한게임·피망·넷마블의 맞고·포커 게임 이용자들 타깃
PC에 오류화면 띄워 악성 파일 설치 유도
오유, 창조 등 부자연스러운 한글 문구 포함

[보안뉴스 권 준 기자] 올해 대선기간 중 안철수(anchulsu.exe) 대선후보 이름을 사용한 게임 악성코드가 국내에 유포된 바 있는데, 동일한 수법으로 국내 게임 사용자를 겨냥해 악성코드가 유포되는 것이 포착됐다.


▲ 게임 악성코드 설치를 유도하는 피싱 화면[자료=에프원시큐리티]

게임 악성코드는 보안전문기업 에프원시큐리티와 위협정보대응 전문서비스를 제공하는 제로서트(ZeroCERT)의 국내 사이버위협 공동대응 중에 발견됐다.

악성코드 유포는 MS의 인터넷 익스플로러 도메인 주소를 사칭하여 접속 오류 화면을 띄우고 파일 설치를 유도하는 피싱 기법을 사용하고 있다.

해당 악성코드는 전 세계적으로 유명한 백신인 어베스트로 위장하여 실행 중인 게임 프로세스를 찾아 DLL 인젝션을 통해 PC 화면 정보를 탈취하는 악성행위가 관찰됐다.

대상 게임은 바둑이(Baduki), 포커(PlusPoker), 맞고(Matgo), 바닐라(Vanilla)를 비롯한 한게임 7포커, 한게임 로우바둑이, 하이로우2, 한게임 라스베가스 포커, 한게임 맞포커, 한게임 파티훌라, 피망 7포커, 피망 로우바둑이, 피망 하이로우, 피망 뉴포커, 피망 훌라, 넷마블 7포커, 넷마블 로우바둑이, 넷마블 하이로우, 넷마블 뉴포커, 넷마블 훌라 등이다.


▲ 어베스트 백신 서비스를 가장하고 있는 악성코드[자료=에프원시큐리티]


▲ 게임의 실행화면을 확인하는 코드[자료=에프원시큐리티]

이번 악성코드 유포에 있어 주목할 만한 특징은 ‘오유(오류)’, ‘창조(등록)’ 같은 부자연스러운 한글 문구가 사용되고 있다는 점이다. 한글을 사용하는 북한의 소행 가능성과 함께 한국인들의 사주를 받은 중국 거주 조선족들 또는 조선족 사이버범죄자들의 단독 공격 가능성도 존재한다.


▲ 부자연스러운 한글 문구[자료=에프원시큐리티]

최근 북한의 해킹은 정치적 목적보다는 외화벌이를 목적으로 하고 있다. 방글라데시 중앙은행을 비롯한 워너크라이 랜섬웨어도 북한 소행으로 추정되고 있는 상황이다. 그러나 이러한 분위기를 잘 알고 있는 사이버범죄자들이 이를 악용할 수 있기 때문에 단정하기는 쉽지 않다.

웹을 통한 악성코드 유포 방법은 웹사이트 방문만으로도 악성코드에 감염되기 때문에 인터넷 이용자의 웹 서핑에 더욱 주의가 필요하다. 에프원시큐리티 측은 해당 악성코드 관련 정보에 대해 한국인터넷진흥원(KISA)과 신속하게 공유 및 대응하고 있다고 밝혔다.

보안컨설팅과 웹 악성코드 유포탐지 솔루션을 보유한 보안전문기업 에프원시큐리티 측은 “지속적인 사이버위협 대응과 정보 공유를 통해 앞으로도 안전한 인터넷 환경을 지키기 위해 최선을 다할 것”이라고 밝혔다.
[권 준 기자(editor@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>