[우먼컨슈머= 박우선 기자] 미등록 등 불법 방문판매 행위 단속이 강화되고 있다. 이들과 관련한 코로나19 확진자가 다수 나와 지자체가 감염증 예방을 위해 조치를 내렸다. 이 가운데 ‘방문판매법위반 방조’ 법원판결을 사칭한 악성코드가 발견돼 주의가 요구된다. 

안랩은 최근 ‘방문판매법위반을 방조했으니 벌금을 내라’는 내용의 법원 판결을 사칭한 악성 문서로 유포되는 악성코드를 발견했다고 1일 밝혔다. 엑셀(.xls) 형태의 악성문서를 사용자가 누르면 “내용을 보기 위해서는 위 노란색 막대의 ‘편집사용’ 버튼을 눌러라. 편집을 활성화한 이후에는 ‘콘텐츠 사용’ 버튼을 눌러라”는 안내가 나와 악성 매크로 사용을 유도한다. 안랩은 해당 문서가 이메일로 전파됐을 것으로 추정하고 있다. 

악성 매크로는 실행 후 C&C 서버(공격자가 악성코드를 원격 조종하기 위해 사용하는 서버)에 접속해 법원판결 내용을 담은 새로운 문서파일(.xls)과 정보유출 악성코드를 동시에 내려받는다. 파일이 내려받아지면, 새 문서파일이 자동으로 실행된다. 이 문서에는 피고인의 개인정보와 실존하는 변호사 정보와 함께 “‘방문판매등에관한법률위반방조’라는 죄명으로 벌금 1,500만원을 납부하라”는 법원판결 내용이 이미지 형태로 포함돼있다. 공격자는 사용자의 매크로 실행을 유도하기 위해 문서 상단에 ‘콘텐츠 사용’ 버튼을 배치했다.

사용자가 의심없이 ‘콘텐츠 사용’ 버튼을 누른다면, 정보유출 악성코드가 함께 실행된다. 악성코드는 사용자 PC내 ‘다운로드’ 폴더 파일 목록, ‘문서’ 폴더 파일 목록, IP 주소 등 PC정보를 탈취하고 추가 악성코드를 내려받아 실행한다. 현재 안랩 V3는 악성코드를 진단 및 차단하고 있다.

안랩 분석팀 박종윤 주임 연구원은 “공격자는 최근 이슈를 악용한 문서의 안내문 형태로 매크로 실행을 유도하기 때문에 사용자가 자신도 모르게 피해를 당할 수 있다”면서 “출처를 알 수 없는 메일 속 첨부파일 실행은 자제하고, 실행하더라도 ‘편집 사용’이나 ‘콘텐츠 사용’ 등의 매크로 실행을 유도할 경우 의심을 해봐야 한다”고 말했다.