[디지털데일리 이종현기자] 국내 암호화폐거래소 이용자를 노린 사이버공격이 발견됐다.

14일 이스트시큐리티는 ‘국내 암호화폐거래소의 계정 운영 정책 변경 안내’ 문서로 위장한 공격이 등장했다고 밝혔다.

해당 공격은 ‘계정기능 제한 안내.hwp’라는 파일명의 악성 hwp 문서를 활용했다. 국내 유명 암호화폐거래소의 공지인 것처럼 위장해 암호화폐거래소 계정을 가진 사용자를 공격 타깃으로 설정한 것으로 추정된다.

이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 해당 공격은 hwp의 포스트 스크립트 취약점을 사용한 형태가 아닌 ‘OLE’ 개체 기능을 악용한 것이다. 사용자가 문서를 클릭할 경우 내부에 숨겨진 32비트 악성 실행파일(.exe)을 설치한다.

OLE 개체 기능은 윈도의 여러 응용프로그램에서 독립적인 자료를 사용할 수 있는 기능이다. 데이터를 공유할 수 있는 기능으로 최신 버전의 hwp 문서 작성 프로그램을 사용해도 이용자 클릭에 따라 위협에 노출될 수 있다.

특히 문서 소프트웨어(SW) 업데이트로 위장하고 있는 악성 실행파일은 내부에 base64 코드로 인코딩된 추가 명령이 파워셀 기반으로 동작하도록 설정돼 있다. 파워쉘 명령이 작동하면 공격자의 명령 제어(C2) 주소로 감염시스템에서 수집한 정보를 전달한다. 수집하는 정보는 추가 명령 제어를 위해 필요한 바이오스에 저장된 ▲시리얼 넘버 ▲제조사 ▲제품 이름 등이다.

이번 공격에서 눈에 띄는 점은 감염 시스템의 정보를 수집하고 추가 명령을 내릴 수 있는 C2 주소가 국내 부동산 기획 홍보 관련 회사 사이트로 설정됐다는 점이다.

문종현 ESRC 센터장은 “공격자는 국내 유명 암호화폐거래소의 문서인것처럼 위장해 거래소 계정을 보유한 사용자들을 타깃으로 악성코드를 유포했다”며 “수집한 정보를 통해 암호화폐 채굴, 추가정보 수집 등 2차 공격을 수행할 수 있으므로 주의가 필요하다”고 당부했다.

이어서 그는 “hwp 보안 취약점이 아닌 정상적인 OLE 개체 삽입 기능을 악용했기에 최신 버전을 사용 중인 이용자들도 감염될 우려가 있다”고 부연했다.

<이종현 기자>bell@ddaily.co.kr