피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가장 많은 위협 유형은 가짜 페이지(FakePage, 39%)이다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 그다음으로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 28%)이다. 세번째로 많은 위협 유형은 정보 탈취 악성코드(Infostealer, 26%)이다. 정보 탈취 악성코드는 AgentTesla, FormBook 등이 포함되며 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출한다. 이 외에 트로이목마(Trojan, 9%), 백도어(Backdoor, 1%), 웜(Worm, 1%), 취약점(Exploit, 1%) 유형이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 한 주간 피싱 이메일 첨부파일 유형의 특이사항으로는 악성코드를 은닉하기 위해 사용된 다양한 압축 확장자이다. 총 11가지 종류의 압축 확장자를 사용하였으며, 그 종류는 ZIP, R00, RAR, R01, R17, GZ, DAA, XZ, Z, ACE, LZH 이다. 이 외 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R00, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, DOCX, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 02월 12일부터 02월 18일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| Scan Data from FX-1C7D2_16thFeb23 | Scan Data from FX-1C7D2_16thFeb23.PDF |
| 모든 수신 메일이 보류되었습니다. | ***.com.html |
| IMPORTANT ANNOUNCEMENT! | NOTICE OF CHANGES.pdf |
| FWD: Re: Wire Transfer Receipt | Wire Transfer Receipt.shtml |
| Comprobante Fiscal Digital Febrero :ATT 15/02/2023 07:43:03 a. m. | adjuntos_0102_.html |
| ST0RAGE QU0TA LIMIT EXCEEDED; Retreive your (47) New Pending Messages ✉ !!! On Hold | entecene.co.kr_Verify.html |
| DHL Shipping Document/Invoice Receipt | Original_Shipping_DOC#AWB.html |
| RE: SHIPPING DOCUMENT (Purchased Contract) | FedExShipmentDoc.html |
| [대한항공] 송장 원본 통관 | Original-invoice_dhlee.htm |
| Re: Proof of payment deposited for invoices | Invoice.pdf.htm |
| [FedEx] 관세 납부 안내(Tax Invoice) | Tax-Invoice.html |
| 새로운 주문 | 새로운 주문.pdf |
| Payment has been scheduled to beneficiary on 13 Feb 2023 | Swift_Copy-rina.htm |
| 새 파일을 성공적으로 받았습니다. | Documents Folder.html |
| DHL Shipment Notification AWB No:: 48******16 Custom Form E | Confirm Parcel AWB NO.48157-8578916.html |
| 문의 | 문의.pdf |
| Re: Re: 견적 의뢰? | 견적 의뢰.pdf |
| Re: Re: Outstanding Invoices for processing | outstandingPayment.INV.Shtml |
| Msa INQUIRY 21019612 dated 10-02-2023 – Reminder | RFQV21019612.xls.shtml |
| INV+PYMNT+PO 546890 | INV+PYMENT+PO 9878 .HTML |
| [DHL Express] 수입 통관 정보 제출 안내 – AWB # – 394475043173 | DHL_Korea_AWB#394475043173.html |
| Invioce/New Order | PO.XJ210821Q.html |
| 페덱스 수입세금 납부마감 안내 | FedEx-kskim.htm |
| AW: Fw: Payment Transfer Receipt #3142563 | Payment copy.shtml |
| INVOICE,PACKING LIST & BILL OF LADEN | INVOICE & PACKING LIST.html |
| : New Shipment | Confirm Shipment.htm |
| 모든 수신 메일이 보류되었습니다. | hyundairb.com.html |
| PURCHASE ORDER & INVOICE-8750 | DOC -47059(2_15_2023 4_09_16 a.m.) Mixed Container.html |
| FW: Inv_0220238_from_WSFS LLC | computer.PDF.shtml |
| Payment Advice for electronic wlre transfer – Ref: HSBC03481993/081639234 | Payment_adv.html |
| Re:Urgent payment order | Payment#adv.html |
| PCH-Ref-708U97SYY8 | Publishers Clearing House-2023.pdf |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| RE: RFQ – INQ-DOCCIA GRP | ORDER – DOCCIA #00071533.pdf(83KB).jar |
| Re Enquiry | UPDATED ORDER.docx |
| Request for Quotation | ENQUIRY.IMG |
| FW: Request for Quotation | ENQUIRY.IMG |
| #Inquiry : 201820552 | Inquiry201820552.js |
| RE: FW: RE: RE: Material productions/ Worksheet | MPSNTQWR90002023.IMG |
| FW: AUTHORIZATION LETTER | whatsapp20231302.gz |
| RE: Urgent – Payment Overdue SOA | SOA.gz |
| RFQ Order No 43456767 | RFQ_Order No 43456767.zip |
| RE:Purchase Order | Product_List.docx |
| DHL Shipment For Februray Notification : 45348693 | Original Shipping Documents.docx |
| Re Details | Payment.docx |
| YOUR EMPLOYMENT STATUS FOR REDUNDANT LEAVE | SALARY RECEIPT.rar |
| SPARE PARTS PROVISION | SPARE PARTS.docx |
| New Scanned document from Nedec Office Printer | Scan_Copy264293.docx |
| Norcity Order | Norcity Sales order.docx |
| RE: Payment. | Invoice copy.gz |
| PO-#2080M 2023 | Contract PO#2080.docx |
| RFQ:N20JLG| Invitation to quote for the supply | LORAN #N20JLG.docx |
| Zhangjiagang Ocean Favor_ Urgent Quotation | RFQ.IMG |
| Reservation For Room | Details for booking.docx |
| Quotation required | RHK0876789-6789098.z |
| RE: ORDER | Siemens Company Profile.img |
| DHL | _DCO_주소 변경_Pdf.exe |
| New:SHEKOU // INV. 2230887 | Commercial Invoice No. 2230887.pdf.z |
| Payment Copy | payment slip.zip |
| Payment is completed | TT SLIP.zip |
| RE: NEW SHIPPING DRAFT COPY | DRAFT COPY.zip |
| PO #2302036 (kerisome) | Purchase Order 2302036.r01 |
| #ERROR! | Zaplata00022023.jpg.img |
| SHIPPING DOC (CI,COO,PL,BL) | SHIPPING DOCUMENT.zip |
| PO2310 | PO2310.r00 |
| Payment Information | TTres2142023-pdf.gz |
| Re: Payment INV088002904SINO | Swift Copy.rar |
| Re: Re: Re: Re: Re: Re: New order | new order list.0435527.PDF.zip |
| RE: NEW FIRM AIR DAP RATE INQUIRY FOR CNEE | DOCUMENT.zip |
| P.O | ORDER CONFIRMATION.r00 |
| Quote=AHB23QA | Quote=AHB23QA.pdf.z |
| APA Contract :RFQ 2023 | APA RFQ 2023.pdf.z |
| RE: RE: SOA_freight options202105-USD122986 | 202105-USD122986.zip |
| funds for all inv. settled | SKM20230216_$55580.88USD.ace |
| RE: CL/140/2023//: Customs Clearance BL_CI #SHIPPING – ATTENTION | BL_CL-2838374_3494432_Docx.XZ |
| Ref. IGA/PO/17493 | Ref. IGAPO17493.r00 |
| MV INLACO ACCORD / ETA: 20TH FEB ++ AGENT NOMINATION | DISCHG.IMG |
| Offer inquiry | 2023tenderlistforlunious.zip |
| AQMM General Trading LLC. LOI | AQMM General Trading LLC LOI PDF1000.r00 |
| Purchase Order | Catllog_00345_Pdf.exe |
| MONEY REQUIRE | TTres2152023-pdf.gz |
| Delivery Notifications | _Fillin_003456…._Pdf.gz |
| Draft Copy Cont02983 | Draft_Copy_Cont02983.rar |
| Re: New Order Quotation – 0070086 – 23/16/02 | Order Specifications.zip |
| PO#BO514 FEB/ 2023 | PO #BO514.z |
| Purchase Order//98462072 | Pur02958735_84ord.rar |
| Status of Payment Receipt | 13022023MT103.zip |
| Confirmation & Draft Documents | DRAFT INVOICE.GZ |
| Petek Debit Note LW-83322. | DEBIT NOTE.LZH |
| LEGAL ACTION / LONG OVERDUE INVOICE | DETAILS AND INVOICES.daa |
| RE: DDP AIR IMPORT FROM LHR-AMD | A.GBIN.23.00105.zip |
| Re[3]: very nice images private | fuck_action.pif |
| BBVA-Confirming Facturas Pagadas al Vencimiento | ConfirmingPagadas.rar |
| RE: PO: 879204/1 FCR Draft 1 EFCR YAX1905070 | E-FCR Docs_pdf.gz |
| PROCESSIING CONTRCT SY2-WT2103-23. | PS#049847646-4094876478MBN.001 |
| Interesting.. | MyHeart4u.eXe |
| RE: RE: Updated SOA 210827//: Statement 210826 | STATEMETNT OF ACCOUNT.rar |
| Cool Stuff!! | Happy_XMas.eXe |
| AW: PO-000001306 | PO-000001306.IMG |
| MONEY REQUIRE | Purchase Order-pdf.gz |
| Re: Draft Docs Confirmation against PI#CK2023M1903 | DRAFT DOCS INVCK2023M1903 BL PL.xls |
| Re: SOA Detail Payment for shipment invoices from Nov 11th – Jan 12 | STATEMENT OF ACCOUNT CERIE 10134 Payment Advise.xls |
| By E-Mail send: Delotser Transport Operator – 0085437719 | 0085437719.IMG |
| RFQ-20000 TO 500000 MT/BARELLS TEST by SGS | RFQ-20000 TO 500000 MTBARELLS TEST by SGSPDF.r00 |
| FW: Technical Clarification No: 1 | TC 1 AHTSA 1093 1094 RO.xlsm |
| VSL: M/V COMMON CALYPSO, ORDER: JAN-A2623B | MV COMMON CALYPSO.xls |
| Re:invoice and PL 26/01/2023 | invoice and PL 26012023.zip |
| Prompt Response | DoubleClick to DOWNLOAD.one |
| ETSO Kodu hk. | ETSO_ Kodunuz40Z000004399566L..exe.xz |
| Re: [Reject]RV: OFERTA PO# 000938882 NSS | ApplicationReject_68390(Jan31).one |
| PR.4828321- Request for Quotation | ATI HANDELS GmbH | RFQ #4828321.doc |
| Hi! | HeartsOnFire.eXe |
| Payments | 2023013150028399456770010.gz |
| RE: Capital Tenders Group LTD PRICE REQUEST | Capital Tenders Group LTD PRICE REQUEST DOC.r11 |
| Nueva lista de pedidos y productos solicitados | #Nueva lista de pedidos y productos solicitados.pdf.img |
| FOB Shenzhen price for its MOQ | FOB Shenzhen price for its MOQ.r02 |
| FW: Invoice & Signed Contract -NEW ORDER-038408 | Invoice & Signed Contract 20230201.gz |
| FW: PO7574 | New Order PO039445.Pdf.exe |
| MONEY REQUIRE | ttref01312023-pdf.gz |
| ENEL ITALIA SpA_RFQ12345HG7$$ | RFQ12345HG7Solar&Wind Procurement.r00 |
| Paid Invoice | invoice.pdf.z |
주의 키워드: ‘배송 알림’
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- hxxp[:]//technicallyjules[.]com/11/22/1/add[.]php
- hxxp[:]//www[.]nrwolff[.]com[.]br/wp-admin/maint/bv/mxl[.]php
- hxxp[:]//powertek[.]com[.]au[:]/mmmm/newppdfff[.]php
- hxxp[:]//effervescible-safeg[.]000webhostapp[.]com//ace//ald[.]php
- hxxp[:]//feurofood[.]com/wp-content/plugins/TOPXOH/index/index/1/add[.]php
- hxxp[:]//formspree[.]io/f/xyyaekej
- hxxp[:]//www[.]mannnheim[.]com/ek/fdpxoGur23f[.]php
- hxxp[:]//kingrex[.]dreamhosters[.]com/krrs[.]php
- hxxp[:]//chuwi[.]co[.]th/danzpihaypy/dhlpihaypy[.]php
- hxxp[:]//qhuxon[.]gq/kiljoo/ond[.]php
- hxxp[:]//submit-form[.]com/3pUBM45T
- hxxp[:]//lucent-fittings[.]000webhostapp[.]com/action[.]php
- hxxp[:]//groaning-sweepers[.]000webhostapp[.]com/PDF[.]php
- hxxp[:]//riaxion[.]tech/www[.]Mail[.]ru_Verification/mail[.]php
- hxxp[:]//himoil[.]com/var/gb[.]php
- hxxp[:]//outdoorbuddies[.]org/xxx/newpdf1[.]php
- hxxp[:]//yadavarionline[.]ir/wp-includes/otf/newppdfff[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계