윈도 내장 'finger' 악용한 멀웨어 유포 정황
헌트리스는 구글 검색 광고와 가짜 아마존 로그인 페이지를 거쳐 루마 등 정보탈취 멀웨어를 설치하는 ClickFix 캠페인을 분석했다고 밝혔다.
보안 연구진이 윈도에 기본 내장된 네트워크 유틸리티 'finger'를 악용해 정보탈취 멀웨어를 유포하는 ClickFix 캠페인을 확인했다고 밝혔다. 데일리시큐가 이 같은 분석 내용을 전했다.
공격은 구글 검색에서 시작된다. 이용자가 'Amazon Business'를 검색한 뒤 악성 광고를 클릭하면 구글 사이트(Google Sites)로 제작된 가짜 아마존 로그인 페이지로 연결되고, 이메일이나 전화번호를 입력하면 가짜 사람 인증 화면이 나타나 명령어를 직접 실행하도록 유도하는 방식이다.
이렇게 실행된 finger.exe는 공격자가 통제하는 서버에서 데이터를 받아온다. 감염 과정에는 IronPython과 여러 단계의 난독화된 악성코드 실행 도구가 동원됐으며, 최종 페이로드에는 루마(Lumma) 정보탈취 악성코드로 의심되는 파일과 넷서포트(NetSupport) 원격제어 소프트웨어가 포함됐다.
구글은 문제가 된 악성 광고를 삭제했지만, 헌트리스(Huntress)는 분석 시점에 공격 인프라가 여전히 활동 중이었다고 전했다. 연구진은 확인된 사례만으로는 전체 감염 규모나 국내 피해 여부를 판단하기 어렵다고 밝혔다.
한눈에 보기
finger.exe란 무엇인가?
윈도에 기본 내장된 네트워크 유틸리티로, 이번 캠페인에서는 공격자 서버에서 데이터를 받아오는 데 악용됐다.
최종적으로 설치되는 악성코드는 무엇인가?
루마(Lumma) 정보탈취 악성코드로 의심되는 파일과 넷서포트(NetSupport) 원격제어 소프트웨어가 최종 페이로드에 포함됐다.
구글은 어떻게 대응했나?
구글은 문제가 된 악성 광고를 삭제했지만, 분석 시점에 공격 인프라는 여전히 활동 중이었다고 연구진은 전했다.