안녕하세요.

루센아이티 기술지원팀 입니다.

최근 급속히 메일을 통하여 정상적인 메일처럼 보여지는 악성 메일로 많은 기업들의 피해사례가 속출하고 있어 현 저희 스팸스나이퍼를 쓰시는 고객을 포함, 많은 고객사들의 피해를 방지하기 위해 안내사항을 공지 드리오니 참고하시기 바랍니다.

해당 메일은 국가기술 사이버안전센타에서 공지가 된바 있으며 아래와 같은 메일들이 문제가 되고 있습니다.

가. 메일열람금지 제목 및 첨부파일명 - 제목(첨부파일명) : 계획(발전계획.hwp)
                                                 업무에적용하세요(사업계획서.hwp)
                                                 한울 설계(한울 1,2호기 설계 변경 사항.hwp)
                                                 형님 고생많으십니다!(국가위기.hwp
                                                 정책의견안(안보의견.hwp)
                                                 RRS 프로그램(제어program(최신-W2).hwp)
                                                 보고서 번역 검토하여 수정하였습니다(보고서 취합본.hwp)

내용은 아래 샘플내용의 형태로 수신되고 있으며 스팸이나 바이러스로 의심하기 힘든 메일들 입니다.

(첨부파일을 열어서 문제가 될 소지가 있기에 메일 원본 첨부가 아닌 캡쳐로 대처하오니 분석의 용도로 필요하시면 요청 바랍니다.)

지금까지는 주로 국가기관을 대상으로 유포가 되고 있으며

내부적으로 스팸스나이퍼와 제휴중인 APT차단 시스템(파이어아이)을 통하여 분석한 결과

1.    한글 파일은 사용자에 의해 실행시 악성코드 감염 및 시스템 파괴 동작 수행

2.    감염 과정에서 시스템 디스크에 직접 접근 시도

3.    디스크의 MBR 영역 변조

4.     강제로 시스템 재부팅 후 PC 부팅이 되지 않음.

5.     해당 악성 파일에 대하여 행위 분석을 바탕으로 탐지

è Unkwon악성코드로 1회성으로 사용하거나 또는 변조를 통한 다수의 악성코드형태로 감염시키므로

AV/AS의 Signature기반의 Known 공격탐지 기법으로는 탐지하기 힘들고,

사용자의 OS/Application버전별 가상머신의 행위기반으로 탐지하여 정확히 APT성 악성코드를 분석/차단할 수 있어야 하며

AV기반의 장비들에서는 분석가 들이 분석한 후에 악성여부를 확인하고 대응해야 하므로 차단이 불가능

행위기반 성격을 가진 악성코드들은 알려진 패턴만 탐지하는 백신엔진에서도 해당 패턴의 업데이트 되기까지는 많은 시간이 소요되며, 이러한 첨부파일을 실행하신 클라이언트는 이 파일 때문에 문제가 된걸 모른 상태에서 PC가 정상적으로 작동하지 않게 됩니다.

당사에서는 스팸스나이퍼 의 바이러스 패턴 등록 업데이트 등을 통하여 현재까지는 차단되고 있으나 향후 비슷한 형태의 변형된 메일이 수신된다면, 이 또한 피해가 만만치 않으리라 생각됩니다.

가능하시다면 내부 공지를 통해서 naver,daum, nate 등의 포털메일의 발신자가 보낸 생소한 내용의 첨부파일은 열어보지 않기를 권장드리며,

필요 하시다면  저희가 제휴중인 APT(행위기반 악성코드차단) 테스트를 통하여 원천적인 차단을 계획하심도 좋으실 것 같습니다.

내용 참고하시고 문의사항이나 더 자세한 정보가 필요하시면 연락부탁 드립니다.

감사합니다.