악성 소프트웨어 (멀웨어)

악성 소프트웨어(멀웨어)란 무엇인가요?

악성 소프트웨어(멀웨어)는 컴퓨터 시스템과 데이터에 침투하거나 손상을 입히거나 무단으로 접근하도록 설계된 악의적 소프트웨어입니다. 이메일의 맥락에서 공격자는 흔히 멀웨어를 첨부파일, 감염된 웹사이트로 연결되는 링크, 삽입된 스크립트를 통해 전달되는 페이로드로 사용합니다. 이메일은 공격자가 많은 표적에 빠르게 도달하고 수신자가 유해한 콘텐츠를 실행하도록 사회공학적으로 유도할 수 있게 하기 때문에 여전히 멀웨어의 가장 흔한 배포 채널 중 하나입니다.

이메일로 전달되는 멀웨어는 비교적 단순한 성가신 것부터 대단히 파괴적인 도구에 이르기까지 다양합니다. 예로는 파일을 암호화하고 대가를 요구하는 랜섬웨어, 자격 증명을 훔치는 뱅킹 트로이목마, 사용자 활동을 기록하는 스파이웨어, 침해된 호스트에 대한 통제권을 공격자에게 넘기는 원격 접근 트로이목마가 있습니다. 공격자는 수신자가 첨부파일을 열거나 링크를 클릭할 가능성을 높이기 위해 멀웨어를 피싱 기법과 자주 결합합니다.

이메일 멀웨어의 작동 방식

이메일 기반 멀웨어 캠페인은 일반적으로 정찰, 전달, 실행의 순서를 따릅니다. 공격자는 스푸핑된 발신자, 유사 도메인, 침해된 계정을 사용해 정당해 보이는 메시지를 만든 다음, 악성 파일(매크로가 포함된 Office 문서, ZIP 아카이브, 실행 파일)을 첨부하거나 무기화된 웹사이트로 연결되는 링크를 포함합니다. 사용자가 첨부파일을 열거나 링크를 따라가서 삽입된 콘텐츠를 활성화하면 멀웨어가 설치되어 페이로드 활동을 시작합니다.

• 첨부파일 기반 페이로드: 열릴 때 코드를 실행하는 문서 또는 실행 파일
• 링크 기반 페이로드: 드라이브바이 다운로드나 자격 증명 피싱 양식을 호스팅하는 사이트로 연결되는 URL
• 매크로 활성화 파일: 악성 스크립트를 실행하기 위해 매크로 활성화를 요청하는 Office 문서
• 악성 아카이브: 게이트웨이 스캐너를 우회하려는 압축 파일

탐지 및 예방 전략

이메일로 유입되는 멀웨어를 방어하려면 기술적 통제, 정책, 사용자 인식의 조합이 필요합니다. 단일 통제만으로는 충분하지 않으므로 계층화된 방어가 업계 모범 사례입니다.

• 스푸핑된 발신자의 성공을 줄이기 위해 SPF, DKIM, DMARC를 게시하고 적용합니다.
• 악성 첨부파일과 링크를 탐지하기 위해 게이트웨이 백신, 샌드박싱, URL 스캐닝을 사용합니다.
• 의심스러운 파일 유형을 차단하거나 격리하고, 첨부파일에 대해 콘텐츠 무해화/재구성(CDR)을 요구합니다.
• 자격 증명 도용으로 인한 피해를 제한하기 위해 다단계 인증을 활성화합니다.
• 엔드포인트와 서버에 패치를 유지하고 엔드포인트 탐지 및 대응(EDR) 도구를 사용합니다.
• 위험한 행동을 줄이기 위해 정기적인 피싱 모의훈련과 사용자 교육을 실시합니다.
• 매크로 실행을 제한하고, 매크로 활성화를 요청하는 메시지를 차단하거나 격리합니다.

악성 도메인과 URL에 대한 신속한 사고 대응과 자동화된 차단 절차는 공격 표면을 줄이고 캠페인 지속 기간을 제한합니다. 반송, 불만, 비정상적인 발송 패턴의 급증 같은 원격 측정 데이터를 모니터링하면 활동 중인 멀웨어 캠페인에 대한 조기 경고를 얻을 수 있습니다.

멀웨어와 DMARCeye

DMARCeye는 메일함 제공업체 전반에 걸쳐 인증 실패, 발송 IP, 메시지 패턴을 상관 분석하여 조직이 멀웨어 관련 위협을 발견하도록 돕습니다. DMARC 및 관련 프로토콜은 멀웨어를 직접 탐지하지는 않지만, 공격자가 수신자를 속여 멀웨어를 실행하게 만드는 사칭 기법의 효과를 줄입니다.

DMARCeye는 DMARC 집계 및 포렌식 데이터를 분석하여 멀웨어 배포에 흔히 사용되는 의심스러운 발신자, 유사 도메인, 침해된 계정을 드러냅니다. 이 플랫폼은 또한 비정상적인 양, 특이한 첨부파일 유형, 반복적인 위반자를 강조하여 더 빠른 조사와 대응을 가능하게 합니다.

DMARCeye 무료 체험판에 가입하여 이메일 도메인을 보호하세요.

DMARC 및 관련 용어에 대해 자세히 알아보려면 DMARCeye 용어집을 참조하세요.