ASEC 주간 피싱 이메일 위협 트렌드 (20230108 ~ 20230114)

ASEC 분석팀에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 01월 08일부터 01월 14일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가장 많은 위협 유형은 정보 탈취 악성코드(Infostealer, 38%)이다. 정보 탈취 악성코드는 AgentTesla, FormBook 등이 포함되며 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출한다. 그다음으로 많은 위협 유형은 가짜 페이지(FakePage, 34%)이다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의  화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고

세번째로 많은 위협 유형은 취약점(Exploit, 12%)유형 이었다. 취약점 유형은 대체적으로 수식편집기(EQNEDT32.EXE) 취약점이 포함된 문서파일이 확인되었다. 이 외에 다운로더(Downloader, 8%), 웜(Worm, 7%), 트로이목마(Trojan, 1%) 유형이 확인되었다. 

피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 한 주간 피싱 이메일 첨부파일 유형의 특이사항으로는 ONE 확장자(ONE ,3%) 파일유포가 확인된 점이다. OneNote는 Microsoft에서 개발한 전자 필기장 앱으로, 워드프로세서 프로그램과 달리 페이지 내 어느 곳에나 콘텐츠를 삽입할 수 있는 특징이 있다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, SHTML, HTM) 및 PDF 문서로 유포되었다. 정보유출형 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, RAR, GZ등의 압축파일, IMG 디스크 이미지 파일, XLS,ONE 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다. 웹 페이지 스크립트 파일, PDF로 유포되는 가짜 페이지를 제외한 악성코드는 위협 유형에 상관 없이 다양한 파일 확장자로 유포되었다.

유포 사례

2023년 01월 08일부터 01월 14일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

 

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목 첨부파일
Confirmed Order ref. 23979 MX-3114N_20220908_011044 (1).htm
Incoming Shipment Notification for ******@********.com AWB#93230 .html
Deposit – P/I SYW220 / Re: 2.5gPP Deposit USD9,009.00 PI SYW220.pdf.htm
Deposit – P/I SYW220 / Re: 2.5gPP SWT-#AG027392KL282.jpg.htm
[DHL] shipping invoices for payment invoice & Tracking NumberHT2.htm
[DHL] shipping invoices for payment payment_doc & shipment#7221HKT.shtml
Re: Please Find Attached Document.htm
Fw: Statement(SOA) Statement.pdf
FW: Quotation – RFQ request: From Win-Win Trade Co.,Ltd New_Order.Pdf.htm
FedEx Shipment Arrival Notification AWB#989345874598.html
Urgent/Fiam – order confirmation OC0000352877.htm
Project for 2023 order doc22314.shtml
Factura electrónica – 3990575 f7720cf0-9645-11ed-8372-44a842253043.html
Your DHL Express shipment with waybill number 4608948875 is on its way. DHL SHIPPING DOCUMENTRECIEPT.html
Factura electrónica – 4537675 1fd9fbcf-9646-11ed-b1d1-44a842253043.html
CENTRUM – Payment Documents for Validation CENTRUM – Contract Documents.html
Fw: Statement(SOA) Statement.pdf
VENDOR FORM INVIOCE. VENDOR-INVOICES.shtml
RE: FW: Shipment # Shipping-Document#0004-PDF.htm
AW: Purchase Order 291765 – JF KOREA Co.,Ltd For Urgent Delivery Purchase Order JF KOREA Co Ltd JAN.html
Salary Upgrade Review (Final Post-Covid-19 listing) Salary_Upgrade_ Datasheet_January_ 2023.zip
Artel Electronics LLC – PROPOSAL Artel Electronics LLC – PROPOSAL .html
Factura Pendiente – 576599 b7bde4ee-9657-11ed-bd71-44a842253043.html
Confirm your delivery address AWB#3230922.html
NEW ORDER SUSFINE-YJ207.pdf NEW ORDER SUSFINE-YJ2022.pdf.htm
VENDOR FORM INVIOCE. VENDOR-INVOICES.shtml
FedEx Arrival Notice. FedEx – vims7- AWB.pdf.htm
Segue (NFSe) N.003751166 NFSe006457402.html
RE: FW: Shipment # Shipping-Document#0004-PDF.htm
Zahlungsdetails Bank receipt.pdf

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목 첨부파일
Unpaid Invoice IQ0075440 Invoice IQ0075440.one
Re: 2023 JAN ORDER BTB LC SCAN DOCUMENT COPY OF SANS TEST PACKGING [IMPORTANT] January-Payment.rar
Urgent booking for Honeymoon Passport and Id for booking details.docx
fw: informe de pago devuelto pago devuelto.pdf.img
Invoice #0048006 DUE Invoice-48006.one
Wire Transfer payment.img
Wire Transfer REF122553.img
Re: SOA Detail Payment for shipment invoices from Nov 11th – Jan 3rd SOA Payment TT application details 10012023.xls
Re: NEW PROFORMA INVOICE ( PI#CNW202356034 ) – Possible E.T.D schedule (Est. 17 Jan) PROFORMA INVOICE CNW202356034.xls
RE: Shipping PI CS/2022-23/024 Documents & Shipment advise Est. E.T.D
SHIPPING DOC BLBNTHCM22120020 INVOICE PL 20230110.xls
RE: Urgent Shipping Documents – MV. TAHO EUROPE Shipping Documents 20230113.xls
NEW MID – FEBRUARY ORDER PO2202857 / Shipment delivery E.T.D FEB 15 ADM NEW FEBRUARY ORDER PO2202857.xls
sending you my pix mypic.zip
Request For Quotation RFQ.rar
Thanks – Payment has been received. AmericanExpress-Online-Services-Notification.zip
Vodafone PXT notification PXTpicture Multimedia Message.zip
Transaction Receipt Jackgreen-Energy-Transaction-Receipt.zip
Tax Agent Report – Delayed Tax Returns TaxAgentReport.xls.zip
DHL Shipment Notification Payment copy.gz
DHL Shipment Notification doc.rar
sending you my pix mypic.zip
TPG Internet: Equipment Order 8620430557 I14516978.zip
Thanks – Your payment has been received. Payment Details 79142586.zip
DHL Shipment Notification dd.rar
AWB 50326756532 – Shipping Documents
DHL AWB – COMMERCIAL INVOICE, BILL OF LADING,_ETC DOC.gz
NEW ORDER PO- 3861209534.zip
New enquiry Quote # QU20094 – 13-01-2023.img
Re: Quotation… Quotation_DEC-2022.rar
Delivery failed message.zip
very nice pics only for you my-scene.jpg.scr
MAIL SYSTEM ERROR – RETURNED MAIL document.zip
very wonderful photos only for you private_imgs.jpg.scr
Returned mail: see transcript for details attachment.zip
sexy pictures myphotos.gif.scr
Message could not be delivered document.zip

 

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다. 

 

주의 키워드: ‘ONE’ 확장자

이번 주의 키워드는 ‘ONE’ 확장자 파일 이다. OneNote는 Microsoft에서 개발한 전자 필기장 앱으로, 워드프로세서 프로그램과 달리 페이지 내 어느 곳에나 콘텐츠를 삽입할 수 있는 특징이 있다. 해당 ONE 파일은 아래와 같이 가짜 송장(Invoice) 메일로 위장하여 유포되었으며, OneNote 로 실행하면 두 번째 그림과 같이 개체 클릭을 유도하는 컨텐츠가 삽입되어있다. 개체를 클릭 할 경우 악성 BAT 파일이 다운로드 및 실행된다.

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

  • hxxps://erfgvcv.ga/abig/pdfnglw.php
  • hxxps://formspree.io/f/xbjejppb
  • hxxps://benti-energies.com/ftmm/Adhl.php
  • hxxps://vladiolitrade.ru/lk/zender.php
  • hxxps://formspree.io/f/xdovnyrz
  • hxxps://iohygf.cf/content/msxl.php
  • hxxps://earthsaviours.net/dh/hl.php
  • hxxps://edcgfd.cf/11/msxl.php
  • hxxps://proshield.ie/wp-admin/HZ/remit.php
  • hxxps://barajmwtii.rest/dhl/processor1.php
  • hxxps://www.niemands-land.nl/wp-admin/logsbox0/login.php
  • hxxps://erfgvcv.ga/webq/msxl.php
  • hxxps://iohygf.cf/content/msxl.php

 

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.

  • 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
  • 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
  • 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
  • 안티바이러스를 비롯한 보안 제품을 이용한다.

피싱 이메일 공격은 MITRE ATT&CK 프레임워크에서 다음 Techniques에 해당한다.

  • Phishing for Information(Reconnaissance, ID: T1598[1])
  • Phishing(Initial Access, ID: TI1566[2])
  • Internal Spearphishing(Lateral Movement, ID:T1534[3])

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.

Categories:위협 통계

Tagged as:,

0 0 votes
별점 주기
guest

0 댓글
Inline Feedbacks
View all comments