팬데믹 기간을 거치면서 사이버 범죄자들의 활동이 눈에 띄게 활발해졌습니다. 더 많은 사람들이 업무, 학습, 그리고 가족·친구들과의 온라인 만남을 위해 PC와 인터넷을 사용하게 되었기 때문입니다. 해커의 궁극적인 목표는 어떤 수단을 쓰든 대상 시스템에 악성코드를 심는 것이며, 그 공격 수법은 건건이 다양합니다. 마이크로소프트(Microsoft) 사이버 보안 연구진은 최근 가짜 이메일과 콜센터를 통해 '바자로더(BazarLoader)' 악성코드를 유포하는 공격 그룹에 대해 전 세계 사용자에게 경고를 발령했습니다.
바자로더(BazarLoader)란 무엇인가?
바자로더는 해커가 감염된 Windows PC에 백도어(Backdoor)로 침입할 수 있도록 돕는 악성코드입니다. 일단 PC에 다운로드되면 백도어를 열어 사이버 범죄자들이 탐지되지 않은 상태에서 추가적인 위협 악성코드를 전송하고, 동일 네트워크에 연결된 다른 PC까지 공격할 수 있는 발판을 마련합니다. 공격이 성공하면 해커들은 내부 환경을 스캔한 뒤 파일을 암호화해 일상 전반을 마비시키는 랜섬웨어(Ransomware)를 배포할 수 있습니다. 쉽게 말해, 절대 컴퓨터에 존재해서는 안 되는 위협입니다.
바자로더는 어떤 경로로 확산되는가?
악의적인 공격자들은 다양한 방법으로 이 악성코드를 유포합니다. 대표적인 수법은 다음과 같습니다.
- 가짜 이메일에 악성 첨부파일을 담아 발송
- 사용자가 특정 전화번호로 전화를 걸도록 유도하는 경고성 이메일 발송
특히 후자의 경우, 사용자가 안내된 번호로 전화를 걸면 가짜 콜센터로 연결되고, 상담원을 가장한 공격자가 특정 웹사이트에 접속해 파일을 다운로드한 후 실행하도록 지시합니다.
이 사기 수법은 어떻게 적발되었나?
마이크로소프트 사이버 보안 연구진은 여러 사례를 추적한 끝에 동일한 공격 패턴을 확인했습니다. 이 콜센터 기반 공격 기법은 '바자콜(BazarCall)'이라 불리며, IT에 익숙하지 않은 수많은 사용자들을 노립니다. 마이크로소프트 보안 인텔리전스(Microsoft Security Intelligence)는 트위터(X)를 통해 이 사실을 알리고, 가짜 이메일과 스캠 전화를 무시하고 각별히 주의할 것을 당부했습니다.
문제는 "그렇다면 정상적인 연락과 가짜 이메일·전화를 어떻게 구분할 것인가?"라는 점입니다. 공격자들은 표적을 선정하는 기술을 크게 고도화했으며, 다양한 방법으로 사용자를 속이고 있습니다. 또한 마이크로소프트는 공격자들이 침투 테스트 도구인 코발트 스트라이크(Cobalt Strike)를 활용해 사용자의 자격 증명과 Active Directory 데이터베이스까지 탈취하고 있다고 밝혔습니다.
과거 해커들은 감염된 파일을 이메일에 직접 첨부해 발송했지만, 현재는 모든 이메일 서비스 제공업체가 이러한 첨부파일을 쉽게 차단합니다. 이에 해커들은 감염 파일 없이 민감한 내용만 담긴 이메일을 보내는 새로운 방식으로 전환했습니다. 이런 이메일은 현재 운영 중인 대부분의 이메일 보안 스캐너로도 탐지하기 어렵습니다. 마이크로소프트의 디펜더(Defender)와 Office 365는 교차 도메인 가시성을 제공하며, 이러한 유형의 공격에 맞서는 강력한 방어책 중 하나로 꼽힙니다. 마이크로소프트는 또한 바자콜 스캠 관련 최신 정보를 제공하는 GitHub 페이지도 운영하고 있습니다.
바자콜(BazarCall) 기법은 어떻게 실행되는가?
다음은 이 기법이 실제로 PC를 침투하는 과정의 예시입니다. 비슷한 이메일이나 전화를 받았을 때 경계심을 갖는 데 도움이 될 것입니다.
참고: 이 정보는 가족과 지인들에게 널리 알려 주세요. 함께 주의해야 피해를 막을 수 있습니다.
1단계: 사용자는 자신이 구독한 평가판(체험판) 서비스가 곧 만료되며, 만료 후 자동으로 유료 전환되어 신용카드로 결제될 것이라는 내용의 이메일을 받습니다. 이메일에는 결제를 막으려면 안내된 번호로 전화해 구독을 취소하라고 안내되어 있습니다.
2단계: 사용자는 예상치 못한 결제에 놀라고 불안해져 안내된 번호로 전화를 겁니다.
3단계: 전화를 받은 상담원(공격자)은 사용자에 대한 정보를 일부 알고 있을 수도, 없을 수도 있습니다. 상담을 시작한다며 이름, 전화번호, 이메일 등 개인정보를 요구합니다.
4단계: 문제를 해결해 주겠다며 사용자를 가짜 웹사이트로 안내하고, 이메일에 적힌 구독 번호를 입력하도록 합니다. 그러면 사용자의 컴퓨터로 엑셀 파일이 다운로드됩니다.
5단계: 콜센터 상담원은 해당 파일을 실행하라고 지시합니다.
6단계: 파일이 엑셀 파일이기 때문에 MS Excel에서 열리며, 상담원은 사용자에게 매크로 사용을 허용하라고 유도합니다. 매크로가 실행되는 순간 악성코드가 시스템에 침투합니다. 이후 상담원은 "구독이 정상적으로 해지되었으며 신용카드 결제는 되지 않을 것"이라고 안심시킵니다.
악성코드 공격을 예방하는 방법
앞서 언급했듯이 사이버 범죄자들은 끊임없이 새로운 수법을 사용하기 때문에 이를 식별하기란 쉽지 않습니다. 항상 동일한 절차를 밟는 것도 아니어서, 특정 상황에서 통하는 예방책이 다른 상황에서는 무용지물이 될 수 있습니다. 따라서 평소 신용카드 사용 내역을 꼼꼼히 확인하고, HTTPS 프로토콜을 사용하지 않는 웹사이트는 방문하지 않는 것이 좋습니다. 무엇보다 끊임없는 경계심과 본인이 가입한 금융 서비스에 대한 정확한 파악이 중요합니다.
실제로 비슷한 사기를 진행하던 중, 사용자가 통화 도중 "애초에 신용카드가 없는데 어떻게 결제가 된다는 말인가?"라고 깨닫고 전화를 끊은 사례도 있습니다.
실시간 백신 프로그램이 든든한 방패가 됩니다
실시간 백신은 PC가 켜져 있는 동안 24시간 내내 시스템을 검사하여, 바이러스 정의 목록에 아직 반영되지 않은 잠재적 위협까지 식별하는 소프트웨어입니다. 백신 업체들은 이 목록을 수시로 업데이트하며 최신 바이러스와 악성코드 정보를 반영합니다. 하지만 목록에 없는 신종 악성코드까지 잡아내려면 익스플로잇(exploit) 방어 기능을 갖춘 백신이 필요합니다. 실시간 검사와 익스플로잇 방어를 동시에 제공하는 백신 중 하나가 Systweak Antivirus입니다.
- Systweak Antivirus는 24시간 365일 항상 켜져 있는 실시간 보호 기능을 제공합니다.
- 사용자 필요에 맞는 다양한 검사 모드를 지원합니다.
- StopAll Ads 확장 프로그램을 통해 안전한 웹 브라우징을 도와줍니다.
- 부팅 속도를 늦추는 시작 프로그램 삭제를 지원합니다.
- 전반적인 시스템 성능을 개선하는 올인원 솔루션입니다.
맺음말: 가짜 이메일과 무료 체험판으로 악성코드를 퍼뜨리는 콜센터 – 마이크로소프트 경고
악성코드는 오랫동안 사용자를 괴롭혀 온 골칫거리이며, 이를 완벽히 차단하는 단 하나의 해결책은 존재하지 않습니다. 백신 업체가 새로운 악성코드를 식별하면, 공격자들은 또 다른 신종 악성코드를 만들어 사람들을 속이고, 그 치료법이 나오기를 기다리는 악순환이 반복됩니다. 우리가 할 수 있는 최선의 방법은 실시간 백신 프로그램을 설치하고, 컴퓨터에서 하는 모든 활동에 경계심을 늦추지 않는 것입니다.