[우리문화신문=이한영 기자] 한겨울의 매서운 바람과 미세먼지를 뚫고 영화관을 가기가 썩 내키지 않는다는 사람들이 있다. 또 주말마다 영화관을 찾기에는 예전보다 입장권 가격과 그 밖의 부대비용이 살짝 부담스럽다 보니 집에서 영화를 보는 사람들이 늘고 있다. IP TV나 넷플릭스 등 영화를 볼 수 있는 플랫폼과 서비스가 다양해진 것도 ‘나 홀로 영화족’이 늘어난 이유다. 이런 사회적 변화를 눈치채기라도 한 듯 나 홀로 영화족을 겨냥한 사이버 공격이 이어지고 있다. 이와 관련해 영화 파일로 위장한 악성코드와 스트리밍 서비스의 성인 인증 페이지로 위장한 악성코드 공격 사례를 살펴본다.
1. 영화 파일로 위장한 악성코드
영화 파일로 위장한 악성코드가 최근 발견되었다. 해당 악성 파일은 바로가기 파일(LNK) 형식으로 제작되어 있으며, P2P(인터넷에서 개인과 개인이 직접 연결되어 파일을 공유하는 것) 파일 공유 프로그램 토렌트를 통해 퍼졌다.
영화 파일로 위장한 악성 바로가기 파일 파일은 [그림 1]과 같이 정상 동영상 파일과 유사한 외형을 하고 있다. 그러나 자세히 확인해보면 아이콘 아래쪽에 화살표 모양이 추가된 것을 확인할 수 있다. 이 바로가기 파일 파일은 연결된 다른 파일을 실행하는 역할을 수행한다.
영화 파일로 위장한 악성 바로가기 파일 파일은 파워셸(Powershell, 고급언어로 만든 컴퓨터의 명령어)을 실행하고 추가 악성 프로그램을 내려받는다. 이렇게 실행된 파워셸 코드가 악성 행위를 담당하는 여러 프로그램을 내려받아 실행한다.
악성 바로가기 파일이 마지막으로 내려받은 파일은 가상화폐 정보를 빼앗는 악성코드다.
2. 영화 스트리밍 누리집의 인증 페이지로 위장한 악성코드
영화 스트리밍(음성이나 동영상 등을 실시간으로 재생하는 기술) 누리집의 성인 인증 페이지로 위장한 악성코드도 발견되었다. 해당 악성코드는 사용자 컴퓨터의 취약점을 노린 익스플로잇킷(Exploit Kit, 취약점 공격 도구)을 사용했다.
[그림 4]에서 보는 바와 같이 영화 스트리밍 누리집의 성인 인증 페이지와 매우 미슷하지만, 자세히 확인해보면 페이지 아래쪽에 악성 스크립트가 삽입되어 있다. 악성 스크립트는 이 누리집에 접속한 사용자 컴퓨터에서 응용 프로그램 사용 여부와 설치된 버전을 확인하여 취약점이 있는 버전인 경우, 해당 버전에 맞는 취약점 코드를 실행한다.
또한 악성코드는 레지스트리(윈도우 시스템에서 사용하는 시스템 구성 정보를 저장한 데이터베이스) 값을 변경하여 사용자 몰래 시스템에 악성 프로그램을 설치하거나 시스템 설정을 변경할 수 있도록 했다. 사용자가 더욱 알아차리기 어려워진 것이다.
한편 해당 악성코드는 2014년에 국내 사용자를 대상으로 금융 정보를 탈취하는 파밍 악성코드를 유포하는데 많이 사용되었던 공격 도구인 CK VIP(Kaxin)를 통해 유포되고 있다. CK VIP는 공격 성공률을 높이기 위해 새로운 취약점 정보가 계속 추가되고 있기 때문에 사용자들의 주의가 더욱 필요하다.
최근 플랫폼(많은 사람들이 이용하는 컴퓨터 프로그램이나 모바일 앱, 누리집)과 서비스의 다양화로 인해 집에서 컴퓨터나 스마트TV 등을 통해 영화 콘텐츠를 이용하는 사람들이 늘었다. 그러나 많은 사용자가 몰리는 곳은 공격자의 관심을 끌기 마련이다. 즐겁게 영화를 감상하려다 뜻하지 않게 악성코드에 감염되어 피해를 입지 않기 위해서는 반드시 공인된 업체(플랫폼, 서비스)의 콘텐츠를 이용하는 것이 바람직하다. 또 영화 콘텐츠를 내려받거나 실행하기 전에 컴퓨터에 설치된 주요 응용 프로그램(JAVA, Flash Player, IE 등)을 항상 최신 버전으로 업데이트하고 최신 버전의 백신 프로그램을 사용하는 버릇을 길러야 한다.
또한 파일 공유 누리집의 검증되지 않는 파일이나 내려받기 주소는 각별히 조심해야한다. 알 수 없는 파일, 불법 파일 등을 내려받지 않도록 하고, 인터넷 게시글에 포함된 하이퍼링크(누르면 다른 누리집으로 넘어갈 수 있는 글자나 영상)나 인터넷 주소를 누르기 이전에 반드시 주소를 다시 한 번 확인하는 자세가 필요하다.
AhnLab ASEC대응팀 제공
