Posted By ASEC , 2023년 4월 14일

ASEC 주간 피싱 이메일 위협 트렌드 (20230402 ~ 20230408)

AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 04월 02일부터 04월 08일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 47%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. ^{아래 <가짜 페이지 C2> 참고}두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 18%)이다. 그 다음으로 많은 위협 유형은 웜(Worm, 15%)였으며, 그 다음에 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 10%)이다. 이 외에 트로이 목마(Trojan, 5%), 드로퍼(Dropper, 5%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.

유포 사례

2023년 04월 02일부터 04월 08일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
RE: [**] 1,2호기 EDM 자문 관련 APCFS 학회 포스터 발표자료	NM.pdf
귀하의 이메일에 대한 액세스가 제한됩니다 확인 실패	fi*ce@*******.co.kr Update-2023.htm
RE: **** 7,8호기 탈질설비 성능개선 견적요청	MI.pdf
회신: [**] 탈황설비 파이프랙 *사 배관 Inform. 송부 및 반영 요청 건	IR.pdf
FWD: [DHL] 수입세금 납부마감 안내 – (INV and AWB)	Original Shipping Doc#GM53726192.pdf.htm
네** 쿠* 모든 키워드 올려드립니다	KTX.pdf
FW: 발주서 첨부.	PO20230403.html
[외부]FW: [******] 제휴서비스 신청 고객 이벤트 검토 요청	RA.pdf
사용자 이메일 연결 해제	******.@*******.co.kr Update-2023.htm
FW: 2019년 1월 보안의 날 컨텐츠 공유	UT.pdf
[외부]FW: [] 경력증명서&징계확인서 발급요청(*)	EN.pdf
RE: RE: RE: RE: **) 1, 2호기 EDM 자문 관련 표면 SEM 측정 사진	CT.pdf
SRPI Project 견적 요청	Specfication for SRPI Project.htm
Quotation QUO91019	Quote.html
AIR WAY BILL – INVOICE AND PACKING LIST	AWB#.SHTML
New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List	(DHL) Original BL, PL, CI Copies.htm
DHL Express	DHLSHIPPINGDOCS.htm
FedEx Shipment 811470484778: Parcel Scheduled For Delivery	Shipping Document.html
R: New offer request	scan001.htm
A Recent Charge on your Card was Unsuccessful	Account_Security _Message.htm
New DHL Shipment Document Arrival Notice: Shipping Documents, Original BL, Invoice & Packing List.	Tracking.html
THIS PURCHASE ORDER IS VRY URGENTLY NEEDED AND (TREAT IMPORTANT)	important#order.html
ACH Payment sent On: Monday, April 3, 2023 12:51 p.m.	Swift_Payment_Confirmation.pdf.shtml
Financial Statement /acc**ing@a*******.co.kr	Financial Statement.shtml
【132nd Canton Fair】	b**gu@*..kr.htm
New Order	PO54324567.htm
PO#28124758	28124758.htm
*@*******.co.kr sent you files via WeTransfer	WeTransfer files_***ne@*******.co.kr.Htm
Re: ******.park You Have 1 New Shared Document	Truefriend_PAYMENT_CONTRACT.pdf
ACH Payment sent On:Thursday, April 6, 2023 1:43:27 PM	h*m@*******.com Voutcher.shtml
RE: IBK SWIFT PAYMENT COPY	IBKPaymentSwiftApproval.html
Purchase Order PO-3242 from VP Group Limited for sjlee	PO-3242.html
ACH Payment sent On:Thursday, April 6, 2023 3:20:47 PM	s*m@*******.com Voutcher.shtml
Re:Re:Re: Quotation order	New_Order Inquiry.Htm
Re : invoice for MARCH 2023	REVISED INVOICE.shtml
Payment Transaction Notification : Success	optical PAYMENT ADVICE-US$ 168,573.htm
COMMERCIAL OFFER	COMMERCIAL OFFER.html
Your grant donation – {Mrs Jacquelline Fuller}	Donation Application.docx

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목	첨부파일
미결제 계좌 명세서 열기	계좌 명세서 열기.PDF.jar
Attachment	NEW ENQUIRY-pdf.gz
Re: Re: Return invoice for Payment	Return invoice.rar
Pedido	Pedido040323.rar
[DHL] 수입신고수리내역서(수리전납부) – 7759303436	[DHL] 7759303436.rar
Your Shipment has Arrived Tracking Number!	Protected Copy Doc 099876858.rar
PO#40823-LiDe Industry Group Co Limited	PO#40823.rar
Request for quotation – lpr no. 8661	RDA 8661 SEBASTIANO.rar
RE: RFQ-08-057-SAFETY SHOWER UNIT WITH COOLING SYSTEM	RFQ-08-057.rar
NEW ORDER PO # IF23029361209	PO # IF23029361209.rar
RE: COSTCO Purchase Order #180222/CT24 & #160222/CT71	COSTCO Purchase Order.rar
PURCHASE ORDER 163403	Drawings.gz
Re: Fw: Payment for Outstanding Invoice	INV19384783.html
Fw: PAYMENTS	20230406161956432901.zip
World Surfaris Remittance	balance$600,000.65-pdf.gz
Product Enquiry	SKM51092BY210.IMG
PO NO. 42236592	PO#NO42236592000010.pdf.ARJ
WE WISH TO BUY THESE PRODUCTS	Product Listed.exe
SOA MARCH 2023	SOA.xls
PAGO	JUSTIFICANTE DE PAGO.rar
Request from Octopus Asia Pacific	SKMB710925U10.xz
SumiP Machine equipment Inquiry	SUMIP MACHINE EQUIPMENT INQURIY.rar
Re[3]: super smart pics private	best_img.jpg.scr
Order List	Order-List.iso
Re: Document PO4377J7P	Document 54737.7z
Fwd: Re: Advanced Payment Confirmation	Advanced Payment – Ref_001299384596OBR11522.gz
KCI – Statement of Account – 30th march 2023	statement for HADCO S.A.O.C.exe
Purchase Order PO GEC/PO/18667 for EHAF – KSA supply Project	PDF1567256210241910840.r01
Deposit made to your account	Deposit slip.exe
FW:New PO#SPL036570 + RFQ036647	New PO#SPL036570.pdf.GZ
Technical Datasheet	Technical_ Datasheet.7z
Re: Price Qoutation Request	RFQ 2008817838749.PDF.Z
Request for Quote	Request for Quote.PDF.7z
Payment Advice – Ref: [HSBC41057723] / RFQ Priority Payment	Payment Advice – Ref HSBC41057723 PDF.7Z
RE: Surat Pesanan – RFQ	PT.GLOBAL.PDF.rar
YOUR EMPLOYMENT STATUS	DETAILS AND INVOICES 4.rar
Payment receipt status	Payment_swift 20289820.pdf.gz
DHL AWB – Invoice & Shipping Documents	DHL AWB – Invoice & Shipping Documents.gz
sales contract-876 & New-Order	Executiveship PO 06042023.arj
Re:Top Urgent ORDER	New Order-3790028747.img
Angebotsanfrage	PO095657.zip
Re[5]: super wonderful images PRIVATE	best-phot.gif.scr
beautiful pictures	superimg.gif.scr
Re[5]: very cool pics	wildpic.gif.pif
Re[4]: super nice images don’t show	great_imgs.gif.exe
very wonderful photos only for you	private-pctrs.jpg.scr
Re[2]: very cool pics	greataction.gif.exe
sexy photos PRIVATE	privatepic.jpg.scr
super sexy pics PRIVATE	my-act.jpg.scr
Re[5]: very nice pictures very important	best_images.jpg.scr
Re[3]: smart photo FOR YOU ONLY	prv-pic.scr
super beautiful photo PRIVATE	my-images.jpg.pif
nice photos private	sexpctrs.pif
very nice photo	sex__phot.jpg.pif
nice pics	privatephot.gif.exe
Re[2]: nice picture imortant	great_images.exe
smart pictures	sexscene.exe
Re: super cool pics	great_act.jpg.pif
very cool picture PRIVATE	the_phot.gif.scr
wonderful photo	mypctrs.jpg.pif
sexy images	sexpic.jpg.pif
Re[3]: beautiful photo just for you	best__pctrs.gif.pif
very cool pics don’t show	the-plp.gif.exe
Re[2]: smart pictures	privphotos.jpg.scr
Re: smart pics	prvimgs.jpg.scr
sexy pics	myscene.pif
smart images	sexscene.scr
Re: very cool photos FOR YOU ONLY	great-img.scr
sexy pictures private	sexpctrs.exe
Re: cool picture imortant	prv__img.gif.scr
Re[4]: sexy images	privaction.exe
Re[2]: super smart pictures	fuckpctrs.jpg.scr
Re: super nice images only for you	great-pic.pif
Re: very nice photo	fuckphotos.gif.exe
beautiful pictures very important	sexaction.exe

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다.

주의 키워드: ‘PDF’

이번 주의 키워드는 PDF 이다. 이번 주 PDF 파일이 첨부된 피싱 이메일은 메일 제목이 발전소 장비, 특정 회사의 이벤트 홍보물로 위장하여 유포되었다. 일반적인 송장, 발주서와 같은 내용이 아닌 특정 발전소와 장비를 위장한 것이 특징이다. 이번에 확인된 PDF 첨부 파일 피싱 유형은 유포된 메일의 제목은 달랐지만, 첨부 파일 이름과 내용은 매우 유사하였다. 첨부 파일 이름은 알파벳 두 글자의 조합이였으며 PDF 열람 시 확인되는 내용은 마이크로소프트 애저(Microsoft Azure)를 위장하여 사용자로 부터 Open 버튼 클릭을 유도한다. 사용자가 Open 버튼을 클릭하면 ID/PW 입력을 요구하며 로그인 버튼 클릭 시 계정 정보가 공격자의 피싱 서버로 정보가 유출되는 것은 물론 사용자 PC에 Qakbot 악성코드가 다운로드 된다. 관련 상세 정보는 ASEC 블로그(https://asec.ahnlab.com/ko/51109/)에서 다룬 바 있다.

피싱 주소 : https[:]//rosatifragrances.co[.]zw/ei/ei.php

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.

http[:]//demo[.]double-eleven[.]hk/wordpress/wp-content/plugins/6f7ecdf697634e1181a754ea4ca0913f/y/mm/mmd/index/fedex/FedExpress[.]php
https[:]//newtrp[.]com/gbooonus/processor[.]php
https[:]//formspree[.]io/f/myyazkbv
https[:]//cranecenter[.]ru/Xx/cloudlog[.]php
https[:]//www[.]btdpipe1ine[.]com/oc/fdpxoGur23f[.]php
http[:]//www[.]znbs[.]co[.]zm/Uploads/Document/DHL/log[.]php
https[:]//formbold[.]com/s/91wBz
https[:]//chuyenphat[.]nascoexpress[.]com/wp-includes/noshaking/peeking[.]php
https[:]//instelator-center[.]co[.]il/isso[.]checkerz[.]php
http[:]//chikashikakehi[.]sakura[.]ne[.]jp/file/slot-gacor-maxwin/welcome[.]php
http[:]//mail[.]alicevik[.]com[.]tr//makechina/lognet1[.]php
https[:]//kazan-oil[.]ru/fidders/msms/vmxll[.]php
https[:]//jaslyimpex[.]com/catalog/44/A/Excel[.]php
https[:]//www[.]palazzocalo[.]com/cxHiEtx/Exc/Excell[.]php

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.