토렌트서 공유된 최신 영화 파일 속 악성코드 발견

요즘 많은 사람들이 파일 공유 사이트(P2P)나 토렌트(Torrent) 프로그램을 이용해 영화, 드라마, 게임, 유틸리티 프로그램 등을 공유하거나 다운받고 있다. 하지만 이렇게 공유되는 자료의 상당수는 저작권 문제가 있을 뿐 아니라, 자료의 출처가 불분명하고 내부에 악성코드가 포함돼 있는 경우도 있어 이들 사이트를 이용할 때에는 각별한 주의가 필요하다.

최근 영화 파일을 공유하는 토렌트 파일로 위장한 악성코드가 발견됐다. 해당 파일은 영화 토렌트 공유 파일(.torrent) 아이콘으로 위장하고 있지만, 실제로는 사용자가 눈치채지 못하도록 악성코드가 숨어 있었다.

악성코드 제작자는 더 많은 사람들의 클릭을 유도하기 위해 최신 개봉 영화나 현재 방영 중인 인기 있는 드라마의 파일을 이용했다.

 

[그림 1] 토렌트 공유 사이트

악성코드는 Nullsoft를 이용해 제작됐으며, 내부에 토렌트 공유 파일과 악성코드(Activex.exe)가 포함돼 있었다.

 

[그림 2] 악성코드 정보

악성코드가 실행되면 토렌트 프로그램이 연결된다. 백그라운드로 동작하기 때문에 사용자는 감염 사실을 인지하지 못한다.

 

[그림 3] 악성코드 실행화면

이와 유사한 형태로 다수의 영화 및 드라마 토렌트 파일을 위장한 악성코드가 토렌트 공유 사이트를 통해 유포되고 있는 것으로 확인됐다.

 

[토렌트 사이트를 통해 유포되고 있는 악성코드 정보] 미나OO방구.2013.720p.HDR-240.mkv.torrent.exe iron_OOO_3.2013.720p.hdrip.ultra.edition.ac3.x264.mkv.torrent.exe Jack_the_OOO_Slayer_2013_1080p_BRRip_x264_AC3-JYK.torrent.exe born.to.OOOO.2013.kor.vodrip.x264.ac3-adios.torrent.exe warm OOOOOO2013 720p web-dl x264 ac3-jyk.torrent.exe [방영중] [tvn] 몬스타.e01.130517.모든 것은 OO에서 시작되었다.hdtv.h264.720p-with1.torrent.exe

악성코드에 감염되면 다음과 같은 파일이 생성된다.

 

\Activex.exe C:\Program Files\Microsoft Window Update\lsass.exe

생성된 파일(lsass.exe)은 시작 레지스트리값에 등록되어 동작한다.

 

악성코드 감염 후 실제 동작하는 lsass.exe 프로세스를 보면 아래 화면과 같이 특정 서버(121.***.***.146:4183)로 계속해서 접근을 시도한다. 분석 당시에는 해당 서버로의 정상 접속이 이뤄지지 않았다.

 

[그림 4] lsass.exe 프로세스

 

이와 같이 파일 공유 사이트에서 불법으로 다운로드한 영화, 방송 프로그램 등을 통해 악성코드에 감염될 수 있으므로 사용자들은 이들 사이트를 이용할 때 각별히 주의해야 한다.@