News
카카오톡 사칭 설치 파일, 검색 결과를 통해 유포
무슨 일이 있었나
ASEC(안랩)은 카카오톡 설치 파일로 위장한 악성 설치 파일이 국내에 유포된 사례를 공개했다. 이 활동은 SilverFox라는 이름으로 추적되고 있다. 공격자는 SEO Poisoning, 즉 검색 결과를 악용해 가짜 사이트로 이용자를 유도하는 기법을 사용했다. 검색으로 내려받은 파일이 공식 설치 파일처럼 보일 수 있다는 점이 핵심이다.
설치 파일의 특징
해당 설치 파일은 겉모습과 패키징 방식이 계속 바뀌었다. NSIS, Advanced Installer, Inno Setup이 차례로 사용된 것으로 알려졌다. 내부에는 정상 설치 파일과 악성 파일이 함께 들어 있었다. 이용자가 파일을 실행하면 Shellcode(메모리에 로드되어 실행되는 코드)가 동작하고, 이어서 악성 페이로드가 실행되는 구조다. 정상 설치 파일이 함께 들어 있으면 설치가 평소처럼 진행되는 듯 보여 감염을 알아차리기 어려울 수 있다.
웹하드나 파일공유 사이트에서 받은 프로그램 설치 파일도 같은 방식으로 위장될 수 있으므로, 파일을 내려받은 경로를 확인하는 습관이 필요하다.
이용자가 확인할 것
- 설치 프로그램은 검색 결과 상단에 노출된 사이트가 아니라 해당 서비스의 공식 홈페이지나 공식 앱 스토어에서 받는지 확인한다.
- 주소창의 도메인이 공식 주소와 정확히 일치하는지 살핀다.
- 설치 파일의 디지털 서명과 게시자 정보를 확인하고, 이미 실행했다면 보안 프로그램으로 전체 검사를 진행한다.
- 출처가 불분명한 설치 파일은 실행하지 않는다.