ASEC 주간 피싱 이메일 위협 트렌드 (20230312 ~ 20230318)

AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 03월 12일부터 03월 18일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 66%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의  화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 10%)이다. 그 다음으로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 7%)와 트로이목마(Trojan, 7%) 이다. Trojan은 닷넷 패커 유형이 가장 많으며 이는 과거 ‘최신 닷넷 패커의 종류 및 국내 유포 동향‘에서 Type 3 ‘VariantCrypter’로 소개된 유형이다. 이 외에 웜(Worm, 6%), 취약점(Exploit, 4%) 등이 확인되었다.  피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R09, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다. 금주 특이사항으로는 VHDX 형태의 확장자가 새롭게 접수되었다.

유포 사례

2023년 03월 12일부터 03월 18일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

 

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목 첨부파일
New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List (DHL) Original BL, PL, CI Copies.htm
FedEx 발송물 도착 알림 AWB#989345874598.html
Hyundai: 견적 요청/ PO #10487X6 견적 요청 PO #10487X65.htm
FedEx Shipment Notice of arrival OFFICE #.html
NEW FAX 13 Mar 2023 견적 요청 Scan_PO #1192-ID_HYU-23.htm
Re: 견적 요청 PO #1192-ID_HYU-23 (프로젝트 ) ***.com_SI0284627_pdf.shtml
Kindly Check Company Bank Information Shipping_Doc.html
✈ [페덱스 814709668979] 패키지가 도착했습니다 FedExParcelShipment.html
Signed Documents Doc_____________j****e@a***d*.co.kr.HTM
ENC: RES: ENC: APARELHO COM DEFEITO_PROBLEMAS COM REPARO/SOLU Quis.html
EFT Payment sent On: Monday, March 13, 2023 3:57 p.m. ruizhen02 Voucher.shtml
PO 10120H5 (송장 요청) PO 10120H5구매 주문 .htm
New Order- Medical Oem Ref#: 20-1939A – I-SENS Purchase Order RFQ List.pdf
Re: PO NO. PO-O3465-0001 // ORDER INV-O34652726-PI PO269007-SPL ORDER.pdf.htm
Pickup Confirmation Wednesday, March 15, 2023 5:2 a.m.. Swift_confirmation_copy.PDF.shtml
PO#2388 PO#2388___PDF.html
Re: PO 1015_INV (송장 요청) 송장 요청PO 1015_INV.htm
견적 요청 PO 230310-21A.htm
Truefriend You’ve received EFT For INV7098590870. Thu 3/16/23 ATT5098090870908.htm
Please_find_attached_Aging_Reports_for_Truefriend_arrive_on_March_15_2023_at_A11 TruefriendStatement.HTM
EFT Payment sent On: Monday, March 13, 2023 4:51 p.m. entec Voucher.shtml
Debt Recovery: Legal Action For Unpaid Invoices. Debt_Recovery_Suit_&_Invoices_2022_2023.hTm
Fwd: New Quote needed for the attached document Quote Project-#2 *******@t*******d.com PDF.html
Your parcel has arrived urgent pick up needed today. copy.AWB #0675854897.htm
New Order- Ref#: 20-1939A – I-Sens Purchase Order_PDF.html
R.F.Q_PURCHASE-ORDER PURCHASE ORDER.html
계정 정지 Update Account.html
✈ [DHL#003791-748294] 패키지가 도착했습니다 DHLParcelShipment.html
Re:FedEx Logistic收到货件通知 Invoice. AWB#84248_pdf.htm
(INV and AWB/PACKING LIST) Your DHL Parcel Has Arrived ✈ ParcelDocumentDHL.html

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목 첨부파일
[DHL] 수입신고수리내역서(수리전납부) – 7759303436 Dates Schedules.gz
RE: NEW PRODUCT ORDER Order Quantity.xls
Re: RETURNED PAYMENT TT INTERMEDIARY DETAILS (Ref 0180066743) remittance Invoice.xls
nice pics privateimages.gif.exe
very cool pictures super-phot.exe
Request Quotation for RQ-P0953. Request Quotation.docx
Tender Ref. No. (NPBF-TID-013-23) No. (NPBF-TID-013-23).z
Fwd: FE-SGNJEA230254 // 1×40’HC // ETD: 29-Mar // PO: WSF/NTI//020323/1001 1×40’HC Shipping Doc 4253.rar
Payment (URGENT BANK ACCOUNT) INVOICE_VM220200200208.r09
Re: Invoice For Shipment AD1-2001028L.z
smart pictures just for you sexphot.jpg.exe
Re[5]: very wonderful photo prvphotos.jpg.scr
New Buyer’s Inquiry – Please send me FOB price Order.r17
RE: Invoice & Packing list For Sea Shipment Invoice & Packing list.r00
RE: WO NO 23085//EGYTVR GROUP LTD WO NO 23085EGYTVR GROUP LTD.r00
Re[4]: super nice photos very important great__scene.gif.exe
Fw: PAYMENT COPY 20230313_TRF8012561011_Swift Message.gz
Re: very nice pics imortant fuck-plp.pif
RE: PO SAL 003120 JK OUTSTANDING PAYMENT.zip
Inquiry Quote FCCL-1000000044.img
Re: Quotation E700 quotation20111309.r09
smart photo very important privateact.gif.pif
super beautiful photo private-img.scr
super sexy pics my_img.jpg.scr
RFQ PO #3052023 (FLOWQUIP PTE LTD) RFQ PO #3052023 (FLOWQUIP PTE LTD) PDF.7Z
Re[5]: very wonderful photo very important wild-img.gif.scr
sexy pictures privatepic.exe
New_Order#SQ031776 New_Order SQ031776.pdf.7Z
Your invoice and full remittance Esiknm.img
FW: Technical Data 3578490.zip
RFQ QUOTATION #inq25253 Order INQ09637 Quotation pdf.gz
RE: Contract 2023-0006 Contract 2023-0006.r00
cool photo coolscene.scr
ORDER CONFIRMATION PO-03QH.xls
Re: Fwd: Payment Advice Payment Advice Copy.eml.zip
Re[5]: super nice photos PRIVATE prv-img.gif.exe
Re[3]: smart photo wildpic.gif.exe
super beautiful pics only for you my__plp.gif.exe
Request For Quotation QUOTATION.zip
Fwd: FE-SGNJEA230254 // 1×40’HC // ETD: 30-Mar // PO: WSF/NTI//020323/1001 1×40’HC Shipping Doc-4253.rar
PO_0108670 PO_0108670.gz
Your February Electricity Bill Feb Electricity Bill.rar
beautiful picture privateimages.jpg.exe
RE: Outstanding balance SOA.xls
Shipment Documents docs.xls
RFQ PSU-PQRN-23-00004 Supply at Port Suwaiq.zip
Re[5]: very wonderful pics fuckscene.exe
Payment Advice Payment.7z
very cool pics cool-act.jpg.scr
Re[5]: very wonderful picture very important great__phot.exe
cool pics theimgs.pif
Re[2]: super wonderful images imortant great-action.jpg.exe
Employment Status And Salary Advance.. Employment Status And Salary Advance…img
New PO/ Invoice #-010-240 PO #010-240 .xls
RE: INCORRECT IBAN-PLEASE CHECK INVOICE.zip
Re[2]: beautiful pictures wildphot.jpg.pif
super beautiful pictures private__pctrs.gif.scr
СРОЧНО: Факс №9546/2с Факс №95462с.vhdx
RE: SU23 SEA SHIPMENT SCANNED COPIES DOC.001
RE: LONG OVER DUE BANK SWIFT.xls
beautiful pics sexscene.gif.exe
sexy photo privateact.jpg.pif
Incoming Shipment Notification DHLAWB#6833799799.docx
ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.
 

주의 키워드: ‘수입신고수리내역서   

이번 주의 키워드는 ‘수입신고수리내역서’이다. 금주 한글 제목(‘수입신고수리내역서’)가 다량으로 유포됨이 확인되었다. 해당 이메일 내부에는 VBS 악성 파일이 첨부되어 있으며, 실행시 powershell.exe 를 통해 Guloader 악성코드가 실행 된다 Guloader 악성코드는 다운로더(Downloader)류의 악성코드로 추가 악성코드 다운로드 행위를 수행한다. 사용자는 이메일의 첨부 파일 열람 시 특이한 확장자 여부와, 어눌하게 번역된 듯한 한국어인지 주의깊게 살펴보는 주의가 필요하다.

 

[그림] ‘수입신고수리내역서’ 제목으로 다량 유포된 이메일

[그림] 첨부된 압축파일 내부의 vbs 악성코드(Guloader)

  • [그림] 첨부된 VBS(Tax Notification-7759303436.vbs) 코드 일부

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

  • https[:]//formspree[.]io/f/xdovzjlo
  • https[:]//submit-form[.]com/OIIpXOTl
  • https[:]//daca[.]hostedwebsitesystem[.]com/vendor/phpunit/phpunit/src/Util/Log/index/index/spam/FedExpress[.]php
  • https[:]//formspree[.]io/f/mjvdynwp
  • https[:]//formspree[.]io/f/xwkjbjgo
  • https[:]//formspree[.]io/f/myyakjqr
  • http[:]//martinamilligan[.]co[.]business/ono/fdx[.]php
  • https[:]//clinicacarlosgomes[.]med[.]br/wp-admin/kal/fte(1)[.]php
  • https[:]//formspree[.]io/f/mzbqgqyp
  • https[:]//mallarg[.]tk/lp/fte[.]php
  • https[:]//seafordrotary[.]org[.]au/Eppdff[.]php
  • https[:]//k2-server[.]duckdns[.]org/roundbuk/pdf[.]php
  • https[:]//cupertinochiropracticcenter[.]com/index/FedExpress[.]php
  • https[:]//zenkoren[.]itigo[.]jp//cgi-bin/123/cloudlog[.]php
  • https[:]//huntingfieldlodge[.]com[.]au/Aa/Excel22[.]php
  • https[:]//formspree[.]io/f/mnqyznyy
  • https[:]//mgffomento[.]com[.]br/wp-admin/dd/postdhll[.]php
  • https[:]//holisticfacades[.]com[.]ng/wp-includes/aa/feed[.]php
  • https[:]//dissertational-spee[.]000webhostapp[.]com/wp-admin/purchase/pdf[.]php

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.

    • 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
    • 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
    • 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
    • 안티바이러스를 비롯한 보안 제품을 이용한다.

피싱 이메일 공격은 MITRE ATT&CK 프레임워크에서 다음 Techniques에 해당한다.

    • Phishing for Information(Reconnaissance, ID: T1598[1])
    • Phishing(Initial Access, ID: TI1566[2])
    • Internal Spearphishing(Lateral Movement, ID:T1534[3])

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.

0 0 votes
별점 주기
Subscribe
Notify of
guest

0 댓글
Inline Feedbacks
View all comments