메일 본문을 이미지로 처리한 허위 DHL과 UPS 운송 메일

2010년 9월 말부터 다시 지속적으로 변형이 발견되고 있는 허위로 제작된 UPS 운송 메일에 첨부된 악성코드가 또 다른 국제적인 운송 업체인 DHL로 위장하여 유포되고 있는 것을 발견하였다. 이번에 발견된 허위 UPS 운송 메일과 DHL 메일들은 모두 메일 본문을 이미지로 처리한 특징이 있다.

이렇게 전자메일로 유포되는 악성코드들 중에서 메일 본문을 이미지로 처리한 사례는 이번이 처음은 아니며 2010년 6월 허위 UPS 운송 메일, 2010년 8월 허위 페덱스 운송 메일과 2010년 10월에 허위 USPS 운송 메일들이 모두 메일 본문이 이미지로 처리 되어 있었던 사례들이다.

이번에 발견된 허위 UPS 운송 메일로 위장한 악성코드는 "UPS Delivery refuse NR[숫자들]", "

Error in the delivery address NR[숫자들]"과 "UPS Shipment Status NR[숫자들]" 등의 다양한 형태의 메일 제목을 사용하고 있다. 그리고 메일 본문에는 모두 공통적으로 아래와 같은 이미지로 처리 되어 있다.

첨부 파일로는 ZIP으로 압축된 UPS_document_ID[숫자].zip(50,602 바이트)이 존재하며 압축을 풀면 UPS_Document.exe(56,832 바이트)가 생성된다.

그리고 허위 DHL 메일로 위장한 악성코드는 "DHL Servicios. Tiene que recoger un paquete postal NR[숫자들]"의 메일 제목을 사용하고 있으며 메일 본문에는 아래와 같은 이미지로 처리되어 있다.

첨부 파일 역시 ZIP으로 압축된 DHL_Etiqueta.zip(26,350 바이트)가 존재하며 압축을 풀면 DHL_Etiqueta.exe(81,408 바이트)가 생성된다.

압축을 풀어 생성된 파일들 모두 기존에 알려진 Oficla 변형들이며 해외에 위치한 시스템들에서 허위 백신을 설치하는 악성코드를 다운로드 하는 증상이 있다.

이렇게 메일 본문을 이미지로 처리하여 악성코드가 첨부된 메일들은 모두 보안 제품들로부터 탐지를 우회하기 위한 목적으로 작성된 형태들임으로 주의가 필요하다.

이번에 발견된 UPS 운송 메일과 DHL 운송 메일로 위장한 악성코드는 V3 제품군에서 다음과 같이 진단한다.

Win-Trojan/Oficla.56832.B

Win-Trojan/Oficla.81408

다양한 방식으로 유포되는 악성코드들의 감염으로 인한 피해를 예방하기 위해서는 다음의 사항들을 숙지 할 필요가 있다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해서 유포되는 악성코드의 감염을 예방하기 위해 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.