ASEC 주간 피싱 이메일 위협 트렌드 (20230212 ~ 20230218)

ASEC에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 02월 12일부터 02월 18일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가장 많은 위협 유형은 가짜 페이지(FakePage, 39%)이다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의  화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. ^{아래 <가짜 페이지 C2> 참고} 그다음으로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 28%)이다. 세번째로 많은 위협 유형은 정보 탈취 악성코드(Infostealer, 26%)이다. 정보 탈취 악성코드는 AgentTesla, FormBook 등이 포함되며 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출한다. 이 외에 트로이목마(Trojan, 9%), 백도어(Backdoor, 1%), 웜(Worm, 1%), 취약점(Exploit, 1%) 유형이 확인되었다.  피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다.  한 주간 피싱 이메일 첨부파일 유형의 특이사항으로는 악성코드를 은닉하기 위해 사용된 다양한 압축 확장자이다. 총 11가지 종류의 압축 확장자를 사용하였으며, 그 종류는 ZIP, R00, RAR, R01, R17, GZ, DAA, XZ, Z, ACE, LZH 이다. 이 외 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R00, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, DOCX, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.

유포 사례

2023년 02월 12일부터 02월 18일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

 

 

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
Scan Data from FX-1C7D2_16thFeb23	Scan Data from FX-1C7D2_16thFeb23.PDF
모든 수신 메일이 보류되었습니다.	***.com.html
IMPORTANT ANNOUNCEMENT!	NOTICE OF CHANGES.pdf
FWD: Re: Wire Transfer Receipt	Wire Transfer Receipt.shtml
Comprobante Fiscal Digital Febrero :ATT 15/02/2023 07:43:03 a. m.	adjuntos_0102_.html
ST0RAGE QU0TA LIMIT EXCEEDED; Retreive your (47) New Pending Messages ✉ !!! On Hold	entecene.co.kr_Verify.html
DHL Shipping Document/Invoice Receipt	Original_Shipping_DOC#AWB.html
RE: SHIPPING DOCUMENT (Purchased Contract)	FedExShipmentDoc.html
[대한항공] 송장 원본 통관	Original-invoice_dhlee.htm
Re: Proof of payment deposited for invoices	Invoice.pdf.htm
[FedEx] 관세 납부 안내(Tax Invoice)	Tax-Invoice.html
새로운 주문	새로운 주문.pdf
Payment has been scheduled to beneficiary on 13 Feb 2023	Swift_Copy-rina.htm
새 파일을 성공적으로 받았습니다.	Documents Folder.html
DHL Shipment Notification AWB No:: 48******16 Custom Form E	Confirm Parcel AWB NO.48157-8578916.html
문의	문의.pdf
Re: Re: 견적 의뢰?	견적 의뢰.pdf
Re: Re: Outstanding Invoices for processing	outstandingPayment.INV.Shtml
Msa INQUIRY 21019612 dated 10-02-2023 – Reminder	RFQV21019612.xls.shtml
INV+PYMNT+PO 546890	INV+PYMENT+PO 9878 .HTML
[DHL Express] 수입 통관 정보 제출 안내 – AWB # – 394475043173	DHL_Korea_AWB#394475043173.html
Invioce/New Order	PO.XJ210821Q.html
페덱스 수입세금 납부마감 안내	FedEx-kskim.htm
AW: Fw: Payment Transfer Receipt #3142563	Payment copy.shtml
INVOICE,PACKING LIST & BILL OF LADEN	INVOICE & PACKING LIST.html
: New Shipment	Confirm Shipment.htm
모든 수신 메일이 보류되었습니다.	hyundairb.com.html
PURCHASE ORDER & INVOICE-8750	DOC -47059(2_15_2023 4_09_16 a.m.) Mixed Container.html
FW: Inv_0220238_from_WSFS LLC	computer.PDF.shtml
Payment Advice for electronic wlre transfer – Ref: HSBC03481993/081639234	Payment_adv.html
Re:Urgent payment order	Payment#adv.html
PCH-Ref-708U97SYY8	Publishers Clearing House-2023.pdf

 

사례: 악성코드 (Infostealer, Downloader 등) 

 

이메일 제목	첨부파일
RE: RFQ – INQ-DOCCIA GRP	ORDER – DOCCIA #00071533.pdf(83KB).jar
Re Enquiry	UPDATED ORDER.docx
Request for Quotation	ENQUIRY.IMG
FW: Request for Quotation	ENQUIRY.IMG
#Inquiry : 201820552	Inquiry201820552.js
RE: FW: RE: RE: Material productions/ Worksheet	MPSNTQWR90002023.IMG
FW: AUTHORIZATION LETTER	whatsapp20231302.gz
RE: Urgent – Payment Overdue SOA	SOA.gz
RFQ Order No 43456767	RFQ_Order No 43456767.zip
RE:Purchase Order	Product_List.docx
DHL Shipment For Februray Notification : 45348693	Original Shipping Documents.docx
Re Details	Payment.docx
YOUR EMPLOYMENT STATUS FOR REDUNDANT LEAVE	SALARY RECEIPT.rar
SPARE PARTS PROVISION	SPARE PARTS.docx
New Scanned document from Nedec Office Printer	Scan_Copy264293.docx
Norcity Order	Norcity Sales order.docx
RE: Payment.	Invoice copy.gz
PO-#2080M 2023	Contract PO#2080.docx
RFQ:N20JLG| Invitation to quote for the supply	LORAN #N20JLG.docx
Zhangjiagang Ocean Favor_ Urgent Quotation	RFQ.IMG
Reservation For Room	Details for booking.docx
Quotation required	RHK0876789-6789098.z
RE: ORDER	Siemens Company Profile.img
DHL	_DCO_주소 변경_Pdf.exe
New:SHEKOU // INV. 2230887	Commercial Invoice No. 2230887.pdf.z
Payment Copy	payment slip.zip
Payment is completed	TT SLIP.zip
RE: NEW SHIPPING DRAFT COPY	DRAFT COPY.zip
PO #2302036 (kerisome)	Purchase Order 2302036.r01
#ERROR!	Zaplata00022023.jpg.img
SHIPPING DOC (CI,COO,PL,BL)	SHIPPING DOCUMENT.zip
PO2310	PO2310.r00
Payment Information	TTres2142023-pdf.gz
Re: Payment INV088002904SINO	Swift Copy.rar
Re: Re: Re: Re: Re: Re: New order	new order list.0435527.PDF.zip
RE: NEW FIRM AIR DAP RATE INQUIRY FOR CNEE	DOCUMENT.zip
P.O	ORDER CONFIRMATION.r00
Quote=AHB23QA	Quote=AHB23QA.pdf.z
APA Contract :RFQ 2023	APA RFQ 2023.pdf.z
RE: RE: SOA_freight options202105-USD122986	202105-USD122986.zip
funds for all inv. settled	SKM20230216_$55580.88USD.ace
RE: CL/140/2023//: Customs Clearance BL_CI #SHIPPING – ATTENTION	BL_CL-2838374_3494432_Docx.XZ
Ref. IGA/PO/17493	Ref. IGAPO17493.r00
MV INLACO ACCORD / ETA: 20TH FEB ++ AGENT NOMINATION	DISCHG.IMG
Offer inquiry	2023tenderlistforlunious.zip
AQMM General Trading LLC. LOI	AQMM General Trading LLC LOI PDF1000.r00
Purchase Order	Catllog_00345_Pdf.exe
MONEY REQUIRE	TTres2152023-pdf.gz
Delivery Notifications	_Fillin_003456…._Pdf.gz
Draft Copy Cont02983	Draft_Copy_Cont02983.rar
Re: New Order Quotation – 0070086 – 23/16/02	Order Specifications.zip
PO#BO514 FEB/ 2023	PO #BO514.z
Purchase Order//98462072	Pur02958735_84ord.rar
Status of Payment Receipt	13022023MT103.zip
Confirmation & Draft Documents	DRAFT INVOICE.GZ
Petek Debit Note LW-83322.	DEBIT NOTE.LZH
LEGAL ACTION / LONG OVERDUE INVOICE	DETAILS AND INVOICES.daa
RE: DDP AIR IMPORT FROM LHR-AMD	A.GBIN.23.00105.zip
Re[3]: very nice images private	fuck_action.pif
BBVA-Confirming Facturas Pagadas al Vencimiento	ConfirmingPagadas.rar
RE: PO: 879204/1 FCR Draft 1 EFCR YAX1905070	E-FCR Docs_pdf.gz
PROCESSIING CONTRCT SY2-WT2103-23.	PS#049847646-4094876478MBN.001
Interesting..	MyHeart4u.eXe
RE: RE: Updated SOA 210827//: Statement 210826	STATEMETNT OF ACCOUNT.rar
Cool Stuff!!	Happy_XMas.eXe
AW: PO-000001306	PO-000001306.IMG
MONEY REQUIRE	Purchase Order-pdf.gz
Re: Draft Docs Confirmation against PI#CK2023M1903	DRAFT DOCS INVCK2023M1903 BL PL.xls
Re: SOA Detail Payment for shipment invoices from Nov 11th – Jan 12	STATEMENT OF ACCOUNT CERIE 10134 Payment Advise.xls
By E-Mail send: Delotser Transport Operator – 0085437719	0085437719.IMG
RFQ-20000 TO 500000 MT/BARELLS TEST by SGS	RFQ-20000 TO 500000 MTBARELLS TEST by SGSPDF.r00
FW: Technical Clarification No: 1	TC 1 AHTSA 1093 1094 RO.xlsm
VSL: M/V COMMON CALYPSO, ORDER: JAN-A2623B	MV COMMON CALYPSO.xls
Re:invoice and PL 26/01/2023	invoice and PL 26012023.zip
Prompt Response	DoubleClick to DOWNLOAD.one
ETSO Kodu hk.	ETSO_ Kodunuz40Z000004399566L..exe.xz
Re: [Reject]RV: OFERTA PO# 000938882 NSS	ApplicationReject_68390(Jan31).one
PR.4828321- Request for Quotation | ATI HANDELS GmbH	RFQ #4828321.doc
Hi!	HeartsOnFire.eXe
Payments	2023013150028399456770010.gz
RE: Capital Tenders Group LTD PRICE REQUEST	Capital Tenders Group LTD PRICE REQUEST DOC.r11
Nueva lista de pedidos y productos solicitados	#Nueva lista de pedidos y productos solicitados.pdf.img
FOB Shenzhen price for its MOQ	FOB Shenzhen price for its MOQ.r02
FW: Invoice & Signed Contract -NEW ORDER-038408	Invoice & Signed Contract 20230201.gz
FW: PO7574	New Order PO039445.Pdf.exe
MONEY REQUIRE	ttref01312023-pdf.gz
ENEL ITALIA SpA_RFQ12345HG7$$	RFQ12345HG7Solar&Wind Procurement.r00
Paid Invoice	invoice.pdf.z

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.  

주의 키워드: ‘배송 알림 ’     

이번 주의 키워드는 ‘배송 알림’ 이다. 지난 주 피싱 메일 유포자는 “DHL 배송 알림” 이라는 이름으로 피싱 메일을 유포하였다. 피싱 메일의 송신자는 대한항공 이메일 주소를 사칭하였으며, 오타 및 맞춤법으로 볼 때, 번역기를 이용해 한국어로 변환된 듯한 특징이 있다. 이메일 내부에는 “_영수증_Pdf.gz” 파일이 첨부되어 있으며, 압축해제시 랜덤한 문자로 구성된 제목의 EXE 파일이 포함되어 있다. 해당 EXE 파일은 정보 탈취 목적의 악성코드이다. 사용자는 이메일의 첨부 파일 열람 시 특이한 확장자 여부와, 어눌하게 번역된 듯한 한국어인지 주의깊게 살펴보는 주의가 필요하다. 

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다. 

• hxxp[:]//technicallyjules[.]com/11/22/1/add[.]php
• hxxp[:]//www[.]nrwolff[.]com[.]br/wp-admin/maint/bv/mxl[.]php
• hxxp[:]//powertek[.]com[.]au[:]/mmmm/newppdfff[.]php
• hxxp[:]//effervescible-safeg[.]000webhostapp[.]com//ace//ald[.]php
• hxxp[:]//feurofood[.]com/wp-content/plugins/TOPXOH/index/index/1/add[.]php
• hxxp[:]//formspree[.]io/f/xyyaekej
• hxxp[:]//www[.]mannnheim[.]com/ek/fdpxoGur23f[.]php
• hxxp[:]//kingrex[.]dreamhosters[.]com/krrs[.]php
• hxxp[:]//chuwi[.]co[.]th/danzpihaypy/dhlpihaypy[.]php
• hxxp[:]//qhuxon[.]gq/kiljoo/ond[.]php
• hxxp[:]//submit-form[.]com/3pUBM45T
• hxxp[:]//lucent-fittings[.]000webhostapp[.]com/action[.]php
• hxxp[:]//groaning-sweepers[.]000webhostapp[.]com/PDF[.]php
• hxxp[:]//riaxion[.]tech/www[.]Mail[.]ru_Verification/mail[.]php
• hxxp[:]//himoil[.]com/var/gb[.]php
• hxxp[:]//outdoorbuddies[.]org/xxx/newpdf1[.]php
• hxxp[:]//yadavarionline[.]ir/wp-includes/otf/newppdfff[.]php

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다. 

•  
•  
  • 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
•  
  • 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
•  
  • 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
•  
  • 안티바이러스를 비롯한 보안 제품을 이용한다.

피싱 이메일 공격은 MITRE ATT&CK 프레임워크에서 다음 Techniques에 해당한다. 

•  
•  
  • Phishing for Information(Reconnaissance, ID: T1598^[1])
•  
  • Phishing(Initial Access, ID: TI1566^[2])
•  
  • Internal Spearphishing(Lateral Movement, ID:T1534^[3])

 

URL

http[:]//chuwi[.]co[.]th/danzpihaypy/dhlpihaypy[.]php

http[:]//effervescible-safeg[.]000webhostapp[.]com//ace//ald[.]php

http[:]//feurofood[.]com/wp-content/plugins/TOPXOH/index/index/1/add[.]php

http[:]//formspree[.]io/f/xyyaekej

http[:]//groaning-sweepers[.]000webhostapp[.]com/PDF[.]php

FQDN

download[.]one