정상 메일로 위장한 UT.PDF 악성코드 `칵봇(Qakbot)` 주의

기존 이메일을 회신 또는 전달한 이메일인 것처럼 속여 악성 PDF파일을 첨부한 뱅킹형 악성코드 `칵봇(Qakbot)`이 최근 `이메일 하이재킹` 방식으로 유포되고 있는 싸이버 공격 정황이 포착됐습니다. 칵봇은 은행 자격증명 등 금융정보와 윈도 우즈 도메인 자격증명 등을 탈취하는 악성코드로 알려져 있습니다.

수법은 정상 메일을 가로채 악성 파일 첨부 후 사용자에게 회신한 형태로 수신대상으로는 기존 메일수신·참조인 메일주소를 활용했는데 해당 메일은 첨부파일 열람을 유도하는 내용으로 기재돼 있으며 메일 원문과는 관련이 없어 보이지만 수신자는 정상적인 회신으로 판단해 큰 의심없이 첨부파일(PDF 파일)을 열어볼 수 있으므로 주의해야 합니다.

이메일에 첨부된 PDF 파일명이 `UT.PDF, RA.PDF, NM.PDF`와 같이 자동화로 생성한 것으로 추정되는 랜덤 문자의 형태를 보이는 해당 PDF 파일을 실행하면 마이크로소프트 애저(Azure) 로고와 함께 `오픈` 버튼 클릭을 유도하는 메세지가 나타납니다. 수신자가 이 `오픈` 버튼을 클릭하면 악성 접속 경로(URL)로 연결되고, 해당 URL에 연결이 가능할 경우 암호화 압축된 집(ZIP) 파일이 다운로드 됩니다.

이런 의심 메일을 받았을 경우 원본 이메일이 오간 시점이 2018~2022년으로 매우 다양한 양상을 보이고 있으므로 최근 시점의 이메일이 아닌 것으로 보이면 바로 삭제하는 것이 최상의 방책!