문서 읽으려면 어도비 리더 설치? 어도비 리더로 위장한 악성코드
정상 어도리 리더 파일로 위장, 아이콘 및 설치파일 이름까지 속여
공식 사이트 통해 파일 설치해야

[보안뉴스 박은주 기자] 최근 어도비 리더(Adobe Reader) 설치파일로 위장한 정보탈취형 악성코드 인포스틸러(Infostealer)가 유포되는 정황이 드러났다. 문서를 읽기 위해서 어도비 리더가 필요한 것처럼 속여 악성코드 다운로드 및 실행을 유도하고 있어 각별한 주의가 요구된다.


▲문서를 읽기 위해서 어도비 리더 파일을 설치할 것을 유도하고 있다[이미지=ASEC]

안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 위장 PDF 파일은 문서를 읽기 위해서는 어도비 리더 설치가 필요하며, 클릭해 다운로드할 것을 유도하고 있다. 위의 예시처럼 회색 영역을 클릭하면 설치 주소로 접속되고, 악성코드가 다운로드 된다.


▲위장파일과 정상파일은 육안으로 구분하기 어려울 정도로 유사하다[이미지=ASEC, 보안뉴스]

다운로드한 파일은 어도비 리더 아이콘을 사용하고, ‘Reader_Install_Setup.exe’라는 이름으로 설정돼 정상 어도비 리더 설치파일로 위장하고 있다. 위 이미지 중 왼쪽은 정상파일로 위장한 악성파일이며, 오른쪽은 어도비 공식 사이트에서 설치한 정상파일이다. 이처럼 육안으로 봤을때 정상파일과 악성파일의 구분이 어렵다.


▲악성코드 도식도[자료=ASEC]

다운로드 된 파일은 △파일 생성 △DLL Hijacking & UAC Bypass △정보 유출 3단계로 실행된다. 설치된 악성 파일은 여러 실행 파일을 생성해 악성 행위를 수행하게 된다. DLL 하이재킹을 통한 사용자 계정 컨트롤 및 PC 정보를 수집하고, 명령제어(C&C) 서버와 통신하고 있다. ASEC에서 밝힌 C&C 서버 주소는 hxxps://blamefade.com[.]br/이다.

또한 크롬 애플리케이션 및 윈도우 디펜더 경로를 등록해 생성 파일을 생성하고 숨김처리 하기도 했다. 이곳에 생성된 chrome.exe 파일은 실제 크롬 브라우저와는 관계가 없는 악성 파일이며, 파일 아이콘으로 실제 브라우저 실행 파일인 것처럼 위장하고 있다. 해당 악성파일 역시 시스템 정보와 사용자의 브라우저 정보를 수집해 C&C 서버로 전송하는 역할이다.

이처럼 정상 파일로 위장해 악성코드를 유포하는 공격이 이어지고 있다. 이에 따라 어도비 사용자는 공식 사이트가 아닌 곳에서는 파일을 설치하지 않도록 각별히 주의해야 한다.
[박은주 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>