악성 SharePoint 알림 위장 공격: Xloader 배포 주의

Beware Of Malicious SharePoint Notifications That Delivers Xloader Malware

Beware Of Malicious SharePoint Notifications That Delivers Xloader Malware

 

• 공격 개요
  • XLoader 악성코드를 유포하기 위해 SharePoint 알림을 위장한 피싱 메일 활용
  • 수신된 메일 내 Open files 링크가 실제 SharePoint 공유문서처럼 보이도록 위조
  • 스푸핑된 Microsoft 로고, 잘못된 SPF 인증 등으로 보안 엔진이 악성으로 탐지
• 공격 흐름
  • 사용자가 메일의 링크 클릭 시 ZIP 파일 다운로드
  • ZIP 내 AutoIT 스크립트 실행 후 추가 아카이브 다운로드
  • 다운로드된 아카이브 내 쉘코드가 reflective DLL injection 방식을 통해 합법적인 Windows 프로세스(예: svchost.exe)에 주입
• 기술적 특징
  • AutoIT 기반 스크립트 난독화
    • 단일 파라미터에 난독화된 문자열 저장
  • TrickGate 또는 유사한 툴킷 활용 정황
    • Xloader, AutoIT 로더 등과 유사한 전술 재사용
  • 쉘코드 주입 후 공격자 C2 서버와 통신 가능
    • 정보 탈취, 추가 페이로드 다운로드 등 2차 공격 수행
• 보안 권고
  • 이메일 보안 강화
    • SPF, DKIM, DMARC 설정 검증
    • 의심 링크 클릭 전 URL 검사 및 알려진 피싱 사이트 차단
  • 다단계 인증(2FA) 적용으로 계정 탈취 위험 축소
  • 최신 보안 솔루션 사용
    • AV/EDR로 난독화된 AutoIT 스크립트 및 쉘코드 탐지
  • 사용자 교육
    • SharePoint 알림 등으로 가장된 첨부파일이나 링크 주의
    • 무작정 링크 클릭 지양, 메일 송신자 재확인