"코로나 확진자와 접촉했다"며 유인…악랄해지는 '공격자'들

인천 감염병관리지원단 사칭해 동선 제출 요구…파일 받으면 감염

(이스트시큐리티 제공) © 뉴스1

(서울=뉴스1) 권혁준 기자 = 신종 코로나바이러스 감염증(코로나19)의 확산이 계속되는 가운데 이를 악용한 '공격자'들의 공격이 갈수록 악랄해지고 있다. 이번엔 코로나19 확진자와 접촉했다며 공포감을 조성하는 사례가 발견됐다.

이스트시큐리티는 1일 오전부터 인천 감염병관리지원단을 사칭한 악성 이메일(스피어 피싱) 공격이 발견됐다고 밝혔다.

해당 이메일은 '[긴급 조회]'라는 발신지와 함께 '인천광역시 코로나바이러스 대응'이라는 제목으로 유포됐다. 발신자 메일 주소도 실제 인천시 소속의 감염병관리지원단이 보낸 것처럼 꾸몄다.

공격자는 이메일 수신자에게 특정 집회의 참석자 중 코로나19 확진자가 발생했고, 이메일 수신자 역시 동일 집회에 참석했다는 신고가 있다며 공포심을 자극한다. 이에 행적 파악을 위해 특정 시간대 동선을 제출해야한다며 첨부된 양식 파일의 다운로드를 유도한다.

첨부된 한글 문서 파일을 실행하면 '긴급 조회' 제목의 한글 문서가 실행된다. 이와 함께 특정 해외국가(이란)의 명령제어(C2) 서버를 통해 크롬 업데이트 모듈처럼 속성을 위장한 악성코드가 추가 작동된다.

사용자 PC에 실행된 악성코드는 파일·폴더 정보를 수집하며 추가 다운로드 명령을 통해 백도어(Backdoor) 등의 각종 악성파일을 몰래 설치해 잠재적인 위협에 노출하게 한다.

이스트시큐리티는 이번 공격이 특정 정부의 후원을 받는 APT(지능형 지속위협) 조직으로 알려진 '라자루스'로 의심된다고 밝혔다. 라자루스는 2014년 소니픽처스 해킹과 2016년 방글라데시 중앙은행 해킹 사건의 주범으로 지목되는 조직이다.

문종현 이스트시큐리티 ESRC 센터장은 "최근 코로나19 관련 방역 활동이 코로나 확진자 동선과 접촉자 중심으로 이뤄지고 있다는 것이 알려져 있어, 국가기관 사칭 이메일에 사용자가 쉽게 위협에 노출될 수 있다"면서 "코로나19 관련 이메일을 수신할 경우 첨부파일 열람에 특별히 주의를 기울여야 한다"고 당부했다.
starburyny@news1.kr

[© 뉴스1코리아(news1.kr), 무단 전재 및 재배포 금지]