피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 57%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 SmokeLoader, GuLoader와 같은 로더를 포함한 다운로더(Downloader, 12%)이다. 그 다음으로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 9%)그리고 웜(Worm, 9%) 악성코드가 뒤를 이었다. 이 외에 트로이 목마(Trojan, 6%), 백도어(Backdoor, 5%), 드로퍼(Dropper, 1%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 04월 09일부터 04월 15일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| DHL ARRIVAL (CONTAINER) Seaport 수입 통관 정보 제출 안 – Proforma Invoice, Packing List & BL Copy | invoice & Tracking NumberHT2.html |
| FedEx 발송물 도착 알림 | AWB#989345874598.html |
| [FedEx] 관세 납부 안내(Tax Invoice) | Tax_Notification.html |
| PO912048302417 결제 사본 | PI0437834 지불 확인.html |
| DHL Express 발송물 확인 | CustomInvoice_8278124481.pdf.htm |
| Fw :BL / INV / PL 배송하다 | Shipping Document (1).html |
| FedEx Shipping Document / Invoice Receipt | INVOICE_AWB.htm |
| Incoming Shipment Invoice | AWB#03773N .htm |
| Updated quotation | qoutation order879999.shtml |
| Cigna HealthCare ACH Settlement: Please review and Sign | Healthcare-Claim-Notification.pdf |
| Shipment Booking Confirmation – BL Draft is Ready for Review – Original Scan copies of Document | Draft Bill of Lading__Shipping Document.htm |
| Overdue Balance Notice : TT_COPY_FOR_VNQ5160KTR-E_3000PCS | AWWDPAYMENT DETAILS.html |
| New DHL Shipment Document Arrival Notice / Shipping Documents / Original BL, Invoice & Packing List | (DHL) Original BL, PL, CI Copies.htm |
| FW: REVISED PO’S | SOA for 2023.shtml |
| DHL Shipping Document / Invoice Receipt | DHLShippingdocs.htm |
| EFT/ERA Cigna HealthCare ACH Payment: Completed_ Please Review and Sign | ACH-Deposit-Completed.pdf |
| PO#13012022N_ 新命令 | PO#13012022N.html |
| *** NOTIFICATION FOR INCOMING DHL SHIPMENT *** | DHL Express Notification.XLS.html |
| TRACK: EXPRESS (Shipment Notification) | DHL EXPRESS shipping docs.shtml |
| (Invoice) Original BL, PL, CI_AWB#71******90 | ****@**********.com DHL Express Notification.PDF.html |
| PO#28124758 | 28124758.htm |
| Shipment Notification (TRACK EXPRESS) | Track_ Express Shipping Docs.shtml |
| Statement of Account (SOA) Paid | Payment_Copy.PDF.html |
| DHL Express | DHLSHIPPINGDOCS.htm |
| Fwd: Past due balance SWIFT copy. | invoice_proforma2.html |
| SF Express: eNotification sent | eimDoc.html |
| INV Remittances 2nd request 711647666′ | INV-PAY0080388388.html |
| QUOTATION FOR MAY SHIPMENT | QUOTATIONS.pdf |
| FW:Payment 12 Apr 2023 | Wire Transfer confirmation.shtml |
| FYI SWIFT COPY FEDSD34455532536737DWES | FEDSD34455532536737DWES.html |
| Your parcel has arrived urgent pick up needed today. | AWB #8347630147.htm |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| 2023 한미 정책포럼 관련 | [붙임] 약력 양식.doc |
| 답장: 답장: [DHL] 수입신고수리내역서(수리전납부) – 1000452436 | Import declaration acceptance statement-1000452436.rar |
| Fwd: Quotation Invitation | Quotation Invitation 000111.pdf.GZ |
| Re: Adtours travel, inc | Booking_8986007pdf (1).7z |
| RE: BOOKING | Booking_8986007pdf.7z |
| Fwd: SNE-20210123 | SNE-20210123.rar |
| RFQ Bidding of 38D OBA project | RFQ Bidding of 38D OBA project.rar |
| FW: SWIFT Transfer REG:NO: SWFT7900896875 | SWFT7900896875.7Z |
| Our new order# F.94_100023010 | DOc 000399288299991.rar |
| PAYMENT REMINDER | PAYMENT REMINDERPDF.GZ |
| SOA | SOA.r01 |
| PTC-04-0-03643 / KMTCSHAK477267 | CZ3C126-2409.xls |
| NEW REQUIREMENT 10.04.2023 | REQUIREMENT100420230001001010.pdf.gz |
| Advice & SWIFT copy: CustID 52579XXXX_6031NMDC0002724_FORESTAL MIMOSA LIMITED | CustID 52579XXXX_6031NMDC0002724.PDF.zip |
| QUOTATION FOR MAY SHIPMENT | ORDER SPEC_pdf.7z |
| RE: [Inquiry] | Quote_3500001299.r09 |
| AW: PO-000001306 | PO-000001306.r09 |
| AW: SRY-510-9310 | SRY51093IO.IMG |
| Re: Bokings | Confirm!.rar |
| SUBJECT:Advice from Standard Chartered Bank | FTT 325272022023.img.tar |
| DHL Shipment Notification: AWB811470484778 | #AWB811470484778.rar |
| RE; Final Warning – Over Due Payment – Urgent Reminder!Final Warning – Over Due Payment – Urgent R…. | OUTSTANDING PAYMENT.IMG |
| ATTENTION | AMED.IMG |
| ARH2301433-MODERN SPARES AND EQUIPMENT 12.04.2023 | ARH PO # 2301433.pdf.7z |
| CV Lic. H&S Oli***ti ***** | curriculum vitae Lic. H&S Oli***ti *****.zip |
| FW: Autogenerated mail – Vendor Payment Advice | Payment_110280.JPEG.7z |
| REQUISITE ORDEN NUMBER: 8499009 | REQUIREMENT ORDER NO8499009.pdf.gz |
| RE: dubai shipments | Order_confirmation#982783.zip |
| [Adres dogrulanamadi (SPF:softfail)] SEHVEN YATAN TUTAR IADESI | IADESI.001 |
| Mart-2023 Ekstreniz | Ekstrenz.gz |
| swift mesaji hk | SWIFT.UUE |
| 11.04.2023 sevkiyat | SWIFT.001 |
| Fw: About The Payment | 20230412123719_TRF_MT 103.gz |
| NEW ORDER | PO-5418911023 and PO-5418911025.gz |
| sexy pictures very important | superscene.gif.scr |
| super sexy pictures don’t show | sex_img.gif.scr |
| Re: super beautiful pics private | best__pctrs.jpg.pif |
| sexy pics | coolact.pif |
| Re[5]: nice pictures | fuck-plp.gif.scr |
| Re[3]: very nice photos just for you | great-imgs.pif |
| Re[5]: very wonderful picture only for you | prvimg.jpg.pif |
| Re[5]: smart photos | bestpic.jpg.scr |
| Re[4]: very beautiful images don’t show | great-imgs.gif.pif |
| Re[2]: very sexy images | wild__pctrs.exe |
| super beautiful photo | private-phot.gif.pif |
| super sexy pictures | cool_pic.exe |
| beautiful photo very important | superimages.gif.pif |
| super sexy pics | cool_pic.pif |
| Re: very wonderful picture imortant | fuckscene.jpg.pif |
| wonderful pics | theimages.gif.exe |
| Re[5]: smart pictures | prvscene.pif |
| beautiful pictures | superpctrs.jpg.exe |
| Re: very cool pictures private | best-phot.scr |
| Re: super cool photos PRIVATE | best__phot.scr |
| very nice photos only for you | cool__pctrs.gif.exe |
주의 키워드: ‘수입 통관’
- 피싱 주소 : hxxps[:]//formcarry[.]com/s/HGNnWjQ9O0
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//formspree[.]io/f/myyazkbv
- https[:]//vigilant-rubin[.]185-236-228-67[.]plesk[.]page/jh/Adhl[.]php
- http[:]//ingitek[.]ru/bitrix/admin/csss/tt/xlss[.]php
- http[:]//usxcheap[.]us/GS9/access1[.]php
- https[:]//submit-form[.]com/riYXPwjH
- https[:]//realmebel[.]pro/dh/dlh[.]php
- http[:]//ingitek[.]ru/bitrix/admin/csss/tt/xlss[.]php
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//submit-form[.]com/qt7uUYP3
- https[:]//submit-form[.]com/IsP9wxLh
- https[:]//ecstatic-chandrasekhar[.]185-236-228-67[.]plesk[.]page/chkky/Adhl[.]php
- https[:]//www[.]mkcrop-kr[.]com/si/fdpxoGur23f[.]php
- https[:]//submit-form[.]com/MC3ozIXM
- https[:]//ecstatic-chandrasekhar[.]185-236-228-67[.]plesk[.]page/chkky/Adhl[.]php
- https[:]//submit-form[.]com/kVlBCzwE
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//www[.]btdpipe1ine[.]com/ke/fdpxoGur23f[.]php
- https[:]//cranecenter[.]ru/X/processor1[.]php
- https[:]//app[.]headlessforms[.]cloud/api/v1/form-submission/nQwc1kUGvU
- https[:]//formcarry[.]com/s/HGNnWjQ9O0
- https[:]//test[.]novostroi21[.]ru/killer/xlss[.]php
- https[:]//www[.]nsggroup[.]it/,/tw/postdhll[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계