Posted By ASEC , 2022년 12월 23일

ASEC 주간 피싱 이메일 위협 트렌드 (20221211 ~ 20221217)

ASEC 분석팀에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2022년 12월 11일부터 12월 17일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다. 로그인 계정 정보 유출 유형은 가짜 로그인 페이지로 용어를 정의하였다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가장 많은 위협 유형은 정보 탈취 악성코드(Infostealer, 54%)이다. 정보 탈취 악성코드는 AgentTesla, FormBook 등이 포함되며 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출한다.

그다음으로 많은 위협 유형은 Amadey, BeamWinHTTP, SmokeLoader 와 같은 로더를 포함한 다운로더(Downloader, 21%) 악성코드이다. 이는 공격자의 명령을 받아 추가 악성코드를 설치할 수 있으며, 정보 탈취 모듈이 사용될 경우 감염 시스템의 사용자 정보를 수집하기도 한다.

세 번째로 많은 위협 유형은 가짜 로그인 페이지(FakePage, 11%)이다. 가짜 로그인 페이지는 공격자가 정상 로그인 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 웹 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도한다. 입력된 정보는 공격자 C2 서버로 전송된다.^{아래 <가짜 로그인 페이지 C2> 참고}

이 외에 백도어(Backdoor, 7%), 웜(Worm, 4%), 취약점(Exploit, 3%) 유형이 확인되었다.

피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 로그인 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트이기 때문에 HTML, HTM 파일 확장자로 유포되었다. 정보유출형 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R00, RAR,7Z 등의 압축파일, IMG 디스크 이미지 파일, XLS 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다. 웹 페이지 스크립트 파일이어야 하는 가짜 로그인 페이지를 제외한 악성코드는 위협 유형에 상관 없이 다양한 파일 확장자로 유포되었다. 한 주간 피싱 이메일 첨부파일 유형에서는 특히 IMG 파일 유형이 높은 비율을 보였다.

유포 사례

2022년 12월 11일부터 12월 17일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
Fwd: el documento adjunto y haga la correccion – factura pendiente (20****)	Comprobante – 2022-12-13T******.520.html
New Order – Please send proforma invoice	P.O0076.html
Payment Advise	Payment Slip.html
RE: 316863-52 order 394620	RE 316863-52 order 394620.html
Re: Contract Invoice	contract_agremt528 PM.html
URGENT: Upgrade E-mail User Mailbox	Upgrade.html
Confirmation of Bank Payment	______HKU-COMPFEE-0000708718.htm

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목	첨부파일
pago noviembre-diciembre	Pago1292022.img
RE: Statement of account MBS	Statement of account MBS.img
Re: pago rechazado de Banco Banamex SA de CV (Ref 0180066743)	Aviso de pago.pdf.img
PAYMENTS – 12th December 2022	international_transfer_20221212-21617.pdf.gz
DHL AWB – 4152209227	DHL AWB – 4152209227_12132022.gz
TT (Ref 001122022066743)	Ref001122022066743.img
PO #20221412042	Purchase Order #20221412042.zip
TT (Ref 001122022066743)	Ref001122022066743.img
PO #20221412042	Purchase Order #20221412042.zip
NEW ORDER #306078910	P.O #306078910.xls
Re: D/N: Ex-work PO#22-1652/63, PO#22-4982/68, PO#22-1264/69	AAA PO22165263 PO22498268 PO22126469 DEBIT NOTES.xls
Fwd: PL/ DS_CMR 81364970	DS_CMR 81364970.pdf.img
Re: Revised proforma invoice & Contract payment for- ifeoluwa.babarinsa	PI-202510145-dtd-13-12-2022.img
RFQ #20220812 Order 0092300	Quote PO# 000938812.pdf(45kb).img
RV: OFERTA PO# 000938812	PO# 000938812.pdf(45kb).img
Re: Invoice Request ( Dec’22 )	Bank Outward Application.PDF.zip
Re: D/N: Ex-work PO#22-1652/63, PO#22-4982/68, PO#22-1264/69	PO22165263_PO22498268_PO22126469_DEBIT_NOTE_TT.PDF.rar
Dhl -Express_Shipping Original Document	Shipping_Original_Document.PDF.7z
order	33690120220531MES_S Quote.img
STAINING ON THE BODY FABRIC OF STYLE VOLTO II	bank information.exe
DHL AWB & Shipping Document: Invoice JKTR002071488.	DHL AWB and Shipping Document.pdf.tar
order	Quote_2200001498.img
RE: CONTRACT 2023 – nyaonjs.com -OB	OG 2023.pdf.iso
Re: New order	New order 4311.xz
Re: New order	New order 4311.zip
Quotation, Enquiry (RFQ) 2200111	RFQ 2200111.PDF.GZ
Order For Dec	E900 quotation20111388.img
Request for Price ( PO# 205346 )	Request for Price PO# 205346.PDF.GZ
Hesap hareketleriniz	Hesaphareketi-01.tar
DHL Shipment Notification	Dhl p.gz
Re: Shipping document EXP4052	MSKD0134772_MAERSK_AMAZON_INV20221211_Pdf.rar
STAINING ON THE BODY FABRIC OF STYLE VOLTO II	bank information.exe
DHL AWB & Shipping Document: Invoice JKTR002071488.	DHL AWB and Shipping Document.pdf.tar
order	Quote_2200001498.img
RE: CONTRACT 2023 – nyaonjs.com -OB	OG 2023.pdf.iso
Re: New order	New order 4311.xz
Re: New order	New order 4311.zip
Quotation, Enquiry (RFQ) 2200111	RFQ 2200111.PDF.GZ
Order For Dec	E900 quotation20111388.img
Hesap hareketleriniz	Hesaphareketi-01.tar
DHL Shipment Notification	Dhl p.gz
smart pics	privateplp.gif.exe
wonderful pictures	theaction.exe

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.

주의 키워드: ‘Factura’ 와 ‘Order’

이번 주의 키워드는 ‘Factura’ 와 ‘Order’ 이다. 두 키워드는 전체 피싱 제목의 38%를 차지하는 단어로, 피싱 메일의 상당 부분을 차지하였다. 송장을 뜻하는 ‘Factura’ 와 주문을 뜻하는 ‘Order’ 키워드는 거래에서 자주 사용되는 단어로 공격자는 특정 업체로 위장하여 악성코드를 유포하였다. 아래 사례는 HTML 형식의 파일을 메일에 첨부하였다. 첨부 파일은 로그인 페이지를 위장한 피싱 파일(FakePage)이다.

다음은 가장 많은 형태를 보이는 IMG 파일 유형이다.

가짜 로그인 페이지 (FakePage) C2 주소

공격자가 만들어둔 가짜 로그인 페이지에 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

hxxps://formspree.io/f/mlevkpjv
hxxps://womeninpublishing.org/wp-admin/RFxData/mstpartsgroup.php
hxxps://alxcl.xyz/log-flasher/excel.php
hxxps://frwx.ml/anydomain/anydomain.php
hxxps://www.1dglabel.com/wp-content/COMPFEE/next.php

피싱 이메일 공격 예방

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.