기업 담당자의 불안감을 자극한 것이 특징이라고 설명했다. 특히 실제 기관 문서처럼 꾸며진 메일과 정상 파일 공유 서비스를 함께 활용해 경계심을 낮추는 방식을 사용했다고 덧붙였다.

이어 세무나 법무 관련 메일이라도 공식 기관 도메인이 아닌 주소에서 발송됐다면 링크나 첨부 파일을 실행하지 말고, 반드시 해당 기관을 통해 통지 여부를 별도로 확인해야 한다고 당부했다.

최승우 기자 loonytuna@asiae.co.kr