▲ 사진=안랩

안랩(대표 강석균)이 ‘2023년 상반기(1월~6월) 보안위협 동향’을 발표했다.

안랩은 △ASEC(안랩시큐리티대응센터)이 수집한 악성코드를 자사 악성코드 동적 분석 시스템 ‘RAPIT’을 이용해 도출한 ‘악성코드 종류별 통계’ △‘RAPIT’ 및 자체 구축 메일 허니팟을 활용한 ‘피싱 메일 키워드 통계’ △안랩 침해대응(CERT, Computer Emergency Response Team)팀이 탐지/차단한 공격 시도를 분석한 ‘업종별 공격탐지 통계’를 기반으로 상반기 보안위협 동향을 발표했다.

허니팟(honey pot)은 공격자를 유인하려는 의도로, 실제 서비스는 실행되지 않고 해당 서비스를 이용할 수 있는 것처럼 꾸며 놓는 침입탐지 기법을 의미한다.

◇ 악성코드 종류별 통계: 추가 공격 수행을 위한 ‘다운로더’와 ‘백도어’ 악성코드 성행

올해 상반기에는 공격자가 추가 공격 수행을 위해 주로 사용하는 악성코드인 ‘다운로더’와 '백도어’가 각각 1·2위를 기록한 가운데 정보 유출형 악성코드인 ‘인포스틸러’가 뒤를 이었다.

안랩의 악성코드 분석·대응조직인 안랩시큐리티대응센터(ASEC)가 악성코드를 유형별로 분석한 결과, 올해 상반기에는 추가 악성코드를 감염 PC에 내려받는 ‘다운로더(Downloader)’ 악성코드가 전체의 36.1%를 기록하며 가장 높은 비율을 차지했다. 공격자가 차후 공격을 수행할 목적으로 시스템에 설치하는 ‘백도어(Backdoor)’ 악성코드가 34.9%로 뒤를 이었다. 계정정보, 가상화폐 지갑 주소, 문서 파일 등 다양한 사용자 정보를 탈취하는 ‘인포스틸러(Infostealer)’ 악성코드는 26.6%를 기록하며 3위를 차지했다.

전체의 70%를 차지한 ‘다운로더’와 ‘백도어’는 공격자가 추가 공격을 진행하기 위해 주로 사용하는 악성코드다. 한 번 감염되면 정보 탈취나 랜섬웨어 등 대형 피해를 발생시킬 수 있기 때문에 보안관리자들은 주기적으로 조직 내 시스템과 자산 현황을 점검해야 한다.

◇ 피싱 메일 키워드 통계: 사용자 호기심 자극하는 ‘주문·배송’, ‘결제·구매’, ‘공지·알림’ 카테고리 순

많은 공격자들이 공격의 ‘시작점’으로 피싱 이메일을 사용한다. 안랩이 올해 상반기 동안 피싱 메일의 제목에 사용된 키워드를 카테고리별로 분류한 결과 ‘주문·배송’, ‘결제·구매’, ‘공지·알림’ 순으로 집계됐다.

‘Shipping(배송)’, ‘Order(주문)’, Delivery(배달)' 등 ‘주문·배송’과 관련한 키워드는 전체의 29.2%로 가장 높은 비중을 차지했다. 공격자들은 사용자를 더욱 교묘하게 속이기 위해 실제 물류 업체명을 해당 키워드에 붙여서 사용하기도 했다. 14.9%로 2위를 기록한 ‘결제·구매’ 카테고리의 키워드는 ‘Payment(지불)’, ‘Receipt(영수증)’, ‘invoice(청구서)’ 등이다.

이 카테고리의 키워드는 금전과 연관돼 사용자가 민감하게 반응할 수 있으며, 업무 관련성도 높은 단어이기 때문에 공격자가 자주 사용하는 것으로 추정된다. 긴급한 내용처럼 위장해 사용자의 불안한 심리를 자극하는 ‘Urgent(긴급)’, ‘Alert(경고)’, ‘Notice(공지)’ 등 ‘공지·알림’ 관련 키워드는 9.8%를 기록하며 뒤를 이었다.

이 밖에도 공격자들은 주요 키워드 앞머리에 ‘re(회신)’나 ‘fw(fwd)(전달)’ 등을 붙여 사용자들이 이미 기존에 주고받았던 메일인 것처럼 착각하도록 유도하기도 했다(re, fw 등 단어는 다른 키워드와 조합해 사용하는 경우가 대부분이기 때문에 통계에서는 제외).