이스트시큐리티 "입사지원 사칭 '갠드크랩 랜섬웨어' 국내 급속 확산 중"

입사지원을 가장한 랜섬웨어 최신 버전이 등장해 인사 담당자와 보안 관리자의 주의가 요구된다.

16일 정보보안 업체 이스트시큐리티에 따르면 15일 오후부터 자사의 악성코드 위협 대응 솔루션 쓰렛인사이드(Threat Inside)를 통해 '갠드크랩(GandCrab) 랜섬웨어 5.0.4' 버전이 국내 사용자를 대상으로 급속히 확산되고 있는 정황이 포착됐다.

랜섬웨어는 해커가 데이터(파일)에 일방적으로 암호를 건 뒤 이를 풀어주는 대가를 요구하는 사이버 범죄로, 파일을 인질(Ramsom)처럼 잡고 있다는 의미에서 붙은 이름이다.

갠드크랩 랜섬웨어는 최근 국내에서 가장 활발하게 유포되고 있는 랜섬웨어 종류 중 하나로, 이번에 발견된 5.0.4 버전은 기업에서 가장 많이 사용하는 문서 작성 프로그램인 MS워드의 자동 반복(매크로) 기능을 악용해 공격을 시도한다.

특히 이메일에 첨부된 악성 워드 문서 파일은 특정 개인 정보가 담긴 입사지원서를 사칭하고 있어, 업무상 지원서를 접수하고 열어본 경험이 있는 직장인들이 무심코 파일을 실행해 랜섬웨어에 감염될 가능성이 클 것으로 예상된다.

이스트시큐리티 시큐리티대응센터(ESRC)는 이번 갠드크랩 5.0.4 버전은 15일 오전에 한국어 기반 환경에서 제작됐고, 제작된 악성 문서의 VBA 매크로 코드는 분석을 방해하기 위해 대부분 해독이 어렵도록 난독화된 상태라고 밝혔다.

공격자는 파일을 실행한 이들이 '콘텐츠 사용', '편집 사용' 버튼을 클릭하도록 유도하고 있으며, 이후 특정 사이트에 특정 브라우저로 접속하도록 한 뒤 암호화폐인 대시(DASH)와 비트코인(Bitcoin) 지불을 요구하는 화면으로 연결한다.

문종현 ESRC센터장(이사)은 "이스트시큐리티는 기존 비너스락커 랜섬웨어 유포 조직이 이번 공격에도 가담한 것으로 판단하고 있으며, 상세한 위협 인텔리전 분석을 수행하고 있다"며 "한국 맞춤형 랜섬웨어 공격이 끊임없이 발생하고 있기 때문에, 주요 자료를 많이 다루는 기업과 기관은 반드시 자료를 분리 보관(백업)하고 임직원이 보안 수칙을 준수할 수 있도록 최선의 노력을 기울여야 한다"고 말했다.