ASEC 주간 피싱 이메일 위협 트렌드 (20230416 ~ 20230422)

AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 04월 16일부터 04월 22일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 52%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의  화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. ^{아래 <가짜 페이지 C2> 참고} 두 번째로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 20%)이다. 그 다음으로 많은 위협 유형은 백도어(Backdoor,11%) 그리고 웜(Worm, 8%) 악성코드가 뒤를 이었다. 이 외에 다운로더(Downloader, 4%), 트로이 목마(Trojan, 3%), , 드로퍼(Dropper, 2%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

 

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다. 

유포 사례

2023년 04월 16일부터 04월 22일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목	첨부파일
[FedEx Korea] 수입세 납부기한 안내(INV 및 AWB)	[FedEx] Shippingdocs.htm
맞춤형 주문/가격 수정 – QXT9401	SEJIN ORDER-23748909.shtml
✈DHL 화물도착안내 [AWB#6704537800]	AWB#6704537800.shtml
DHL Express 배송 확인 (인보이스 및 AWB)	(DHL) Shippingdocs.htm
[FedEx] 관세 납부 안내(Tax Invoice)	Shipping Document.html
개인정보 검토 irene.hwang	****_계정_****.hwang.html
사서함이 거의 가득 찼습니다.	**_계정_******.choi.html
조치 필요: 보류 중인 메일	**_계정_****.choi.html
[DHL] 배송 주문이 도착했습니다 – (INV and AWB)	ShippingDHLDocument01.html
FedEx – AWB# Arrival Information.	FedEx – AWB.html
Re: (제목없음)	PO Order 2023.html
DHL Delivery Shipment Notification/Arrival	DHL I-Sens Waybill Shipment.html
MT103 SWIFT COPY #17/04/2023	MT103_SWIFTCOPY20231704367.pdf
Due invoice and payment receipt.	Paid Invoice PDF.html
Authorized payment !!!	Payment Invoice pdf.html
Payroll Deduction Updates 2023	SecuredMessageATT.HTM
Re: New Order /PI WX22P0329	P0329-SPL ORDER.xls.htm
Sehr Geehrte Gewinner	Notification.pdf
TT Remittance on April 19, 2023 at 07:30:56 PM.	®TT Remittance_000020242.htm
Re; order	Shipping Document (1).html
EFT Payment-Invoice 0000315: Completed_ Please Review and Sign	QuickBooks-Payments-Notification.pdf
Shipment Booking Confirmation – BL Draft is Ready for Review	Doc_#20230419C985.Dhl.htm
TT COPY	INVOerffv.shtml
Your package will be delivered today	AWB_y7462.-FedEx-hndv-iue65hf-nmkcfg.htm
You have a new shipment waiting for you.	Shipping-Document.shtm
Shipment Notification (TRACK EXPRESS)	Track_ Express Shipping Docs.shtml
[FedEx] Import Tax Payment Deadline Information (INV and AWB)	FedEx_AWB Original.html
非滥发电邮*1新帐单通知提醒	SF_express Invoice_2023.zip
PO-20-23//EMPRESA CHATITEC S.A.C	PO#198945.html
Purchase Order P06846690 due 20/04/2023	Purchase Order P06846690.html
Your parcel has arrived urgent pick up needed today.	AWB #8347630147.htm
***@********.co.kr sent you files via WeTransfer	WeTransfer files***@*********.co.kr.Htm
RE: Urgent Purchase Order Wilmar Intl 0466 to ******.co.kr	Purchase order.html
Please see and confirm our new purchase order (urgently needed)	Urgent#Quotation.html
Re: Revised Invoice from *****	#Doc.Signed.html
[DHL Express] Import Tax Payment Deadline Information (INV and AWB)	(DHL) Shippingdocs.html

사례: 악성코드 (Infostealer, Downloader 등) 

이메일 제목	첨부파일
URGENT REQUEST FOR QUOTATION	HUUG2336ED.Gz
Re: commission Payment copy	payment3798637712pdf.7z
URGENT REQUEST FOR PRICE OFFER 0081099699	QUO-TKendab-0147-001.rar
Notificación de financiación de remesas.	213497664-030339-sanlccjavap0003-1.pdf.rar
PPT new design	valve changes.arj
2023 *** Bay of the Future Graphics for *** – First Look	*** Bay of the Future_Laundry *****.jpg
REMITTANCE TT COPY $23,150.00_20230320.pdf	REMITTANCE TT COPY $23,150.00_20230320.pdf.gz
New Order – URGENT	NEW PURCHASE ORDER #245 & 246 – April.zip
DHL Shipment Notification	doc.docx
Fw: Remittance Advice	2023041907123719.pdf.gz
Re: holiday	Booking_379016630212pdf.7z
Payment Advice – Advice Ref:[A1Whh5nhscQE] / Priority payment / Customer Ref:[SAP19-70]	Payment_advise17042023.zip
Purchases Order // PO23100089	PO23100089.IMG
Quotation	Quotation_2200001635.r09
RE: Invoice For Shipment / Departure Date 19-04-2023	Q1-4001028L.r09
shipment delivery address	IMG_6038028301pdf.7z
Request For Quotation	QUOTATION.zip
New order confirmation : need price	IMG_50112_99012pdf.7z
PAYMENTS	TRF_04.21.2023_9005453221298908786.gz
RFQ Quote	*****_ORDER_001.7z
Pending DHL Shipment Notification REF: 19/4/2023 8:44:04 am.	DHL.zip
RE: Revised EPDA for JAN & FEB DISCOUNTED SOA.	EPDA for FEB & MARCH DISCOUNTED SOA.r00
RFQ – PO-1812-BNS0023	RFQ-PO-1812-BNS0023.r00
Transfer status on hold	pending transaction.img
Revised Proforma Invoice (PI/002 – Dyna) : PO # 2302 for USD 39360.00	Giant Textilepr1a.pdf.rar
Re: Transfer Confirmation	Imge00005.r09
Re: Order	Order_ APRL 310377FIBA00541.arj
RE: Payment Advice – Advice Ref: [G80286894999]	TT COPY.r15
Updated PO	PO updated 19-04-23.zip
NEW PO – 5412093012	NEW PO ORDER – 5412093012 – April 2023.gz
T.HALK BANKASI A.S. 19.04.2023 Hesap Ekstresi	Halkbank_Ekstre_20231904_073809_405251-PDF.tar
Re[5]: very cool photos only for you	wild__images.gif.pif
beautiful photo	myscene.jpg.pif
Re: wonderful photos only for you	fuck_pctrs.jpg.scr
super sexy pictures don’t show	super_act.gif.scr
Re[2]: beautiful photos	privpic.gif.pif
super beautiful pics	the_photos.jpg.scr
beautiful pics	superimg.pif
sexy photos	superpic.jpg.scr
beautiful photo very important	sexplp.scr
Re[5]: nice images PRIVATE	prv_images.gif.pif
Re: nice picture very important	wild-phot.gif.scr
smart images	superscene.scr
Re[3]: cool picture PRIVATE	great-plp.jpg.exe
sexy picture	myaction.exe
sexy pictures very important	coolimgs.exe
wonderful photos very important	privatepctrs.gif.exe
Re[3]: super nice images private	prv_scene.gif.exe
Re[5]: sexy photo very important	fuck-scene.scr
very wonderful photo FOR YOU ONLY	cool__scene.gif.pif
smart picture	sexpic.gif.scr
beautiful pics private	seximg.gif.exe
wonderful images just for you	sexphotos.jpg.pif

ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다. 

주의 키워드: ‘DHL & FedEx ’     

이번 주의 키워드는 ‘DHL 및 FedEx’ 이다. 이번 피싱 메일 중 송신자는 DHL과 FedEx 배송업체를 사칭하였으며, 실제 내부의 첨부 파일은 피싱 HTML 파일이 첨부되어 있다. 해당 파일 클릭 시 “This Document Is Shared Via Microsoft Excel Security & Requires Authentication. Click Ok To Continue”라는 메시지 박스와 함께 Excel 로그인 페이지로 위장하여 사용자 ID/PW 입력을 요구한다. 사용자는 이메일의 첨부 파일 열람 시 파일명을 주의깊게 살펴보고, 메일 제목과 첨부 파일이 관련이 있는 것인지 열람 시 주의가 필요다. 

• 피싱 주소 : hxxps[:]//test.novostroi21[.]ru/aomzq/fccn/xlss.php

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다. 

• https[:]//formspree[.]io/f/myyazkbv
• https[:]//test[.]novostroi21[.]ru/aomzq/fccn/xlss[.]php
• https[:]//submit-form[.]com/fEU5zfZq
• https[:]//zenkoren[.]itigo[.]jp//cgi-bin/FDX/fedex[.]php
• http[:]//baltik-memorial[.]ru/wp-includes/Ex/Excel[.]php
• https[:]//www[.]btdpipe1ine[.]com/ke/fdpxoGur23f[.]php
• http[:]//ingitek[.]ru/bitrix/admin/csssg/xlss[.]php
• https[:]//pallarsactiu[.]cat/team/resultbox1[.]php
• https[:]//ecstatic-chandrasekhar[.]185-236-228-67[.]plesk[.]page/chkky/Adhl[.]php
• https[:]//submaxillary-torque[.]000webhostapp[.]com/pdf[.]php
• https[:]//constructedone[.]cf/chiel/dlpy[.]php
• https[:]//test[.]novostroi21[.]ru/isreal/mae/xlss[.]php
• https[:]//excellent[.]co[.]il/wp-contact/xtremsic/justgm[.]php
• https[:]//trillion-thursday[.]000webhostapp[.]com/itgg/adbn[.]php

피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다. 

•  
•  
  • 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
•  
  • 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
•  
  • 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
•  
  • 안티바이러스를 비롯한 보안 제품을 이용한다.

피싱 이메일 공격은 MITRE ATT&CK 프레임워크에서 다음 Techniques에 해당한다. 

•  
•  
  • Phishing for Information(Reconnaissance, ID: T1598^[1])
•  
  • Phishing(Initial Access, ID: TI1566^[2])
•  
  • Internal Spearphishing(Lateral Movement, ID:T1534^[3])

 

URL

http[:]//baltik-memorial[.]ru/wp-includes/Ex/Excel[.]php

http[:]//ingitek[.]ru/bitrix/admin/csssg/xlss[.]php

https[:]//constructedone[.]cf/chiel/dlpy[.]php

https[:]//ecstatic-chandrasekhar[.]185-236-228-67[.]plesk[.]page/chkky/Adhl[.]php

https[:]//excellent[.]co[.]il/wp-contact/xtremsic/justgm[.]php