마이크로소프트 보안 인텔리전스(Security Intelligence) 팀이 자바(Java) 기반 공격 패턴을 활용해 PDF 첨부파일을 통해 사용자의 계정 정보를 탈취할 수 있는 새로운 원격 접속 트로이 목마(Remote Access Trojan)를 발견했습니다. 이 악성코드는 'StrRAT'로 명명되었으며, 현재 이메일 캠페인 형태로 빠르게 확산되고 있어 심각한 위협으로 꼽힙니다.
StrRAT, 어떻게 감염시키나?
악성코드 공격 소식이 들려올 때면 늘 윈도우 10과 곤경에 처한 마이크로소프트가 뉴스의 주인공이 되곤 했습니다. 하지만 이번에는 상황이 반전됐습니다. 이번 악성코드를 가장 먼저 식별해 세상에 알린 주체가 바로 마이크로소프트였기 때문입니다. StrRAT는 이메일을 통해 퍼지며, 피해자가 PDF 첨부파일을 열어야 비로소 피해가 시작됩니다.
마이크로소프트에 따르면 해커들은 탈취한 이메일 계정을 이용해 StrRAT 악성코드를 PDF 첨부파일 형태로 발송합니다. 이후 눈길을 끄는 자극적인 제목의 이메일을 대량으로 전송하는데, 수신자는 이메일 본문에서 제목과 본문에 담긴 내용을 확인하려면 첨부된 PDF 파일을 다운로드해 열어보라는 안내를 받게 됩니다.
PDF 파일만 열어도 감염 시작
피해자가 PDF 파일을 클릭해 여는 순간 감염 과정이 개시됩니다. StrRAT 악성코드가 즉시 다운로드되어 설치되며, 이 설치 과정은 완전히 자동으로 진행되기 때문에 피해자의 별도 조작은 전혀 필요하지 않습니다.
설치가 완료되면 악성코드는 사용자의 비밀번호와 각종 계정 정보를 수집하기 시작하고, 사용자가 입력하는 모든 키 입력(키스트로크)까지 몰래 기록합니다. 더 나아가 이 악성코드는 공격자에게 해당 PC에 대한 원격 제어 권한까지 넘겨줄 수 있습니다.
랜섬웨어로 진화할 가능성
StrRAT의 더욱 무서운 특징 중 하나는 파일명과 파일 확장자를 변경하는 등 부분적으로 랜섬웨어와 유사하게 작동한다는 점입니다. 다만 현재까지 실제로 파일을 암호화한 사례는 확인되지 않았습니다. 그러나 마이크로소프트는 이 악성코드가 언제든 위험한 랜섬웨어로 진화할 잠재력이 있다고 경고하고 있습니다.
백신 프로그램으로 충분히 차단 가능
다행인 소식도 있습니다. StrRAT는 마이크로소프트 365 디펜더(Microsoft 365 Defender)로 손쉽게 탐지할 수 있으며, PC에 침입하는 시점에서 차단됩니다. 마이크로소프트 365 디펜더는 모든 마이크로소프트 365 구독자에게 무료로 제공됩니다. 또한 카스퍼스키(Kaspersky) 같은 서드파티 백신 프로그램 역시 이 위협을 탐지하고 제거할 수 있다는 보고도 나오고 있습니다.