고용노동부사칭 + 작가사칭?? (VenusLocker&GandCrab)

"안녕하세요 임수향작가입니다(저작권법관련 안내메일)" 이라는 이름의 이메일 파일이 헌팅되었다.

이는 지금까지의 피싱메일과 비슷하게 특정작가의 저작권 관련 사항의 내용이지만 사용된 메일의 경우 고용노동부 사칭에 쓰이는 이메일로 확인되었다.

(helpdesk@koreanodong3.com)

작가와 고용노동부를 동시에 사칭하려한건가 싶다... 

첨부된 파일인 "원본이미지및링크들정리.zip" 에는 3개의 링크파일과 .doc, .jpg 파일로 이루어져 총 6개의 첨부파일이 들어있으며 .doc, .jpg 파일은 숨김처리되어있으며 해당 파일들은 PE구조로 이루어져 있다.

기존의 단순 파일 명을 cmd에 연결시키는 것이 아닌 "hidden cmd /c @start 파일명" 이라는 인자값이 사용된다.

해당 링크파일은 GandCrab 5.0.4 버전으로 연결된다.

GandCrab

Filename : 내용및링크정리.doc, 사용중이미지.jpg, 원본이미지.jpg

MD5 : 09652f0cbe237640aa218a4f1c8c896a

LNK

Filename : 내용및링크정리.doc.lnk

MD5 : 26bfc9b3158bb2b7b667b75b7cb0742d

Filename : 사용중이미지.jpg.lnk

MD5 : 9c98215277c4085420a4b33b5929b869

Filename : 원본이미지.jpg.lnk

MD5 : 12bd840b2737038c18e8bb88c57af201

References

Copyright 2018. (YEJUN KIM) all rights reserved. Copyright 2018. (YEJUN KIM) All pictures cannot be copied without permission.