‘조류독감 안내문’으로 위장한 악성코드

중국에서 발생한 신종 조류독감(H7N9)의 확산으로 사회적 문제가 커지고 있는 가운데, 이를 악성코드 유포에 이용한 사례가 발견돼 사용자들의 주의가 요구된다.

 

최근 발견된 악성코드(조류독감안내문.exe)는 이메일의 첨부파일로 유포됐을 것으로 추정되며,  정상적인 MS 워드문서로 위장하고 있었다. 해당 악성코드를 실행할 경우, 사용자가 악성코드의 감염을 인지할 수 없도록 정상 워드문서가 실행된다.  

[그림 1] 조류독감 안내문 파일

 

해당 파일은 조류독감과 관련해 교민들에게 유의사항을 전하는 안내문으로 보이지만, 실제로는 악성코드를 포함하고 있다.

 

 

[그림 2] 조류독감 안내문.exe 실행화면

 

악성코드는 [그림 3]와 같은 파일을 생성하며, Temp 폴더에 생성된 vm1ectmp.exe 파일은 악성코드의 복사본이다.

 

[그림 3] 생성 파일 정보

 

또한, NEWCLIENT13.EXE 파일을 통해 ODBC 폴더에 AppMgmt.dll 파일을 생성한다.

 

[그림 4] AppMgmt.dll 파일

 

AppMgmt.dll 파일은 윈도우서비스(Application Management)에 등록되어 동작하도록 구성돼 있다.

 

 

[그림 5] 서비스 등록 정보

 

해당 악성코드는 시스템 정보 등을 탈취하는데 이용될 것으로 추정되며, 특정서버(59.X.X.203)로 접근을 시도하지만 분석시점에는 연결이 되지 않았다.

 

해당 악성코드는 V3를 통해 진단 및 치료가 가능하다.@