하우리 로고 이미지

전체메뉴 열기

Security issues analysis

주의해야 할 보안위협요소에 대한 분석자료 제공

보안이슈 분석

(주의) 10월 급여명세서로 위장한 악성 메일 주의
등록일 :
2019.10.18
□ 개요

최근 국내에 급여명세서 관련 악성 메일이 지속적으로 유포되고 있어 국내 사용자들의 각별한 주의가 요구된다.

 

 

□ 내용

해당 메일에는 급여명세서 관련된 내용을 포함하고 있으며, 'P001_102019_3364.xls' 파일이 첨부되어 있다.

 

 [그림 1] 악성 스팸 메일

 

 

문서를 열람하면 '콘텐츠 사용'이라는 보안 경고가 뜨고 콘텐츠 사용 클릭 시 악성 매크로가 동작한다.

 

 
[그림 2] 악성 매크로가 삽입된 문서파일

 

 

매크로가 동작되면 가짜 로딩화면이 나오고 다음과 같은 경로에 'libDxdiag1.dll'파일을 드롭하여 실행한다.

 

%AppData%\Microsoft\Windows\Templates\libDxdiag1.dll​

 

[그림 3] 삽입된 매크로 코드



[그림 4] 가짜 로딩화면

 

 

 

실행된 악성모듈(libDxdiag1.dll)은 메모리에 복호화된 코드를 실행하며, 코드는 UPX 압축형태로 되어있다.


[그림 5] 메모리에 로드된 복호화 코드


코드 내부에는 C&C서버가 하드코딩되어 있으며, PC정보(OS버전, PC이름, 프로세스목록 등)를 수집한다.



[그림 6] C&C서버 및 수집정보


탈취한 정보는 C&C서버로 전송하지만 현재는 서버와 연결이 되지 않는다.

[그림 7] C&C서버 연결 실패


최근 다양한 방법을 통해 악성 메일이 유포되고 있으므로 첨부파일인 경우 의심부터 하고 메일의 진위여부를 주의 깊게 확인해야한다. 


 바이로봇 업데이트 내역
XLS.Agent
XLS.VBA.Gen.A

 

  • - 본 정보의 저작권은 (주)하우리에 있으므로 허가없이 전체 또는 일부를 사용 시 저작권 침해로 간주될 수 있습니다.
  • - 상업적인 목적이나 단체에서 사용할 경우, 별도로 허가를 받으셔야 합니다. (정보 이용 문의 skim@hauri.co.kr)

Top