크리스마스 연휴는 해고 통보를 받기에 가장 어울리지 않는 시기입니다. 만약 직장 해고를 알리는 이메일을 받았다면 각별히 주의해야 합니다. 이는 새로운 드리덱스(Dridex) 피싱 캠페인일 가능성이 높기 때문입니다. 2011~2012년경 처음 등장한 드리덱스는 웹 인젝션(web injection)과 동적 구성 파일 수신 기능을 활용해 금전을 탈취하는 트로이 목마(Trojan) 유형의 악성코드입니다.
드리덱스는 초기에 크리덱스(Cridex)라는 이름으로 불렸으며, 제우스(Zeus) 트로이 목마를 기반으로 제작된 악성코드입니다. 이후 지속적으로 진화해 왔으며, 최근에는 log4j 취약점까지 악용하는 것으로 확인되었습니다.
이번 글에서는 드리덱스 악성코드가 무엇인지, 그리고 이로부터 안전하게 지키는 방법까지 자세히 살펴보겠습니다.
보안 연구원이자 트위터 사용자인 @ffforward가 처음 발견한 이 캠페인은 수많은 사용자를 속여 큰 혼란을 일으키고 있습니다.
해커들은 사용자를 속이기 위해 해고 통보 이메일을 발송합니다. 사용자가 첨부 파일을 열어 다운로드하는 순간 악성코드가 확산되기 시작하며, 해당 폴더는 ProgramData 폴더 아래에 숨겨진 채 악성코드를 퍼뜨립니다.
Dridex 악성코드란 무엇인가?
트로이 목마로 분류되는 드리덱스는 2021년 가장 두려운 악성코드로 꼽혔습니다. 피해자의 은행 정보를 노리는 드리덱스는 은행 계정 내 로그인 자격 증명과 금융 접근 정보 같은 민감한 데이터를 탈취합니다. 지난 10년간 이 트로이 목마는 더 많은 윈도우 사용자를 대상으로 삼도록 끊임없이 업데이트되어 왔습니다. 악성코드를 설치하기 위해 해커들은 스팸 이메일을 발송하고, 엑셀이나 워드 파일에 숨겨진 드리덱스가 포함된 첨부 파일을 열도록 사용자를 유도합니다. 드리덱스는 전 세계 조직의 3~4%에 영향을 미친 것으로 알려져 있습니다.
Dridex의 작동 방식
사이버 범죄자들은 공식 기관을 사칭한 이메일을 발송해 악성코드를 확산시킵니다. 이러한 피싱 이메일에는 워드와 엑셀 파일이 첨부되어 있으며, 파일을 열면 내장된 매크로가 실행되면서 드리덱스 다운로드가 시작됩니다. 이후 악성코드는 은행 정보 탈취를 개시하고, 사기성 금융 거래가 발생하게 됩니다.
정보를 탈취하기 위해 드리덱스는 키로거(keylogger)를 시스템에 주입합니다. 키로거는 모든 키보드 입력을 모니터링하고 기록하여 공격자가 은행 자격 증명, 로그인 아이디, 비밀번호 등을 훔칠 수 있게 합니다. 또한 드리덱스는 추가 악성코드 다운로드, 원격 명령 실행, 특정 프로그램에 악성 코드 주입을 가능하게 하는 인젝션 공격도 지원합니다. 수집된 모든 정보는 하나의 패키지로 암호화된 후, 버전에 따라 XML 또는 바이너리 형식으로 P2P 네트워크를 통해 전송됩니다.
Dridex가 위험한 이유, 그리고 탐지가 가능할까?
트로이 목마이기 때문에 드리덱스는 백신 프로그램의 탐지를 비교적 쉽게 회피할 수 있습니다. 하지만 Systweak Antivirus처럼 데이터베이스 정의를 꾸준히 업데이트하는 백신 프로그램을 사용한다면, 드리덱스와 같이 끊임없이 진화하는 위협도 충분히 탐지할 수 있습니다.
반면, 사용 중인 보안 도구가 서명(signature) 기반 위협 탐지 방식만 사용한다면 드리덱스 탐지는 사실상 어렵습니다.
Systweak Antivirus에 대해 더 자세히 알고 싶다면 리뷰를 참고하세요.
Dridex로부터 안전하게 보호하는 방법
다행히 드리덱스를 탐지하는 것보다 예방하는 것이 훨씬 쉽습니다. 이를 위해서는 다음 사항들을 기억해야 합니다.
- 발신인을 알 수 없는 첨부 파일이 있는 이메일을 열 때는 항상 주의합니다.
- 익명의 주소에서 온 의심스러운 이메일이나 파일은 열지 않습니다.
- 파일은 신뢰할 수 있는 출처에서만 다운로드합니다.
- 애플리케이션, 운영체제, 브라우저를 항상 최신 상태로 유지합니다.
- 서명 기반 위협 탐지에 의존하지 않는 악성코드 탐지 소프트웨어를 사용합니다.
- 직원들이 피싱 및 스팸 이메일을 스스로 식별할 수 있도록 교육합니다.
Dridex 악성코드 제거 방법
드리덱스를 수동으로 제거할 수도 있지만, 이는 권장되지 않습니다. 악성코드 위협으로부터 안전하게 지키려면 드리덱스와 같은 최신 위협을 탐지·제거할 수 있는 백신 프로그램을 사용하는 것이 좋습니다. Systweak Antivirus와 같은 소프트웨어로 드리덱스를 탐지하고 제거할 수 있습니다. 보안 도구로 스캔을 실행해 위협이 발견되면 해당 프로그램은 격리(quarantine) 옵션을 제공합니다. 이후 변경 사항을 적용하기 위해 시스템 재시작을 요청받게 됩니다. 드리덱스나 기타 악성코드가 발견되었다면, 보안을 위해 은행 계정 등 관련 자격 증명을 반드시 변경하는 것이 좋습니다.
마무리
은행 악성코드인 드리덱스는 악성 이메일을 통해 빠르게 확산되고 있습니다. 따라서 이러한 공격으로부터 안전하게 지키려면 해커들의 작동 방식을 이해하는 것이 필수적입니다. 이번 글에서는 해킹 그룹 이블 코프(Evil Corp)가 어떻게 악성코드를 이용해 금융 자격 증명을 탈취하는지, 그리고 이로부터 어떻게 보호할 수 있는지 설명했습니다.
그러니 크리스마스 전에 '해고'를 통보하는 이메일을 받았다면, 이메일을 열기 전에 반드시 보안 담당자에게 먼저 문의하세요. 이런 공격으로부터 안전하게 지내는 가장 좋은 방법은 발신인을 알 수 없는 이메일을 열지 않고, 첨부 파일을 다운로드하거나 실행하지 않는 것입니다.
공유해 드린 정보가 도움이 되었기를 바랍니다. 생각이나 의견이 있다면 아래 댓글 섹션에서 나눠주세요.