피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 47%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 18%)이다. 그 다음으로 많은 위협 유형은 웜(Worm, 15%)였으며, 그 다음에 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 10%)이다. 이 외에 트로이 목마(Trojan, 5%), 드로퍼(Dropper, 5%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 04월 02일부터 04월 08일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
이메일 제목 | 첨부파일 |
RE: [****] ** 1,2호기 EDM 자문 관련 APCFS 학회 포스터 발표자료 | NM.pdf |
귀하의 이메일에 대한 액세스가 제한됩니다 확인 실패 | fi***ce@*********.co.kr Update-2023.htm |
RE: **** 7,8호기 탈질설비 성능개선 견적요청 | MI.pdf |
회신: [****] 탈황설비 파이프랙 ***사 배관 Inform. 송부 및 반영 요청 건 | IR.pdf |
FWD: [DHL] 수입세금 납부마감 안내 – (INV and AWB) | Original Shipping Doc#GM53726192.pdf.htm |
네** 쿠* 모든 키워드 올려드립니다 | KTX.pdf |
FW: 발주서 첨부. | PO20230403.html |
[외부]FW: [******] 제휴서비스 신청 고객 이벤트 검토 요청 | RA.pdf |
사용자 이메일 연결 해제 | ********.****@*********.co.kr Update-2023.htm |
FW: 2019년 1월 보안의 날 컨텐츠 공유 | UT.pdf |
[외부]FW: [**] 경력증명서&징계확인서 발급요청(***) | EN.pdf |
RE: RE: RE: RE: ****) ** 1, 2호기 EDM 자문 관련 표면 SEM 측정 사진 | CT.pdf |
SRPI Project 견적 요청 | Specfication for SRPI Project.htm |
Quotation QUO91019 | Quote.html |
AIR WAY BILL – INVOICE AND PACKING LIST | AWB#.SHTML |
New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.htm |
DHL Express | DHLSHIPPINGDOCS.htm |
FedEx Shipment 811470484778: Parcel Scheduled For Delivery | Shipping Document.html |
R: New offer request | scan001.htm |
A Recent Charge on your Card was Unsuccessful | Account_Security _Message.htm |
New DHL Shipment Document Arrival Notice: Shipping Documents, Original BL, Invoice & Packing List. | Tracking.html |
THIS PURCHASE ORDER IS VRY URGENTLY NEEDED AND (TREAT IMPORTANT) | important#order.html |
ACH Payment sent On: Monday, April 3, 2023 12:51 p.m. | Swift_Payment_Confirmation.pdf.shtml |
Financial Statement /acc****ing@a*********.co.kr | Financial Statement.shtml |
【132nd Canton Fair】 | b****gu@*****.**.kr.htm |
New Order | PO54324567.htm |
PO#28124758 | 28124758.htm |
***@*********.co.kr sent you files via WeTransfer | WeTransfer files_*****ne@*********.co.kr.Htm |
Re: ******.park You Have 1 New Shared Document | Truefriend_PAYMENT_CONTRACT.pdf |
ACH Payment sent On:Thursday, April 6, 2023 1:43:27 PM | h***m@*********.com Voutcher.shtml |
RE: IBK SWIFT PAYMENT COPY | IBKPaymentSwiftApproval.html |
Purchase Order PO-3242 from VP Group Limited for sjlee | PO-3242.html |
ACH Payment sent On:Thursday, April 6, 2023 3:20:47 PM | s***m@*********.com Voutcher.shtml |
Re:Re:Re: Quotation order | New_Order Inquiry.Htm |
Re : invoice for MARCH 2023 | REVISED INVOICE.shtml |
Payment Transaction Notification : Success | optical PAYMENT ADVICE-US$ 168,573.htm |
COMMERCIAL OFFER | COMMERCIAL OFFER.html |
Your grant donation – {Mrs Jacquelline Fuller} | Donation Application.docx |
사례: 악성코드 (Infostealer, Downloader 등)
이메일 제목 | 첨부파일 |
미결제 계좌 명세서 열기 | 계좌 명세서 열기.PDF.jar |
Attachment | NEW ENQUIRY-pdf.gz |
Re: Re: Return invoice for Payment | Return invoice.rar |
Pedido | Pedido040323.rar |
[DHL] 수입신고수리내역서(수리전납부) – 7759303436 | [DHL] 7759303436.rar |
Your Shipment has Arrived Tracking Number! | Protected Copy Doc 099876858.rar |
PO#40823-LiDe Industry Group Co Limited | PO#40823.rar |
Request for quotation – lpr no. 8661 | RDA 8661 SEBASTIANO.rar |
RE: RFQ-08-057-SAFETY SHOWER UNIT WITH COOLING SYSTEM | RFQ-08-057.rar |
NEW ORDER PO # IF23029361209 | PO # IF23029361209.rar |
RE: COSTCO Purchase Order #180222/CT24 & #160222/CT71 | COSTCO Purchase Order.rar |
PURCHASE ORDER 163403 | Drawings.gz |
Re: Fw: Payment for Outstanding Invoice | INV19384783.html |
Fw: PAYMENTS | 20230406161956432901.zip |
World Surfaris Remittance | balance$600,000.65-pdf.gz |
Product Enquiry | SKM51092BY210.IMG |
PO NO. 42236592 | PO#NO42236592000010.pdf.ARJ |
WE WISH TO BUY THESE PRODUCTS | Product Listed.exe |
SOA MARCH 2023 | SOA.xls |
PAGO | JUSTIFICANTE DE PAGO.rar |
Request from Octopus Asia Pacific | SKMB710925U10.xz |
SumiP Machine equipment Inquiry | SUMIP MACHINE EQUIPMENT INQURIY.rar |
Re[3]: super smart pics private | best_img.jpg.scr |
Order List | Order-List.iso |
Re: Document PO4377J7P | Document 54737.7z |
Fwd: Re: Advanced Payment Confirmation | Advanced Payment – Ref_001299384596OBR11522.gz |
KCI – Statement of Account – 30th march 2023 | statement for HADCO S.A.O.C.exe |
Purchase Order PO GEC/PO/18667 for EHAF – KSA supply Project | PDF1567256210241910840.r01 |
Deposit made to your account | Deposit slip.exe |
FW:New PO#SPL036570 + RFQ036647 | New PO#SPL036570.pdf.GZ |
Technical Datasheet | Technical_ Datasheet.7z |
Re: Price Qoutation Request | RFQ 2008817838749.PDF.Z |
Request for Quote | Request for Quote.PDF.7z |
Payment Advice – Ref: [HSBC41057723] / RFQ Priority Payment | Payment Advice – Ref HSBC41057723 PDF.7Z |
RE: Surat Pesanan – RFQ | PT.GLOBAL.PDF.rar |
YOUR EMPLOYMENT STATUS | DETAILS AND INVOICES 4.rar |
Payment receipt status | Payment_swift 20289820.pdf.gz |
DHL AWB – Invoice & Shipping Documents | DHL AWB – Invoice & Shipping Documents.gz |
sales contract-876 & New-Order | Executiveship PO 06042023.arj |
Re:Top Urgent ORDER | New Order-3790028747.img |
Angebotsanfrage | PO095657.zip |
Re[5]: super wonderful images PRIVATE | best-phot.gif.scr |
beautiful pictures | superimg.gif.scr |
Re[5]: very cool pics | wildpic.gif.pif |
Re[4]: super nice images don’t show | great_imgs.gif.exe |
very wonderful photos only for you | private-pctrs.jpg.scr |
Re[2]: very cool pics | greataction.gif.exe |
sexy photos PRIVATE | privatepic.jpg.scr |
super sexy pics PRIVATE | my-act.jpg.scr |
Re[5]: very nice pictures very important | best_images.jpg.scr |
Re[3]: smart photo FOR YOU ONLY | prv-pic.scr |
super beautiful photo PRIVATE | my-images.jpg.pif |
nice photos private | sexpctrs.pif |
very nice photo | sex__phot.jpg.pif |
nice pics | privatephot.gif.exe |
Re[2]: nice picture imortant | great_images.exe |
smart pictures | sexscene.exe |
Re: super cool pics | great_act.jpg.pif |
very cool picture PRIVATE | the_phot.gif.scr |
wonderful photo | mypctrs.jpg.pif |
sexy images | sexpic.jpg.pif |
Re[3]: beautiful photo just for you | best__pctrs.gif.pif |
very cool pics don’t show | the-plp.gif.exe |
Re[2]: smart pictures | privphotos.jpg.scr |
Re: smart pics | prvimgs.jpg.scr |
sexy pics | myscene.pif |
smart images | sexscene.scr |
Re: very cool photos FOR YOU ONLY | great-img.scr |
sexy pictures private | sexpctrs.exe |
Re: cool picture imortant | prv__img.gif.scr |
Re[4]: sexy images | privaction.exe |
Re[2]: super smart pictures | fuckpctrs.jpg.scr |
Re: super nice images only for you | great-pic.pif |
Re: very nice photo | fuckphotos.gif.exe |
beautiful pictures very important | sexaction.exe |
주의 키워드: ‘PDF’
- 피싱 주소 : https[:]//rosatifragrances.co[.]zw/ei/ei.php



가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- http[:]//demo[.]double-eleven[.]hk/wordpress/wp-content/plugins/6f7ecdf697634e1181a754ea4ca0913f/y/mm/mmd/index/fedex/FedExpress[.]php
- https[:]//newtrp[.]com/gbooonus/processor[.]php
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//cranecenter[.]ru/Xx/cloudlog[.]php
- https[:]//www[.]btdpipe1ine[.]com/oc/fdpxoGur23f[.]php
- http[:]//www[.]znbs[.]co[.]zm/Uploads/Document/DHL/log[.]php
- https[:]//formbold[.]com/s/91wBz
- https[:]//chuyenphat[.]nascoexpress[.]com/wp-includes/noshaking/peeking[.]php
- https[:]//instelator-center[.]co[.]il/isso[.]checkerz[.]php
- http[:]//chikashikakehi[.]sakura[.]ne[.]jp/file/slot-gacor-maxwin/welcome[.]php
- http[:]//mail[.]alicevik[.]com[.]tr//makechina/lognet1[.]php
- https[:]//kazan-oil[.]ru/fidders/msms/vmxll[.]php
- https[:]//jaslyimpex[.]com/catalog/44/A/Excel[.]php
- https[:]//www[.]palazzocalo[.]com/cxHiEtx/Exc/Excell[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])

Categories:위협 통계