​
[그림] 주간 국내 악성코드 수집 통계 결과(2020년 10월 26일~11월 01일)

ASEC이 자사의 자동 분석 시스템인 라핏(RAPIT)을 통해 한 주간의 악성코드를 집계한 결과에 따르면, 뱅킹 악성코드가 1위, 그다음으로는 코인 마이너(Coin Miner) 악성코드가 18.2%로 2위를 기록했다. RAT(원격 액세스 악성코드)가 14.1%로 3위, 그리고 인포스틸러 악성코드가 9.9%와 6.4%로 4, 5위를 차지했다.

최근 국내에서 기승을 부린 악성코드 Top 5에 대해 자세히 살펴보자.


Top 1 –이모텟(Emotet)

10월 5주차에는 이모텟 악성코드가 25.9%로 압도적 1위를 차지했다. 이모텟은 뱅킹 악성코드로 주로 스팸 메일을 통해 유포되고 있다. 이모텟은 핼로윈, 크리스마스 등의 유포 당시 이슈를 악용하는 것이 가장 큰 특징이다. 최근에는 핼로윈 파티 초대장으로 위장하여 전세계적으로 대량 유포되었다.

기본적으로 설치되는 형태는 추가적인 기능이 없는 다운로더라고 할 수 있으며, 시스템에 설치된 이후 추가 모듈 또는 악성코드를 다운로드할 수 있다. 추가 모듈로는 웹 브라우저, 메일 계정 정보 등 사용자 정보 탈취 모듈들과 공유 폴더 등을 이용한 전파 모듈이 있다. 다운로드되는 악성코드로는 칵봇(Qakbot), Trickbot(트릭봇) 등 또 다른 뱅킹 악성코드들을 다운로드할 수 있다.


Top 2 - 글룹테바(Glupteba)

18.2%를 차지한 글룹테바는 프로그래밍 언어 고(Go)로 개발된 악성코드로서 다수의 추가 모듈을 다운로드하며 여러 기능을 갖지만 실질적으로는 모네로(XMR) 코인 마이너를 설치하는 암호화폐 채굴 악성코드이다. 현재 확인된 글룹테바 대부분은 PUP(Potentially Unwanted Program)를 통해 다운로드되는 방식으로 유포되고 있다. PUP를 통해 유포 중임에도 불구하고 MalPe 패커 외형을 갖는다는 것이 또 하나의 특징이다.


Top 3 – njRAT

njRAT은 원격 액세스 악성코드(RAT) 악성코드로서 14.1%를 차지하며 3위에 올랐다. njRAT은 키로깅을 포함한 정보 유출 외에도 공격자의 명령을 수행할 수 있으며, 대부분 웹 하드나 토렌트를 통해 정상 파일로 위장하여 유포 중이다. 유포 시 주로 게임 핵, 기프트카드 생성기 등의 불법 프로그램으로 위장하고 있으며, 그 외에도 불법 공유 게임들에 포함되어 유포된다.


Top 4 – 로키봇(Lokibot)

로키봇은 10.0% 로 4위를 차지했다. 로키봇은 인포스틸러 악성코드로서 웹 브라우저, 메일 클라이언트, FTP 클라이언트 등의 프로그램들에 대한 정보를 유출한다. 에이전트테슬라(AgentTesla)와 같이 주로 스팸 메일 형태로 유포됨에 따라 유사한 유포 파일명을 지니고 있으며, C&C 서버는 대부분 fre.php로 끝나는 특징을 가지고 있다.


Top 5(공동) – 폼북(Formbook)

폼북은 인포스틸러 악성코드로서 6.4%를 차지하고 있다. 다른 인포스틸러 악성코드들과 동일하게 대부분 스팸 메일을 통해 유포되며 유포 파일명도 유사하다.

- 유*아이테크-발주서 송부의건.exe

- Scan_3047388284927483934.exe

- Products Specifications and Contract.exe

- Transfer form.exe SOA.exe

- INTABINA.exe

- Quotation.exe

- Swift TT copy.exe
　

[출처 : 안랩(((www.ahnlab.com)]