[안랩시큐레터 295호] 그날이 온다? 특정일 활동 악성코드

허위 세금 고지 메일로 위장한 Zbot 변형 발견   |   2009.09.11

9월 10일 새벽 2시경 해외에서 허위 세금 고지 메일로 위장하여 악성코드를 다운로드 하도록 유도하는 전자 메일이 유포되었다.

이 번에 유포된 허위 세금 고지 메일은 다음과 같은 전자 메일 형식을 가지고 있으나 기존 유포되었던 허위 운송 메일로 위장한 Bredolab 변형과는 다른 형태를 가지고 있다.

* 메일 제목
Notice of Underreported Income

* 메일 본문
Please review your tax statement on Internal Revenue Service(IRS)

website <허위 세금 청구 웹 사이트 링크>

review tax statement for taxpayer id: info-00000174073547US

Internal Revenue Service

위 전자 메일 형식에서와 같이 악성코드가 압축 파일 형태로 첨부되어 있지 않으며 허위로 제작된 세금 고지 웹 사이트로 연결되도록 링크만 제공하고 있다.

해당 전자 메일에서 제공하는 웹 사이트 링크를 클릭하게 될 경우 아래 이미지와 같은 미국에 존재하는 웹 사이트로 연결 되나 현재 해당 웹 사이트는 폐쇄 조치 되었다.

위 이미지와 같은 허위 세금 고지 웹 사이트는 링크로 제공되는 tax-statement-taxpayer_id.exe 파일을 다운로드 후 실행하여 세금 고지 상황을 확인하라고 권유하고 있다.

그러나 해당 웹 사이트에서 제공하는 tax-statement-taxpayer_id.exe 링크는 중국에 위치한 시스템에서 tax-statement.exe 파일을 다운로드 하게 되어 있으며 해당 파일은 기존에 발견되었던 Zbot 변형 중 하나이다.

알려진 바와 같이 Zbot 변형들은 제우스(Zeus)라는 웹 익스플로잇 툴 킷(Web Exploit Toolkit)을 통해 조정 되는 형태이며 최근 다양한 방식으로 악성코드가 유포되고 있음으로 많은 주의가 필요하다.

해당 악성코드는 V3 제품군에서 다음과 같이 진단한다.

Win-Trojan/Zbot.95232.F

그리고 이러한 전자 메일을 통한 악성코드의 감염을 예방하기 위해서는 다음의 사항들을 숙지하는 것이 중요하다

1. 안티스팸 솔루션 도입을 통해 스팸 및 악의적인 전자 메일의 유입을 최소화 하도록 한다.

2. 메일을 보낸 사람이 잘 알지 못 하는 사람일 경우 가급적 메일을 열지 말고 삭제하는 것이 좋다.

3. 사용중인 컴퓨터 시스템에 백신을 설치하고 실시간 감시를 켜두는 것이 중요하다.

4. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

5. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.

6. 악성코드의 감염을 예방하기 위해 사용하는 컴퓨터 시스템의 윈도우, 인터넷 익스플로러 및 오피스 제품 등에 존재하는 취약점을 제거하는 보안 패치를 모두 설치 하도록 한다.@

| ASEC Threat Research 블로그(http://blog.ahnlab.com/asec)

※ 보안정보의 저작권은 저자 및 ㈜안철수연구소에 있으므로, 무단 도용 및 배포를 금합니다.