Posted By ASEC , 2022년 11월 24일

ASEC 주간 피싱 이메일 위협 트렌드 (20221113 ~ 20221119)

ASEC 분석팀에서는 ASEC 자동 분석 시스템 RAPIT와 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2022년 11월 13일부터 11월 19일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 또한 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가장 많은 위협 유형은 정보 탈취 악성코드(Infostealer, 29%)였다. 정보 탈취 악성코드는 AgentTesla, FormBook 등이 포함되며 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출한다.

그다음으로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 28%) 악성코드와 가짜 로그인 페이지(FakePage, 26%)였다. 가짜 로그인 페이지는 공격자가 정상 로그인 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 웹 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도한다. 입력된 정보는 공격자 C2 서버로 전송된다.^{아래 <가짜 로그인 페이지 C2> 참고}

이 외에 트로이목마(Trojan, 8%), 백도어(Backdoor, 5%), 웜(Worm, 2%), 취약점(Exploit, 2%)유형이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다. 이를 통해, 피싱 이메일(ID: T1566^[1])을 이용한 공격의 초기 접근(Initial Access, ID: TA0001^[2])이 전체 악성코드 유포에 영향을 줄 수 있다고 볼 수 있다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 로그인 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트이기 때문에 HTML, SHTML, HTM 파일 확장자로 유포되었다. 정보유출형 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R00, GZ, RAR, XZ등의 압축파일, IMG 디스크 이미지 파일, XLS 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다. 웹 페이지 스크립트 파일이어야 하는 가짜 로그인 페이지를 제외한 악성코드는 위협 유형에 상관 없이 다양한 파일 확장자로 유포되었다.

유포 사례

2022년 11월 13일부터 11월 19일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
4_지불 사본	Payment Copy.html
DHL COPY_20221117_0713.eml	SHIPMENT.html
FW NEW ORDER AND VENDOR FORM WITH CONTRACT	VENDOR FORM-INVOICE.shtml
FW overdue payments.	overdue payments.html
Fw SWIFT TELEX TRANSFER NOTIFICATION for jennifer.villanueva	SWIFT TELEX TRANSFER FX FOR -jennifer.villanueva.html
INVOICE_20221115_2354.eml	INVOICE.html
Order for Mesh trays	ORDER.html
PO PT. KTI (RFQ) 13.11.2022	PO_List(18)_pdf.htm
RE TW -WIRE TRANFER-088408	Balance payment for invoice.shtml
Re Wire Confirmation	Wire transfer.htm
RE [External] Wire Confirmation	wire swift copy.htm
TR DEVIS + FACTURE 14 Nov 2022	DEVIS+FACTURE.shtml
You have received Business 3 documents in folder shared with you!!	Dropbox.Html

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목	첨부파일
nquiry bill and purchase order number. #1ZBL2D	Inquiry #140220.pdf.UUE
DHL CARGO ARRIVAL NOTICE	SHIPPING DOC.zip
Dhl Express Shipping_Original_Document	CH_O_120795439441.PDF.BZ2
Due Reminder_ OCC_DUNNING_ID00534996 MAERSK	DUNNING OCC_10465702945_3761230191.Gz
Entrega a pedido de DHL	documentos DHL.img
Fw URGENT Invoice_72_142	DOC Reference invoice_72_1421.rar
Fwd Invoice	Invoice_0014112022.jpeg.img
Fwd: Re: REMITTANCE	REMITTANCE SLIP 042xxxTRF.gz
INVOICE 221009 DOCUMENT REVISED SHCIPS	INVOICE 221009.zip
invoice 80022# – international offshore services jsc	INV-80022.xls
NEW INQUIRY FOR YOUR AVAILABLE PRODUCTS	new inquiry.img
Payment Advice – Ref: [HSBC1057029141] /RFQ Priority Payment / Customer Ref: [PI10771QT90]	HSBC Payment Advice_pdf.xz
Pepsico LLC RFQ P1002518	Pepsico LLC RFQ Information.IMG
PO759033	PO759033.zip
Re Order	Sales Order Quotation_20221115_145947.img
RE pedido de muestras de productos	pedido de muestras de productos pdf.exe.xz
Re Quotation	Quotation UBG361Q.img
Re: Inquiry	1069820220531MES_S Quote.img
Re: Wire Confirmation and Invoice questions	Wire Confirmation New Order and Invoice.PDF.GZ
RE:RFQ_Lenz Global Imports Inc	RERFQ_Lenz Global Imports InR-000c PDF.r00
Re[4]: smart photo	wildphot.pif
RFQ	rfqtxls.rar
RFQ_Lenz Global Imports Inc	RFQ+Lenz Global Imports IncPDF.r00
RFQ1000AQMM General Trading LLC.pdf	(RFQ1000AQMM General Trading LLC.pdf.r01
TT/COPY_18112022	18112022TTcopy.rar

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.

주의 키워드: ‘지불 사본‘

업체 직원을 위장하여 한글 이메일 제목으로 유포되었다. ‘지불 사본’ 내용으로 사용자를 속이려고 하였고, 가짜 로그인 페이지인 Payment Copy.html 파일을 첨부하였다. 첨부파일 실행 시 엑셀 문서를 온라인으로 보기 위해 메일 사서함에 로그인하라는 페이지가 실행된다.

주의 키워드: 생소한 첨부파일 확장자, ‘UUE’, ‘R00’, ‘XZ’, ‘BZ2’

‘UUE’, ‘R00’, ‘XZ’, ‘BZ2‘ 와 같이 다소 생소한 확장자 형태의 압축파일로 유포되었다. 아래 사례는 Inquiry #140220.pdf.UUE 파일명으로 UUE 확장자 파일을 첨부하였는데, UUE 파일은 실제론 RAR 압축 형태 파일이고, 악성 EXE 실행파일이 담겨 있다. 내부 실행파일은 정보 탈취 유형의 AgentTesla 악성코드이다.

가짜 로그인 페이지 (FakePage) C2 주소

공격자가 만들어둔 가짜 로그인 페이지에 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

hxxps://formspree.io/f/xwkzwzdj
hxxps://submit-form.com/7Qhdye4M
hxxps://vladiolitrade.ru/coc/zender.php
hxxp://hybridpro.com/mailb_fix.php
hxxps://multiservicon.com/wp-ra/adbn.php
hxxps://strofima.com/pdf.php
hxxps://hoellooooo.ga/Esp/sharepoint.php
hxxps://tech4herafrica.com/wp-includes/dri/Drbox001.php

피싱 이메일 공격 예방

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.