피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 84%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 그 다음으로 많은 위협 유형은 트로이목마(Trojan, 7%) 와 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 5%)를 차지한다. Trojan은 닷넷 패커 유형이 가장 많으며 이는 과거 ‘최신 닷넷 패커의 종류 및 국내 유포 동향‘에서 Type 3 ‘VariantCrypter’로 소개된 유형이다. 이 외에 웜(Worm, 2%), 취약점(Exploit, 2%), 다운로더(Downloader, 1%)유형 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R09, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 03월 05일부터 03월 11일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| DHL | Global | express | Transport_Doc_198290018.html |
| Re: PO 1015_INV (송장 요청) | 송장 요청PO 1015_INV.htm |
| New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.shtml |
| Request_for_Quotation_1294 | Request_For_Quotation_12943928484_Supply.htm |
| FedEx Service Alerts | FedEx_**lee-Original_Document.htm |
| 견적 요청 | PO 230310-21A.htm |
| Re: PO 10960 | PO10960 .htm |
| Payment sent On: Wednesday, March 8, 2023 4:17 a.m. | Payment copy.pdf.html |
| New DHL Shipment Document Notice of Arrival / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.htm |
| Fw: PO 107556 (송장 요청) | PO 107556구매 주문 .htm |
| You have received an essential encrypted company email – Remote ID | SecureMessageAtt.zip |
| URGENT !!! | Upgrade.html |
| 새로운 질서/PO # PUR120449-1 | 주문_Inv PO # PUR120449-10.htm |
| Newly posted invoice , PL and BL | Invoice.AWB#84248_pdf.htm |
| countec-sales2 You Have a delievery | copy.AWB #0675854897.htm |
| FW:Payment Confirmation for Open Invoices INV-019358 sent via one-drive | Paid_invoice.html |
| Alerta ScotiaWeb: Comprobante Transaccion exitosa en Scotiabank ANGEL REYES MACARIO (868579) | Comprobante-2023-02-28T151137.308.pdf |
| New Contract N0_938 : PURCHASE ORDER ATTACHED | POrder2023.pdf |
| INQUIRY QT-0023817552 | QT_0023817552.html |
| ✈[DHL] 수입세금 납부마감 안내 – (INV and AWB) | DHLParcelShipment.html |
| Quotation QUO91019 | Quote.html |
| DHL TRACKING NUMBER // ORIGINAL SCAN DOCUMENTS // VERIFY BL COPY FOR CHECKING // SHIPMENT ADVISE AGAINST OUR CONTRACT NO- WGCBD-141-21/22 (02X40″ 28LBS/1PLY) | Electronic Form.shtm |
| PO 197496 ( Invoice Request ) | PO_INV 197496 .htm |
| Payment Advice – Advice Ref:[922853603] | payment.html |
| Payment Swift and Invoice | Payment swift and invoice_ copy.shtml |
| OUR COMPANY NEW QUOTATION CONFIRMATION RECEIPT | Remmitance Payment.html |
| New_fax_received_for_wong truefriend | Fax #2046.htm.htm |
| Re: URGENT / Request for Quotation | order specification.shtml |
| FedEx Service Alert. | FedEx_Original_Document.htm |
| DHL Shipping Notification: Please kindly see shipping invoices for payment with delivery | Packing List.htm |
| Re: NEW PO – NH1200/1500 | scanPO.htm |
| PO 10120H5 (송장 요청) | PO 10120H5구매 주문 .htm |
| RE: PFI PO 4899 | scan001.htm |
| Re: PO 1015 (송장 요청) | 구매 주문PO 1015.htm |
| PO#M013123-LTR1 | PO#M013123-LTR1.xls.htm |
| CONFIRMATION RECEIPT | Payment. Copy.html |
| Invoice – INV-00546 | INV-00546.shtml |
| You have received a direct deposit alert! | 83739832283382923893HHDJHSD83387HDSSDSH.xhtml |
| Your parcel has arrived urgent pick up needed today. | parceldelivery.html |
| Your parcel has arrived urgent pick up needed today. | AWB #8347630147.htm |
| Request for Quotation of : Ammunition Vehicle and Howitzer with Standard Tools and Accessories | Ammunition Vehicle and Howitzer.html |
| New Order POH12-FA2306133 | PO H12-FA2306133.html |
| 견적요청_**테크_20230223 | [G0170-PF3F-23-0223].html |
| Fwd: Fw: Fw: inquiry | New—inquiry.html |
| Request for quotation | New Order.html |
| Payment Confirmation. | USD 63,530.50.pdf |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| Re: Re: RE: anniversary | KYC_HN70(Feb15).one |
| Re[4]: sexy pics | greatimg.gif.scr |
| RE: New Order OZM PO#10391, PO#10392-6 | New Order OZM PO#10391, PO#10392-6.rar |
| RFQ – Automotive Industry – 5 special drawing Item – SOP: 2023-2030 – | RFQ – Automotive Industry.arj |
| Statement 000116057 TORKY SUPPLIES OFFICE | Statement 000116057 TORKY SUPPLIES OFFICE pdf.zip |
| Request | PV285.img |
| cool photo imortant | privatephotos.scr |
| saipan star/CTM USD50000 | USD50000.docx |
| Wire transfer receiot | Receipt.doc |
| RE : PO FOR NEW ORDER ##2029 AND #5811 | order_2023.pdf.GZ |
| Re[5]: super smart photo very important | wild__images.pif |
| RFQ _Draft 08/03/032023 | mSDPG5zv9nN0nP9.zip |
| ST51093Y1 | ST51093Y10.ISO |
| Re: Inquiry | Quote_3500001233.img |
| AW: PO-000001306 | PO-000001306.r09 |
| New Order | NEW PO-4500123380_03062023.zip |
| PO NO.PO03238012, | PO NO.PO03238012,.rar |
| Order-Dated 03-01-2023 | Enquiry2314.xls |
| DHL Notification | DHL Notification_pdf.rar |
| 50% Remittance Advise | Remittance_Advise.xls |
| Re: RFQ # GC-20230203 | RFQ # GC-20230203L.r09 |
| Revised Ghani Value Glass new order – SG Industries 100/24150### | PI WIith Size is 6×5.xls |
| Fwd: Payment Release (GBS LOGISTICS) | UPDATED SOA [REF CF005451] 2223.xls |
| RE: Reminder For Due Payment | Payment Advice 232-52126620A.xls |
| Quotation is Requested | petronas 1.rar |
| LEGAL ACTION ON YOUR COMPANY FOR LONG OVERDUE INVOICE | Overdue.img |
| Informe de pago | pago de la ..factura 11-369013.PDF.img |
| Ref:103XXXXX Shipment of Original Documents. | DHL SHIPMENT NOTIFICATION.r09 |
| super wonderful photos just for you | sex_action.jpg.scr |
| Your DHL Parcel Has Arrived | DHL.zip |
| YOUR EMPLOYMENT STATUS | SALARY RECEIPT.img |
| QUOTATION | 6857b4c0-c3c7-11ed-961c-44a842253043.zip |
| Re: | HT1257299241547541310_202303081211.zip |
| MIME-Version: 1.0 | 266384963218743472978941034.zip |
| Supply of 3DC Project Marterials | 3DC Project Marterials.rar |
| Re[4]: super beautiful photo | bestscene.exe |
| FW: documentos solicitados | Documentos66548864.pdf.img |
| Eccentric Plug valve Technical DataSheet | Technical DataSheet.pdf.iso |
| RE: NUEVA ORDEN DE COMPRA 004799 | ORDEN 004799 ROQUE.IMG |
| beautiful picture | thepctrs.exe |
| smart pictures | thephotos.gif.scr |
주의 키워드: ‘PO(Purchase Order)’
- 공격자 서버 : hxxps[:]//experiaevents[.]in/italianpay/next.php
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- hxxps[:]//experiaevents[.]in/italianpay/next.php
- hxxps[:]//formspree[.]io/f/xdovzjlo
- hxxps[:]//submit-form[.]com/OIIpXOTl
- hxxps[:]//daca[.]hostedwebsitesystem[.]com/vendor/phpunit/phpunit/src/Util/Log/index/index/spam/FedExpress[.]php
- hxxps[:]//formspree[.]io/f/mjvdynwp
- hxxps[:]//formspree[.]io/f/xwkjbjgo
- hxxps[:]//formspree[.]io/f/myyakjqr
- hxxp[:]//martinamilligan[.]co[.]business/ono/fdx[.]php
- hxxps[:]//clinicacarlosgomes[.]med[.]br/wp-admin/kal/fte
- hxxps[:]//formspree[.]io/f/mzbqgqyp
- hxxps[:]//mallarg[.]tk/lp/fte[.]php
- hxxps[:]//seafordrotary[.]org[.]au/Eppdff[.]php
- hxxps[:]//k2-server[.]duckdns[.]org/roundbuk/pdf[.]php
- hxxps[:]//cupertinochiropracticcenter[.]com/index/FedExpress[.]php
- hxxps[:]//zenkoren[.]itigo[.]jp//cgi-bin/123/cloudlog[.]php
- hxxps[:]//huntingfieldlodge[.]com[.]au/Aa/Excel22[.]php
- hxxps[:]//formspree[.]io/f/mnqyznyy
- hxxps[:]//mgffomento[.]com[.]br/wp-admin/dd/postdhll[.]php
- hxxps[:]//holisticfacades[.]com[.]ng/wp-includes/aa/feed[.]php
- hxxps[:]//dissertational-spee[.]000webhostapp[.]com/wp-admin/purchase/pdf[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계
[…] ‘PDF Online’으로 위장한 피싱 사이트가 국내에 유포되고 있다. 이는 3월 17일, 이메일 위협 트렌드에서 해당 가짜 페이지를 소개한 바 있다. 유포된 피싱 이메일은 한국 […]