피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 59%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 23%)이다. 그 다음으로 많은 위협 유형은 웜 (Worm, 7%)이다. 웜 악성코드는 전파기능을 포함하는 악성코드의 분류로 SMTP 프로토콜을 사용하여 대량 메일을 발송하는 등 여러 방식으로 악성코드 전파를 수행한다. 이 외에 정보 탈취 악성코드(Infostealer, 6%), 트로이목마(Trojan, 4%) , 취약점(Exploit, 2%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, R09, RAR등 다양한 압축파일 및 IMG 디스크 이미지 파일, PDF 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 03월 19일부터 03월 25일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| [**은행 거래통지]_당발송금-국내자금이체 전문통지 | 보안메일.html |
| [페덱스] 수입면장 안내 | AWB#.HTML |
| FW: 견적 요청 PO #1192-ID_HYU-23 (프로젝트) | 견적 요청 Scan_PO #1192-ID_HYU-23.htm |
| [DHL] 수입세금 납부마감 안내 – (INV and AWB) ✈ | ParcelDocumentDHL.html |
| FedEx 발송물 도착 알림 | AWB#989345874598.html |
| DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | Doc#447805.htm |
| Quotation & Sample | Quotation Sample designs.pdf |
| FedEx Shipment Arrival Notification | FedEx Shippingdocs.htm |
| NEW ORDER on 3/23/2023 9:31:33 a.m. | ORDER_LST .html |
| UPS Ship Notification, Paperwork is Attached | UPS Shipment Paperworks ********@*********.co.kr.HTM |
| *******@ |
e-Signed_Doc_____________*******@*********.co.kr.htm |
| New DHL Shipment Document Arrival Notice / Shipping Documents / | TruefriendStatement.HTM… |
| Original BL, Invoice & Packing List. | (DHL) Original BL, PL, CI Copies.htm |
| Your parcel has arrived urgent pick up needed today | Shipping_Doc.htm |
| FedEx Ship Paperworks for Antstudio | e-Secure_FedEx03818420230315112447.html |
| RE: INVOICE PAYMENT ADVICE $77,823.44 USD INVOICE REMITTANCE COPY | invoice payment remittance copy.htm |
| **@ |
e-Signed_Doc_____________**@*********.co.kr.htm |
| RE: PO.14036987,14038068 shipping documents and payment via DHL (083AB单) | payment_doc & shipment#7221HKT.htm |
| ********@ |
e-Signed_Doc_____________********@*********.co.kr.htm |
| Re: Fw:Inquiry for 2023 New Products Prices | prices.zip |
| RE: New Invoice Order Payment | NewInvoiceOrderStatement.html |
| NEW ORDER- OC#8081013559 PO#3495-1022 | New order sign invoice for payment.htm |
| There is an important encrypted corporate email you need to read | Securedoc_82396476.html |
| Shipment Booking Confirmation – BL Draft is Ready for Review | Draft Bill of Lading – SHSYD4096642.htm |
| New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.html |
| You have received an essential encrypted company email | Securedoc_05741605.html |
| An important encrypted corporate email has been sent to you | Securedoc_28422847.html |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| [DHL] 수입신고수리내역서(수리전납부) – 7759303436 | Tax Notification – 7759303436.z |
| Statement of Account from Partners attached | Statement of Account from Partners.rar |
| RE: NEW PRODUCT ORDER | Order Quantity.xls |
| Order Enquiry 202300221 | Order Enquiry 202300221.zip |
| New Customer Order | ORDER101-PDF.tar |
| World Surfaris Remittance | balance$405,000.34-pdf.gz |
| New Booking,/payment | INVOICE.xz |
| RE: Re: [subject line info removed] | report 1219844918.one |
| Re: Confirmation transfer AGS # 22-0035 | Confirmation Transfer MT103_Pdf.7z |
| Re[5]: nice picture only for you | best__plp.jpg.exe |
| Re: Fw:Inquiry for 2023 New Products Prices | New 2023 prices list.zip |
| smart pics | superphotos.gif.exe |
| Re: Wire confirmation details | TT copy.xls |
| PO# 17711 | PO_Q0149-REV1-2023.xls |
| Your Transport Plan has Changed – Maersk | Transport Plan.img |
| very wonderful pics PRIVATE | super-plp.pif |
| sexy photo private | superphotos.scr |
| New PO#4501250499 P/N R505567 | PO#4501250499 .xls |
| beautiful pictures | myimg.gif.scr |
| RE: Re: [subject line information removed] | list-896881.zip |
| Re: very wonderful pictures don’t show | great-img.jpg.exe |
| Re[5]: very cool images don’t show | privact.gif.exe |
| Re[3]: very smart images PRIVATE | wild_action.gif.exe |
| very wonderful photos don’t show | sex_pic.jpg.scr |
| FW:Payment Overdue Invoices | Swift30405830330.arj |
| wonderful picture just for you | coolplp.gif.scr |
| Re: very cool pictures only for you | great_scene.jpg.pif |
| sexy pictures | superimages.gif.scr |
| Re[3]: cool pics | fuck__photos.jpg.scr |
| RE: WO NO 23085//EGYTVR GROUP LTD | REVISED EGYTVR GROUP LTD.r00 |
| Re: Re: Happy new year! | List_1603.one |
| Fw: Re: [subject line information removed] | Scan_247.one |
| very nice photo | the-action.gif.pif |
| nice photo | myimages.gif.pif |
| Daily Statement – Payment Report | Daily Statement.xz |
| sexy photo | coolpic.scr |
| Re[5]: sexy photos | greatphotos.exe |
| Re[5]: very wonderful images PRIVATE | privimages.gif.pif |
| Advanced payment for invoice 060296 | proof of payment 20th March.r09 |
| super beautiful pictures | sex_pic.exe |
| Re[4]: very nice pics only for you | wild-images.jpg.scr |
| Re[5]: very wonderful picture only for you | fuck-images.exe |
| INVOICE ITALY SHIPMENT PICK UP—-771001413904 | INVOICE 771001413904.xz |
| Payment Advice – Ref: [HSBC41057723] / RFQ Priority Payment / Customer Ref: [PI7800152T9] | Payment Advice – Ref [HSBC41057723]PDF.7Z |
| RE: New Order | New Order.r09 |
| REMITTANCE TT COPY $23,150.00_20230320.pdf | REMITTANCE TT COPY $23,150.00_20230320.pdf.gz |
주의 키워드: ‘거래통지’
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//outmoded-leaks[.]000webhostapp[.]com/fte[.]php
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//formspree[.]io/f/xgebzovk
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//app[.]padhaaku[.]co[.]in/bda/aim/fte[.]php
- http[:]//ns2[.]wrsc[.]org/sites/all/libraries/elfinder/files/index/kugo/FedExpress[.]php
- https[:]//escolagirassol[.]com[.]br/dd/ddhl[.]php
- https[:]//alemadistones[.]com/secure/Citizen/Exo/css/FX/cloudlog[.]php
- https[:]//eagleconstructiontn[.]com/321[.]php
- https[:]//formspree[.]io/f/xbjeaypw
- https[:]//belwooddoors[.]by/21/jotform[.]php
- https[:]//veterantechnologysolution[.]com/media/dhl/fte[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계