Posted By ASEC , 2023년 3월 17일

ASEC 주간 피싱 이메일 위협 트렌드 (20230305 ~ 20230311)

AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 03월 05일부터 03월 11일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 84%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. ^{아래 <가짜 페이지 C2> 참고}그 다음으로 많은 위협 유형은 트로이목마(Trojan, 7%) 와 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 5%)를 차지한다. Trojan은 닷넷 패커 유형이 가장 많으며 이는 과거 ‘최신 닷넷 패커의 종류 및 국내 유포 동향‘에서 Type 3 ‘VariantCrypter’로 소개된 유형이다. 이 외에 트로이목마(Worm, 2%), 취약점(Exploit, 2%), 다운로더(Downloader, 1%)유형 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R09, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.

유포 사례

2023년 03월 05일부터 03월 11일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
DHL \| Global \| express	Transport_Doc_198290018.html
Re: PO 1015_INV (송장 요청)	송장 요청PO 1015_INV.htm
New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List	(DHL) Original BL, PL, CI Copies.shtml
Request_for_Quotation_1294	Request_For_Quotation_12943928484_Supply.htm
FedEx Service Alerts	FedEx_**lee-Original_Document.htm
견적 요청	PO 230310-21A.htm
Re: PO 10960	PO10960 .htm
Payment sent On: Wednesday, March 8, 2023 4:17 a.m.	Payment copy.pdf.html
New DHL Shipment Document Notice of Arrival / Shipping Documents / Original BL, Invoice & Packing List	(DHL) Original BL, PL, CI Copies.htm
Fw: PO 107556 (송장 요청)	PO 107556구매 주문 .htm
You have received an essential encrypted company email – Remote ID	SecureMessageAtt.zip
URGENT !!!	Upgrade.html
새로운 질서/PO # PUR120449-1	주문_Inv PO # PUR120449-10.htm
Newly posted invoice , PL and BL	Invoice.AWB#84248_pdf.htm
countec-sales2 You Have a delievery	copy.AWB #0675854897.htm
FW:Payment Confirmation for Open Invoices INV-019358 sent via one-drive	Paid_invoice.html
Alerta ScotiaWeb: Comprobante Transaccion exitosa en Scotiabank ANGEL REYES MACARIO (868579)	Comprobante-2023-02-28T151137.308.pdf
New Contract N0_938 : PURCHASE ORDER ATTACHED	POrder2023.pdf
INQUIRY QT-0023817552	QT_0023817552.html
✈[DHL] 수입세금 납부마감 안내 – (INV and AWB)	DHLParcelShipment.html
Quotation QUO91019	Quote.html
DHL TRACKING NUMBER // ORIGINAL SCAN DOCUMENTS // VERIFY BL COPY FOR CHECKING // SHIPMENT ADVISE AGAINST OUR CONTRACT NO- WGCBD-141-21/22 (02X40″ 28LBS/1PLY)	Electronic Form.shtm
PO 197496 ( Invoice Request )	PO_INV 197496 .htm
Payment Advice – Advice Ref:[922853603]	payment.html
Payment Swift and Invoice	Payment swift and invoice_ copy.shtml
OUR COMPANY NEW QUOTATION CONFIRMATION RECEIPT	Remmitance Payment.html
New_fax_received_for_wong truefriend	Fax #2046.htm.htm
Re: URGENT / Request for Quotation	order specification.shtml
FedEx Service Alert.	FedEx_Original_Document.htm
DHL Shipping Notification: Please kindly see shipping invoices for payment with delivery	Packing List.htm
Re: NEW PO – NH1200/1500	scanPO.htm
PO 10120H5 (송장 요청)	PO 10120H5구매 주문 .htm
RE: PFI PO 4899	scan001.htm
Re: PO 1015 (송장 요청)	구매 주문PO 1015.htm
PO#M013123-LTR1	PO#M013123-LTR1.xls.htm
CONFIRMATION RECEIPT	Payment. Copy.html
Invoice – INV-00546	INV-00546.shtml
You have received a direct deposit alert!	83739832283382923893HHDJHSD83387HDSSDSH.xhtml
Your parcel has arrived urgent pick up needed today.	parceldelivery.html
Your parcel has arrived urgent pick up needed today.	AWB #8347630147.htm
Request for Quotation of : Ammunition Vehicle and Howitzer with Standard Tools and Accessories	Ammunition Vehicle and Howitzer.html
New Order POH12-FA2306133	PO H12-FA2306133.html
견적요청_**테크_20230223	[G0170-PF3F-23-0223].html
Fwd: Fw: Fw: inquiry	New—inquiry.html
Request for quotation	New Order.html
Payment Confirmation.	USD 63,530.50.pdf

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목	첨부파일
Re: Re: RE: anniversary	KYC_HN70(Feb15).one
Re[4]: sexy pics	greatimg.gif.scr
RE: New Order OZM PO#10391, PO#10392-6	New Order OZM PO#10391, PO#10392-6.rar
RFQ – Automotive Industry – 5 special drawing Item – SOP: 2023-2030 –	RFQ – Automotive Industry.arj
Statement 000116057 TORKY SUPPLIES OFFICE	Statement 000116057 TORKY SUPPLIES OFFICE pdf.zip
Request	PV285.img
cool photo imortant	privatephotos.scr
saipan star/CTM USD50000	USD50000.docx
Wire transfer receiot	Receipt.doc
RE : PO FOR NEW ORDER ##2029 AND #5811	order_2023.pdf.GZ
Re[5]: super smart photo very important	wild__images.pif
RFQ _Draft 08/03/032023	mSDPG5zv9nN0nP9.zip
ST51093Y1	ST51093Y10.ISO
Re: Inquiry	Quote_3500001233.img
AW: PO-000001306	PO-000001306.r09
New Order	NEW PO-4500123380_03062023.zip
PO NO.PO03238012,	PO NO.PO03238012,.rar
Order-Dated 03-01-2023	Enquiry2314.xls
DHL Notification	DHL Notification_pdf.rar
50% Remittance Advise	Remittance_Advise.xls
Re: RFQ # GC-20230203	RFQ # GC-20230203L.r09
Revised Ghani Value Glass new order – SG Industries 100/24150###	PI WIith Size is 6×5.xls
Fwd: Payment Release (GBS LOGISTICS)	UPDATED SOA [REF CF005451] 2223.xls
RE: Reminder For Due Payment	Payment Advice 232-52126620A.xls
Quotation is Requested	petronas 1.rar
LEGAL ACTION ON YOUR COMPANY FOR LONG OVERDUE INVOICE	Overdue.img
Informe de pago	pago de la ..factura 11-369013.PDF.img
Ref:103XXXXX Shipment of Original Documents.	DHL SHIPMENT NOTIFICATION.r09
super wonderful photos just for you	sex_action.jpg.scr
Your DHL Parcel Has Arrived	DHL.zip
YOUR EMPLOYMENT STATUS	SALARY RECEIPT.img
QUOTATION	6857b4c0-c3c7-11ed-961c-44a842253043.zip
Re:	HT1257299241547541310_202303081211.zip
MIME-Version: 1.0	266384963218743472978941034.zip
Supply of 3DC Project Marterials	3DC Project Marterials.rar
Re[4]: super beautiful photo	bestscene.exe
FW: documentos solicitados	Documentos66548864.pdf.img
Eccentric Plug valve Technical DataSheet	Technical DataSheet.pdf.iso
RE: NUEVA ORDEN DE COMPRA 004799	ORDEN 004799 ROQUE.IMG
beautiful picture	thepctrs.exe
smart pictures	thephotos.gif.scr

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.

주의 키워드: ‘PO(Purchase Order)’

이번 주의 키워드는 ‘PO(Purchase Order)’이다. 일반적으로 외국 기업과 거래 시 구매 목록과 수량이 적힌 주문서를 보내는데 이를 PO라 부르며, PO는 거래 관리를 위해 대부분 번호가 부여된다. 공격자는 거래 업체로 사칭하여 가짜 PO 번호와 함께 가짜 페이지(HTML) 파일을 첨부하였으며, 이는 PDF 로그인 페이지로 위장한 것으로 사용자의 계정 정보를 요구하였다. 피싱 페이지는 사용자의 ID/PW 입력 받으며 ID/PW 입력 창 뒤 배경에는 주문서로 추정되는 흐릿한 사진이 있지만, 사용자가 ID/PW를 입력할 경우 해당 정보가 공격자 서버로 유출되기 때문에 계정을 입력하지 않도록 주의해야 한다.

공격자 서버 : hxxps[:]//experiaevents[.]in/italianpay/next.php

참고로 위의 서버를 사용하는 피싱 메일은 여러 사용자에 유포된 것으로 보고 있으며, 3월 8일부터 3월 17일인 지금까지 해당 서버에 접속한 이력이 200건을 넘은 것으로 확인되었다. 이는 사용자의 정보 탈취 유무는 알 수 없지만 메일을 받은 많은 사용자가 해당 첨부 파일을 열어본 것으로 추정된다.

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

hxxps[:]//experiaevents[.]in/italianpay/next.php
hxxps[:]//formspree[.]io/f/xdovzjlo
hxxps[:]//submit-form[.]com/OIIpXOTl
hxxps[:]//daca[.]hostedwebsitesystem[.]com/vendor/phpunit/phpunit/src/Util/Log/index/index/spam/FedExpress[.]php
hxxps[:]//formspree[.]io/f/mjvdynwp
hxxps[:]//formspree[.]io/f/xwkjbjgo
hxxps[:]//formspree[.]io/f/myyakjqr
hxxp[:]//martinamilligan[.]co[.]business/ono/fdx[.]php
hxxps[:]//clinicacarlosgomes[.]med[.]br/wp-admin/kal/fte
hxxps[:]//formspree[.]io/f/mzbqgqyp
hxxps[:]//mallarg[.]tk/lp/fte[.]php
hxxps[:]//seafordrotary[.]org[.]au/Eppdff[.]php
hxxps[:]//k2-server[.]duckdns[.]org/roundbuk/pdf[.]php
hxxps[:]//cupertinochiropracticcenter[.]com/index/FedExpress[.]php
hxxps[:]//zenkoren[.]itigo[.]jp//cgi-bin/123/cloudlog[.]php
hxxps[:]//huntingfieldlodge[.]com[.]au/Aa/Excel22[.]php
hxxps[:]//formspree[.]io/f/mnqyznyy
hxxps[:]//mgffomento[.]com[.]br/wp-admin/dd/postdhll[.]php
hxxps[:]//holisticfacades[.]com[.]ng/wp-includes/aa/feed[.]php
hxxps[:]//dissertational-spee[.]000webhostapp[.]com/wp-admin/purchase/pdf[.]php

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.