[보안이슈] 포켓몬 게임으로 위장해 퍼지고 있는 넷서포트 RAT

넷서포트 매니저(NetSupport Manager)

- 원격 제어 도구. 사용자가 원격으로 시스템을 제어하기 위한 목적으로 사용

- 외부에서 특정 시스템을 원격으로 제어할 수 있으므로, 악용 가능

안랩 ASEC 분석팀에서는 NetSupport RAT이 포켓몬 카드 게임을 위장한 채로 피싱 페이지에서 유포되고 있는 것을 확인했다. NetSupport RAT은 오래 전부터 사용되고 있는 멀웨어로, 최근까지도 스팸 메일이나 정상 프로그램으로 위장하여 꾸준히 유포되고 있다.

 

포켓몬 게임을 설치하기 위해 'Play on PC' 버튼을 클릭하면, 포켓몬 카드 게임 대신 멀웨어가 다운된다. 해당 프로그램은 아이콘 및 버전정보까지도 위장하고 있어 게임 프로그램으로 오인하기 쉽다.

[멀웨어 정보]

- InnoSetup으로 개발된 인스톨러 멀웨어

- 실행 시 %APPDATA% 경로에 폴더 생성 후 NetSupport RAT 관련 파일을 숨김 속성으로 생성 및 실행

- 시작 프로그램 폴더에 바로가기 파일 생성함으로써 지속성 달성

- 최종적으로 실행되는 것은 client32.exe임. 설치된 NetSupport 관련 프로그램들 자체는 정상

- client32.ini 설정파일에 공격자의 C2서버 설정 

- 결국 NetSupport 실행 시 해당 설정 파일을 읽고 공격자의 NetSupport 서버에 접속하여 연결.

NetSupport 자체적으로 원격 화면 제어 기능 외에 스크린 캡처, 클립보드 공유, 웹 히스토리 정보 수집, 파일 관리, 명령 실행과 같은 시스템 제어 위한 기능들이 제공됨.

프로그램은 공식 홈페이지에서 구매하거나 다운로드 할 것. 무료에 눈 돌아가지 말자.

 

해당 기사 링크 (보안뉴스)