【와티비커뮤니티-WATVcommunity】 보증업체놀이터추천홍보 : 프로그램제작판매제작의뢰 : 스포츠분석 : 무료스포츠중계tv : 섹시bj움짤 : 스포츠뉴스 : 안구정화 놀이터홍보 놀이터후기공유 피해사례공유

로그인

채팅

글쓰기

[IT뉴스]견적서·영수증 위장 피싱…보안프로그램 끄고 PC까지 장악

온카뱅크관리자

2026-08-20 06:17:25

<div id="layerTranslateNotice" style="display:none;"></div> 견적서 위장 파일 실행하면 보안프로그램부터 종료…개인정보 탈취 영수증 피싱에는 정상 원격관리 프로그램 악용…피해 PC 원격 조종 
 <div class="article_view" data-translation-body="true" data-tiara-layer="article_body" data-tiara-action-name="본문이미지확대_클릭"> 
 <section dmcf-sid="VtH22N1ytm">
 <figure class="figure_frm origin_fig" contents-hash="70f16add235fe26580da659c679f90187091ea1edaf7b68854f74104a3dfb672" dmcf-pid="fFXVVjtWHr" dmcf-ptype="figure">
 <img alt="해외 기업의 영업팀 직원을 사칭해 기존 견적 확인과 수정을 요청하는 피싱 이메일. 첨부된 압축파일을 실행하면 취약한 드라이버를 악용해 보안프로그램을 종료하고 정보탈취 악성코드를 실행한다. (안랩 제공. 재판매 및 DB금지) ⓒ 뉴스1 김민수 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/20/NEWS1/20260820060852439ketz.jpg" data-org-width="1033" dmcf-mid="9mXss3nQZO" dmcf-mtype="image" height="auto" src="https://img4.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/20/NEWS1/20260820060852439ketz.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 해외 기업의 영업팀 직원을 사칭해 기존 견적 확인과 수정을 요청하는 피싱 이메일. 첨부된 압축파일을 실행하면 취약한 드라이버를 악용해 보안프로그램을 종료하고 정보탈취 악성코드를 실행한다. (안랩 제공. 재판매 및 DB금지) ⓒ 뉴스1 김민수 기자
 </figcaption>
 </figure>
 (서울=뉴스1) 김민수 기자 = 거래 견적서나 영수증을 확인해달라는 업무 메일로 속인 뒤 보안프로그램을 끄거나 피해자의 PC를 원격으로 조종하는 피싱 공격이 잇따라 포착됐다.
 20일 안랩 시큐리티 인텔리전스 센터(ASEC)에 따르면 최근 해외 기업의 영업팀 직원을 사칭해 견적을 수정하거나 제품 버전을 확인해달라는 내용의 피싱 메일이 유포됐다.
 메일에는 압축파일이 첨부돼 있다. 사용자가 압축파일 안의 실행파일을 열면 악성코드가 작동한다.
 악성코드는 먼저 PC의 관리자 권한 획득을 시도한다. 이후 보안 취약점이 있는 드라이버를 이용해 PC에서 작동 중인 보안프로그램을 강제로 종료한다.
 이런 공격 방식을 'BYOVD'(Bring Your Own Vulnerable Driver)라고 한다. 쉽게 말해 해커가 이미 취약점이 알려진 드라이버를 피해자 PC에 설치한 뒤 이를 공격 도구로 사용하는 방식이다.
 드라이버는 컴퓨터의 운영체제가 각종 장치나 기능을 제어하도록 돕는 프로그램이다. 일부 드라이버는 운영체제의 핵심 영역인 '커널'에서 작동하기 때문에 높은 권한을 갖는다.
 공격자는 이런 드라이버의 취약점을 악용해 일반 프로그램에서는 종료하기 어려운 보안제품의 작동까지 멈췄다. ASEC 분석 결과 악성코드에는 마이크로소프트의 보안 관련 프로그램을 비롯해 여러 보안제품의 프로세스가 종료 대상으로 설정돼 있었다.
 보안프로그램을 끈 뒤에는 정보탈취형 악성코드 '팬텀스틸러'(Phantom Stealer)를 정상 윈도 프로세스 안에 숨겨 실행한다.
 팬텀스틸러를 통해 사용자의 키보드 입력이나 화면을 기록하고 웹브라우저 등에 저장된 계정정보와 로그인 쿠키, 신용카드 정보, 가상자산 지갑 등을 훔칠 수 있다.
 사용자가 복사한 가상자산 지갑 주소를 공격자의 지갑 주소로 몰래 바꿔치기하는 기능도 갖췄다. 피해자가 이를 알아채지 못하고 송금하면 가상자산이 공격자에게 넘어갈 수 있다.
 <figure class="figure_frm origin_fig" contents-hash="bd070434a3da170bfb05ec2f6f728759f4b2f308a94eab716e08c813c0825dc6" dmcf-pid="HcJIIpoMHo" dmcf-ptype="figure">
 <img alt="거래 영수증으로 위장한 PDF 파일에 '어도비 플래시 플레이어' 업데이트가 필요하다는 가짜 안내가 표시된 모습. 사용자가 연결을 허용하면 공격자가 만든 사이트로 이동해 악성 파일 설치를 유도한다. (안랩 제공. 재판매 및 DB금지) ⓒ 뉴스1 김민수 기자" class="thumb_g_article" data-org-src="https://t1.daumcdn.net/news/202608/20/NEWS1/20260820060853869ggkx.jpg" data-org-width="868" dmcf-mid="2a4AAGQ9Ys" dmcf-mtype="image" height="auto" src="https://img3.daumcdn.net/thumb/R658x0.q70/?fname=https://t1.daumcdn.net/news/202608/20/NEWS1/20260820060853869ggkx.jpg" width="658">
 <figcaption class="txt_caption default_figure">
 거래 영수증으로 위장한 PDF 파일에 '어도비 플래시 플레이어' 업데이트가 필요하다는 가짜 안내가 표시된 모습. 사용자가 연결을 허용하면 공격자가 만든 사이트로 이동해 악성 파일 설치를 유도한다. (안랩 제공. 재판매 및 DB금지) ⓒ 뉴스1 김민수 기자
 </figcaption>
 </figure>
 <h3 contents-hash="4c4deb78acef39473bb432585bb4422ee7c88aee5118d48c71b7b5ea1fe19929" dmcf-pid="XkiCCUgRHL" dmcf-ptype="h3">정상적인 원격관리 프로그램도 공격 수단으로</h3>
 ASEC가 함께 공개한 또 다른 피싱 공격에서는 정상적인 원격관리 프로그램이 해킹 수단으로 악용됐다.
 공격자는 미국 기업 직원을 사칭해 거래 영수증을 확인해달라는 메일을 보냈다. 메일에 첨부된 PDF 파일에는 해외 송금 확인서처럼 꾸민 내용과 함께 문서를 보기 위해 '어도비 플래시 플레이어'를 업데이트해야 한다는 가짜 안내가 나온다.
 사용자가 안내에 따라 파일을 내려받아 실행하면 정상적인 거래 영수증처럼 보이는 문서가 화면에 나타난다. 하지만 사용자가 문서를 보는 동안 PC에서는 원격관리 프로그램 '스크린커넥트'(Screen Connect)가 몰래 설치된다.
 스크린커넥트 자체는 기업이나 정보기술(IT) 담당자가 다른 PC에 원격으로 접속해 문제를 해결하거나 시스템을 관리할 때 사용하는 정상 프로그램이다.
 그러나 이번 공격에서는 피해자의 PC가 공격자가 운영하는 원격관리 서버에 연결되도록 설정됐다.
 이렇게 되면 공격자는 멀리 떨어진 곳에서도 피해 PC에 접속해 명령을 내리거나 파일을 전송할 수 있다. 다른 악성코드를 추가로 설치하는 것도 가능하다.
 정상적으로 개발된 프로그램이나 시스템 기능을 공격에 이용하는 수법을 '리빙 오프 더 랜드'(Living-off-the-Land·LoL)라고 한다.
 별도의 낯선 해킹 프로그램만 사용하는 것이 아니라 정상적인 프로그램까지 공격 도구로 활용하기 때문에 피해자가 알아차리기 어려울 수 있다.
 ASEC는 정상 프로그램을 악용하는 공격이 지속적으로 확인되고 있다며 출처가 불분명한 이메일의 첨부파일이나 외부 링크를 함부로 실행하지 말 것을 당부했다.
 kxmxs4104@news1.kr &lt;용어설명&gt; ■ BYOVD(Bring Your Own Vulnerable Driver) 해커가 보안 취약점이 있는 드라이버를 피해자의 PC에 가져와 공격에 이용하는 방식. 높은 권한을 가진 드라이버를 악용해 보안프로그램을 끄거나 시스템을 조작할 수 있다. ■ 커널(Kernel) 컴퓨터 운영체제의 핵심 부분. 프로그램과 하드웨어를 관리하며 높은 권한을 갖고 있어, 커널 영역이 공격당하면 시스템 전체에 영향을 줄 수 있다. ■ 리빙 오프 더 랜드(Living-off-the-Land·LoL) 별도의 해킹 도구만 사용하는 대신 정상 프로그램이나 시스템 기능을 공격에 악용하는 수법. 정상적인 동작처럼 보일 수 있어 공격을 알아채기 어려울 수 있다. 
 </section> 
 </div> 
 Copyright © 뉴스1. All rights reserved. 무단 전재 및 재배포, AI학습 이용 금지.

글로벌 공략 가속⋯ K-게임, 세계 최대 게임쇼 ‘게임스컴’ 출전 [사이언스카페] 돌고래도 도구 쓴다, 조개껍데기로 낚시

댓글 총 0개

업체홍보/구인 더보기

놀이터홍보 더보기

지식/노하우 더보기

판매의뢰 더보기

포토 더보기