세무 당국 사칭 피싱 메일…원격제어 악성코드 주의보

세무 당국의 위반 통지를 사칭한 피싱 메일이 유포되고 있어 이용자들의 주의가 요구된다. 이스트시큐리티 대응센터(ESRC)의 이메일 모니터링 시스템에 따르면, 해당 메일은 '세무 위반 및 제재 통지'를 제목으로 수신자에게 72시간 이내 제출을 압박하며 악성 파일 다운로드를 유도하는 방식으로 확인됐다.

공격자는 무료 웹메일 서비스를 이용해 국내 기업 담당자에게 메일을 발송했다. 메일 본문에는 세무 검사 결과 특정 조항을 위반했다는 내용과 함께 링크가 포함돼 있으며, 링크를 클릭하면 파일 공유 서비스에 업로드된 압축 파일이 다운로드된다. 내부에는 '세금 위반 코드 설치 파일'이 존재하며, 이 파일은 실행 시 중국산 원격제어 소프트웨어를 설치하는 드로퍼(dropper) 역할을 한다. 해당 파일은 중국 소재 개인 명의로 발급된 인증서로 서명돼 백신 탐지와 윈도우 스마트스크린 경고를 우회하도록 설계됐다.

악성 파일이 설치되면 원격제어 소프트웨어를 내려받은 뒤 원본 파일을 자가 삭제해 사용자가 감염 사실을 인지하기 어렵게 만든다. 설치 경로를 노출하지 않고 서비스 표시명을 정상 서비스로 위장하는 방식도 사용됐다. 이스트시큐리티는 이번 공격이 세무 위반이라는 소재로 수신자의 판단을 흐리고 정상 파일 공유 서비스를 경유해 악성 행위를 은폐한 사례라고 분석했다. 전문가들은 정상 서비스 주소라 하더라도 세무 압박성 메일에 포함된 실행 파일을 다운로드하거나 실행하지 말 것을 당부했다.