피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 59%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 22%)이다. 그 다음으로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 7%)이다. 이 외에 인포스틸러 행위 및 추가 악성코드를 다운로드하는 백도어 악성코드(Backdoor, 4%), 웜 (Worm, 4%) , 트로이목마(Trojan, 3%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTML, HTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, 7Z, GZ등 다양한 압축파일 및 IMG 디스크 이미지 파일, DOCX 문서 파일 등을 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 03월 26일부터 04월 01일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| [DHL Express] 수입세금 납부마감 안내 – (INV and AWB) ✈ | ParcelDocumentDHL.htm |
| 견적서입니다(Order) | 주사_24_153_IBXX 2307_54210_프로젝트 순서.htm |
| [페덱스] 수입면장 안내. | AWB#.SHTML |
| FedEx 고객번호 활성화 요청의 건 | AWB#989345874598.html |
| [**공업사] 견적의뢰의 건 | ***** Industrial 새로운 주문 2023-03-24.html |
| DHL AWB 배송 공지 #0861542 | Original Shipping Doc#GM53726192.pdf.htm |
| RE: Re: 신규 주문 가격 (카다록 수정) | 2023LEDprice.html |
| 계정 정지 (마지막 경고) | Update Account.html |
| 모든 수신 메일이 보류되었습니다. | ********.com.html |
| You have received an essential encrypted company email | message_790311_832743609.htm |
| FedEx Shipment Arrival Notification | FedEx Shippingdocs.htm |
| Inquiry | Inquiry.htm |
| Attention: Service Suspension (Action Required for ******.co.kr) | Deposit_payment_confirmation.pdf |
| Shipment Booking Confirmation – BL Draft is Ready for Review… | Doc_20230327-3938.pdf.html |
| Your parcel has arrived urgent pick up needed today. | AWB #8347630147.html |
| [SEC=OFFICIAL:Sensitive, ACCESS=Personal Data-Privacy] | Personal Data-Privacy-SecureMessageAtt.html |
| There is an important encrypted corporate email you need to read | message_982155_128090224.htm |
| Doc signed : Quote Agreement 16 Mar 2023 | Quotation-No#0381.shtml |
| Re: Re: [subject line information removed] | W-9 Dt 03.22.2023.one |
| New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.htm |
| Payment Copy | Payment Copy.gz |
| FW:Re:Re: Payment Advice. | Proforma Invoice.html |
| RE: Re: [subject line information removed] | form 03.22.2023 Gmail.one |
| You have received an essential encrypted company email | message_033902_557044732.htm |
| MAERSK LINE SHIPPING DOC SOUNDWORLD ENTERPRISE CO.,LTD | Shipping_Doc.html |
| An important encrypted corporate email has been sent to you | SecureMessage.zip |
| Pending invoice 10026870-1 | scan_10026870-1.htm |
| Original invoice customs clearance notification. | Original-invoice & PList_admins.htm |
| EFT Payment-Invoice 0000315: Completed_ Please Review and Sign | Settlement-Payment-On-Hold.pdf |
| Your parcel has arrived urgent pick up needed today | Shipping_Doc.htm |
| [DHL] Arrival Notice – Original Shipping Document – 2327821366 | scan_document.html |
| FW: RE: WIRE INSTRUCTION | Scan_Wire Instruction.PDF.shtml |
| Pickup Confirmation Wednesday, March 15, 2023 8:6 a.m.. | Swift_confirmation_copy.PDF.shtml |
| RFQ- 1309445 | QUOTATION.pdf |
| Attached is the remittance advice payment | 02112022093630.pdf.html |
| new order(#0034) request | Invoice.html |
| DHL Parcel Delivery Notification | Details.shtml |
| Express Package Delivery Notification | AWB#details.html |
| There is an important encrypted corporate email you need to read – | message_567890_498055656.htm |
| Purchase Order PB2ED146HB2M-047 | Purchase Order PB2ED146HB2M-047.html |
| op****@ |
e-Signed_Doc_____________op****@*********.co.kr.html |
| An important encrypted corporate email has been sent to you | FAX_MAIL.zip |
| EFT Payment sent On: Wednesday, March 22, 2023 2:53 a.m. | pjhh PaymentVocher.shtml |
| Due_lnvoice__countec.comFriday, March 24, 2023 | Inv® #PT947234.htm |
| SF Express | WaybillDoc_8945655902.html |
| Greeting!!! | GAAS-RFQ#2022061602-KD-Ref.pdf |
| maito_op****@ |
e-Signed_Doc_____________maito_op****@ |
| Statement of Account | *****.com_SOA00424322332_xls.shtml |
| Fw: Re: [subject line info removed] | Electronic form 03.22.2023.one |
| An important encrypted corporate email has been sent to you – | message_381082_213244471.htm |
| You have received an essential encrypted company email | message_924733_817031910.htm |
| Re: FW: [spoofed sender name] | doc_0322.one |
| Payment invoice Bank Transfer | Invoice#91273.pdf |
| Re: (Urgent Order) – PO# M01552 | PO ella RFQ #M01552-PDF.shtml |
| Re: Fw:Inquiry for 2023 New Products Prices | Old Prices.zip |
| RE: PO.14036987,14038068 shipping documents and payment via DHL (083AB单) | payment_doc & shipment#7221HKT.htm |
| Approved_New_PO0014232023 ******.co.kr | PO_00140323_Beals_Inc_ |
| < Re: New voice message from WIRELESS CALLER 15633963052 > | voicemail_03232023.htm. |
| RE: New Invoice Order Payment | NewInvoiceOrderStatement.html |
| FW: Payment | invoice sheet.html |
| Purchase Order (Sales Invoice) | PurchaseOrderSheet.html |
| RE: AMENDED INVOICES | Proforma Invoice.shtml |
| Quote us your best offer on the attach order (treat urgently) | Purchase#order.html |
| NEW ORDER- OC#8081013559 PO#3495-1022 | New order sign invoice for payment.htm |
| Approved_New_PO0014232023 ********.com | PO_00140323_Beals_Inc_ |
| Re: Proforma invoice | Swift Remittance.html |
| Approved_New_PO0014232023 |
PO_00140323_Beals_Inc_*********.com.html |
| You have received an essential encrypted company email – Remote ID | Securedoc_06593415.html |
| You have received an essential encrypted company email – Remote ID | Securedoc_39067527.html |
| Approved_New_PO0014232023 ***********.co.kr | PO_00140323_Beals_Inc_**********.co.kr.html |
| There is an important encrypted corporate email you need to read | Securedoc_93717448.html |
| You have received an essential encrypted company email | Securedoc_23992084.html |
| An important encrypted corporate email has been sent to you – | Securedoc_90978661.html |
| There is an important encrypted corporate email you need to read – | Securedoc_67152574.html |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| smart picture don’t show | myplp.exe |
| sexy photos | sexpctrs.pif |
| sexy pictures | superplp.gif.scr |
| super nice images only for you | super_pctrs.scr |
| super sexy photo only for you | sex_act.scr |
| super sexy pics don’t show | super_img.pif |
| super cool images imortant | the_imgs.scr |
| super cool picture only for you | private__plp.jpg.exe |
| very wonderful pictures | my_plp.gif.scr |
| very cool pics | cool-action.gif.exe |
| RE: RE: RE: RE: Захтев | 04352562561652.zip |
| SOA FROM SHANGHAI LEAGUE/CITI LOGISTICS (USD 16) | SOA #00776122.docx |
| 구매 주문 | 480038_944.r00 |
| Credit note for the month of March 2023- 11005605 | SOA.MARCH.iso |
| Borch request# RES_AGB_eroFame_DE_2023 Project | RES_AGB_eroFame_EN_2023.zip |
| Bussiness Inquiry | Nutribrasalimentos.zip |
| Aw: PAYMENTS | 30.03.2023_SWIFT MT 103_9078212345TRF.gz |
| Give your best price on the demands | Products Needed__________________pif.arj |
| DAMAGE GOODS/SETTLEMENT | Scan Pictures.img |
| DHL Express SHIPPING NOTIFICATION | DHL Booking.zip |
| FW: QUOTE REQUEST FOR SI-22311 II DOC- SI/MUM/2022-30/00307 II New PO# 10344 // CNEE | New PO# 10344_CNEE.docx |
| Fw: Payment Advice – Advice Ref:[A1Xbj7fJ0V7W] /credits / Customer Ref:[BATCHFEB280301] / Second Party Ref:[TRN270323015] | Advice.jpg.7z |
| Fw: RE: RFQ – Gauges and accessories | RFQ – Gauges and accessories.zip |
| Fw: RE: URGENT****Our inquiry 23/SPEC02781 | SPEC02781.zip |
| Employment Status And Salary Advance.. | Employment Status And Salary Advance…img |
| LEGAL ACTION / LONG OVERDUE INVOICE | Details Aan Invoice 2.img |
| NUEVA ORDEN DE COMPRA | PO-4101927653_APRIL 2023.gz |
| New Scanned document from Kciltd Office Printer | Scan_Docs_004521.docx |
| MV INLACO ACCORD / ETA: 25TH FEB ++ AGENT NOMINATION | DISCHG.IMG |
| Successflly Transferred settlement for outsending SOA | swift.zip |
| PO NO 0023 | PO NO 0023.zip |
| Po 106069 | PO-1060688.z |
| Payment Advice 564302 | Payment Advice 564302.docx |
| Permintaan Informasi Harga | RFQ.LM-0107PDF.rar |
| Price Inquiry – 28510837398013 | 20230331-28510837398013.rar |
| Price Quotation for P/N: 61092-10 | SKM7109Y510S.IMG |
| Price Quotation for P/N: ESP1092-10 | ESP15903YI0.IMG |
| RE: A/R Down Payment Request 10285 | Bank Slip 30% Advance Payment to enable production of the goods.zip |
| RE: FedEx Notification of Arrival – AWB# 102235516763 | FedEx Express AWB#102235516763.rar |
| RE: PRO-FORMA INVOICE NO-1820Q/2023 | PI-1820Q.xls |
| RE: Please Confirm Payment | Payment Copy USD14,000.zip |
| RE: Request For Quote – Urgent ! | MRSK0052447.IMG |
| RE: UPDATED SOA | 4970528.xls |
| RE:FedEx Notification of Arrival – AWB# 102235516763 | FedEx Receipt_1022355161763.rar |
| REVISED -Order 5879024-00/PO 4677/PO 4678 | PO feb.docx |
| RFQ-WES/510/92/810 | WES51092Y810.IMG |
| Re: Order-CHW/U2/SI/22-23/3534 | Order-CHWU2SI22-233534.xls |
| Re: super smart pics | greatpctrs.exe |
| Re:Request for Quotation | UPDATED_LIST.7z |
| Retiro | retiro-pdf.gz |
| Re[3]: wonderful images imortant | great-photos.gif.pif |
| Re[3]: super nice images only for you | wild__action.jpg.scr |
| Re[3]: very wonderful photos private | wild-plp.jpg.exe |
| Re[2]: nice photos only for you | priv__scene.jpg.scr |
| Re[2]: super smart pics just for you | fuck__images.gif.exe |
| Re[2]: very nice picture | great__img.jpg.scr |
| Re[2]: very nice picture imortant | bestimgs.scr |
| Re[4]: very wonderful photos | prv_action.exe |
| Re[5]: nice picture imortant | priv__act.exe |
| Re[5]: super cool photo | priv__action.scr |
| Re[5]: smart photo | fuckimages.pif |
| Re[5]: very nice photos | fuck__pctrs.jpg.scr |
| Rechnung, ausstehende Zahlung | RH-0987654345678.Z |
| Reference Notice | Reference Notice_pdf.rar |
| Request For Quotation | QUOTATION.zip |
| Request For Quote #182044-13 | PO.xls |
| Request for Quote | RFQ.exe |
| World Surfaris Remittance | Balance$1,234,000,45-pdf.gz |
| TOTSA – Request For Quotation | RFQ005412.IMG |
| UPDATED SOA | Overdue soa.zip |
| Urgent Order | Product Lists2.PDF.img |
| cool pics | privateaction.pif |
| beautiful photo | myscene.jpg.pif |
| enquiry_2703_023 | enquiry_2703_023.rar |
주의 키워드: ‘PDF Online’
- 피싱 주소 : https[:]//naturaverdebeauty[.]com/justld/next.php
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//formspree[.]io/f/myyazkbv
- https[:]//neduet[.]hosting[.]acm[.]org/pdf[.]php
- https[:]//submit-form[.]com/rS8vx7dD
- https[:]//razarmanagement[.]com/192[.]185[.]224[.]69/,/ue/postdhll[.]php
- http[:]//ns2[.]wrsc[.]org/sites/all/libraries/elfinder/files/index/kugo/FedExpress[.]php
- https[:]//formspree[.]io/f/xgebzovk
- http[:]//tzp[.]com[.]pk/wp-admin/fte[.]php
- https[:]//archerhall[.]com/wp-admin/Exc/Excell[.]php
- https[:]//www[.]calvellirappresentanze[.]com/wp-content/plugins/TOPXOH/index/index/1/add[.]php
- https[:]//escolagirassol[.]com[.]br/dd/ddhl[.]php
- https[:]//formspree[.]io/f/mdovedpp
- https[:]//formspree[.]io/f/moqzlyod
- https[:]//hobbyless-features[.]000webhostapp[.]com/pdf[.]php
- https[:]//gooddreams[.]co[.]in:/smhh/webapp[.]php
- https[:]//elhdlwfa2o4[.]sa[.]com/horn/log1234567[.]php
- https[:]//undebauched-hyphens[.]000webhostapp[.]com/dhlc[.]php
- https[:]//formspree[.]io/f/moqzllag
- https[:]//alemadistones[.]com/secure/Citizen/Exo/css/FX/cloudlog[.]php
- https[:]//submit-form[.]com/NhEAc2e9
- https[:]//firp[.]governo[.]ao/plauge/vmxll[.]php
- https[:]//formspree[.]io/f/mdovdokw
- https[:]//cambiamarcia[.]net/wp-includes/pdf[.]php
- https[:]//formspree[.]io/f/xnqyzrzj
- https[:]//www[.]nrwolff[.]com[.]br/wp-admin/maint/bv/mxl[.]php
- https[:]//qleapinnovations[.]com/peeking/peeking[.]php
- https[:]//archerhall[.]com/wp-admin/php/pdf[.]php
- https[:]//izmirlist[.]com//2Ae/jotform[.]php
- https[:]//naturaverdebeauty[.]com/justld/next[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계