전세계 2000만명 사용자를 보유한 글로벌 협업 소프트웨어 노션(Notion)을 사칭, 악성코드를 유포하는 사례가 발견돼 사용자들의 피해가 우려된다. 노션은 특히 한국내 사용자가 많다.
노션을 사칭해 유포되는 악성코드에 감염되면 피싱페이지로 연결돼 브라우저 정보는 물론 암호화폐 정보 및 파일 등을 빼내갈 수 있어 각별한 주의가 요구된다.
3일 안랩 시큐리티대응센터(ASEC)에 따르면 최근 노션 설치 파일로 위장한 악성코드가 유포 중인 것으로 확인됐다.
악성코드 유포자는 실제 노션 홈페이지와 유사한 화면을 구현해 놓고 악성코드가 포함된 노션 설치파일 다운로드를 유도하고 있다.
정상적인 노션 웹사이트인 것처럼 꾸며놓고 이용자들이 노션 설치를 위해 다운로드 버튼을 누르면 노션이 설치되는 동시에 'Notion-x86.msix'라는 악성코드를 배포하는 신종 피싱 수법이다.
설치 때 프로그램 경로에 두 가지 파일이 생성되는데 하나는 파워쉘 스크립트 파일을 실행하는 기능의 MS서명을 가진 정상파일이지만, 다른 하나가 악성코드(refresh.ps1)다.
이 악성코드는 C2서버에서 명령어를 다운로드해 실행하는 기능을 한다. 현재는 C2 서버가 정상적으로 응답하지 않지만, 안랩측은 최초 분석 당시 '루마(Lumma)C2’ 악성코드 유포를 확인했다고 설명했다.
루마C2는 정보탈취형 악성코드로 브라우저 정보와 암호화폐 정보 및 파일 등을 탈취해간다. 지난해에도 크랙, 시리얼 등으로 위장한 루마C2가 유포된 바 있다.
안랩 측은 "파일을 실행할 때 반드시 공식 홈페이지의 도메인임을 확인해야 한다"며 "정상적으로 서명한 경우에도 서명 게시자를 반드시 확인해야 한다"고 조언했다.
이어 "노션의 외에도 업무용 메신저 '슬랙'(Slack), 파일 압축 프로그램 '윈라'(WinRar), 무료 화면녹화 프로그램 '반디캠'(Bandicam) 등 다양한 프로그램을 위장한 악성 MSIX 파일을 확인했다"면서 "MSIX파일 실행 때 특히 주의해야 한다”고 강조했다.
한편 노션은 문서와 프로젝트 관리, 데이터베이스, 채팅 등 다양한 업무 도구를 활용할 수 있는 생산성 앱이다. 특히 코딩없이 페이지를 구성할 수 있어 스타트업 필수 앱으로 꼽힌다. 국내서도 높은 인기를 끌고 있다. 2020년 한국에 공식 진출한 바 있다.
댓글
0