이력서와 입사지원서로 위장한 악성코드가 등장했다. 온라인 채용이 보편화하면서 특정 기업 인사담당자를 노린 지능형지속위협(APT) 공격이다.

안랩(대표 권치중)은 한글 파일 이력서와 마이크로소프트 워드로 된 입사지원서에 악성코드를 숨긴 공격이 발견됐다고 7일 밝혔다.

많은 기업은 온라인 상시 채용을 시행한다. 기업 채용 홈페이지에 들어가 이력서와 입사지원서 파일을 올리거나 인사담당자에게 이메일을 보내는 형태다. 공격자는 인사 채용 방법을 악용해 특정 기업을 노린 공격을 시도했다. 인사담당자가 악성코드에 감염되면 회사 네트워크 전체가 위험에 빠진다. 공격자는 특정인을 노려 악성코드를 설치하고 전체로 악성코드를 감염시킨다. 인터넷 망을 분리해도 네트워크에 연결된 PC 한 대가 감염되면 기업 전체가 위험에 빠진다.

공격자는 한글 파일로 된 이력서 악성코드 이메일을 인사담당자에게 보냈다. 이력서 파일을 열면 실제 인적 사항이 나와 감염 여부를 알기 어렵다. 하지만, PC에 악성코드가 설치되고 특정 폴더에 사용자 입력정보를 저장한다. 이력서 악성코드는 사용자가 PC 키보드에 입력하는 모든 정보를 수집한 후 공격자 메일로 전송한다.

입사지원서는 마이크로소프트 워드 형태다. 입사지원서 역시 정상적인 문서 파일이 나타난다. 지원자 인적사항, 학력, 가족사항, 자기소개서 등이 포함됐다. 입사지원서 악성코드는 PC 키보드 입력 내용을 공격자가 만든 커맨드&컨트롤(C&C) 서버로 빼돌린다. 인터넷 뱅킹이나 포털 로그인 등에 쓰는 아이디와 비밀번호는 물론이고 공인인증서 비밀번호, 주민등록번호 등 개인정보를 모두 가져가 2차 피해가 우려된다. C&C 조정을 받는 좀비PC가 돼 대규모 공격에 악용될 수 있다.

안랩은 입사지원서는 겉으로 보기엔 워드 문서지만 ‘알려진 파일 형식의 파일 확장명 숨기기’ 옵션을 비활성화하면 ‘.exe’인 실행파일이라고 설명했다. 확장자가 보이지 않더라도 윈도 파일 탐색기에서 해당파일 정보를 확인하면 응용프로그램임을 알 수 있다. 안랩 V3는 관련 악성코드를 진단하고 치료한다.

김인순기자 insoon@etnews.com