안랩 “RE:나 FW: 붙은 메일 조심해야… 파일 열면 악성 코드가”

사용자 정상 메일 갈취 후 답장이나 전달 형식으로 악성 코드 보내
안랩 “출처 불분명한 메일 열람해서는 안 돼”

이메일 제목 앞에 답장(회신)을 뜻하는 ‘RE:’나 전달을 뜻하는 ‘FW:’가 붙어있는 메일을 함부러 열어서는 안 된다고 보안업체 안랩이 경고했다.

안랩은 지난 16일 악성 코드인 칵봇(Qakbot)이 ‘이메일 하이재킹’ 수법을 통해 국내 사용자에 유포되고 있다고 밝혔다.

해커들은 이용자의 수신함에 있는 정상 메일을 가로챈 뒤 악성 PDF 파일을 첨부한 후 원본 이메일의 수신자와 참조자를 대상으로 이메일을 전달하는 방식을 쓴다.

‘칵봇’은 은행 자격 증명, 윈도우 도메인 자격 증명을 훔치고, 랜섬웨어를 설치하는 공격자들에게 원격 접속을 제공하는 윈도우 악성 코드다.

전달된 PDF 파일에는 마이크로소프트 애저 로고와 함께 <오픈> 버튼의 클릭을 유도하는 문구가 적혀있으며 클릭 시 악성 URL(인터넷 주소)로 연결된다.

안랩 측은 “원본 이메일이 오간 시점은 2018∼2022년으로 매우 다양하다”면서 “다수 악성 메일이 이번 사례와 유사한 형태로 유포되고 있어 출처가 불분명한 메일은 가급적 열람해서는 안 된다”고 당부했다.

현화영 기자 hhy@segye.com

세계일보