피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 52%)가 압도적으로 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 20%)이다. 그 다음으로 많은 위협 유형은 백도어(Backdoor,11%) 그리고 웜(Worm, 8%) 악성코드가 뒤를 이었다. 이 외에 다운로더(Downloader, 4%), 트로이 목마(Trojan, 3%), , 드로퍼(Dropper, 2%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 04월 16일부터 04월 22일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| [FedEx Korea] 수입세 납부기한 안내(INV 및 AWB) | [FedEx] Shippingdocs.htm |
| 맞춤형 주문/가격 수정 – QXT9401 | SEJIN ORDER-23748909.shtml |
| ✈DHL 화물도착안내 [AWB#6704537800] | AWB#6704537800.shtml |
| DHL Express 배송 확인 (인보이스 및 AWB) | (DHL) Shippingdocs.htm |
| [FedEx] 관세 납부 안내(Tax Invoice) | Shipping Document.html |
| 개인정보 검토 irene.hwang | ****_계정_****.hwang.html |
| 사서함이 거의 가득 찼습니다. | **_계정_******.choi.html |
| 조치 필요: 보류 중인 메일 | **_계정_****.choi.html |
| [DHL] 배송 주문이 도착했습니다 – (INV and AWB) | ShippingDHLDocument01.html |
| FedEx – AWB# Arrival Information. | FedEx – AWB.html |
| Re: (제목없음) | PO Order 2023.html |
| DHL Delivery Shipment Notification/Arrival | DHL I-Sens Waybill Shipment.html |
| MT103 SWIFT COPY #17/04/2023 | MT103_SWIFTCOPY20231704367.pdf |
| Due invoice and payment receipt. | Paid Invoice PDF.html |
| Authorized payment !!! | Payment Invoice pdf.html |
| Payroll Deduction Updates 2023 | SecuredMessageATT.HTM |
| Re: New Order /PI WX22P0329 | P0329-SPL ORDER.xls.htm |
| Sehr Geehrte Gewinner | Notification.pdf |
| TT Remittance on April 19, 2023 at 07:30:56 PM. | ®TT Remittance_000020242.htm |
| Re; order | Shipping Document (1).html |
| EFT Payment-Invoice 0000315: Completed_ Please Review and Sign | QuickBooks-Payments-Notification.pdf |
| Shipment Booking Confirmation – BL Draft is Ready for Review | Doc_#20230419C985.Dhl.htm |
| TT COPY | INVOerffv.shtml |
| Your package will be delivered today | AWB_y7462.-FedEx-hndv-iue65hf-nmkcfg.htm |
| You have a new shipment waiting for you. | Shipping-Document.shtm |
| Shipment Notification (TRACK EXPRESS) | Track_ Express Shipping Docs.shtml |
| [FedEx] Import Tax Payment Deadline Information (INV and AWB) | FedEx_AWB Original.html |
| 非滥发电邮*1新帐单通知提醒 | SF_express Invoice_2023.zip |
| PO-20-23//EMPRESA CHATITEC S.A.C | PO#198945.html |
| Purchase Order P06846690 due 20/04/2023 | Purchase Order P06846690.html |
| Your parcel has arrived urgent pick up needed today. | AWB #8347630147.htm |
| ***@********.co.kr sent you files via WeTransfer | WeTransfer files***@*********.co.kr.Htm |
| RE: Urgent Purchase Order Wilmar Intl 0466 to ******.co.kr | Purchase order.html |
| Please see and confirm our new purchase order (urgently needed) | Urgent#Quotation.html |
| Re: Revised Invoice from ***** | #Doc.Signed.html |
| [DHL Express] Import Tax Payment Deadline Information (INV and AWB) | (DHL) Shippingdocs.html |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| URGENT REQUEST FOR QUOTATION | HUUG2336ED.Gz |
| Re: commission Payment copy | payment3798637712pdf.7z |
| URGENT REQUEST FOR PRICE OFFER 0081099699 | QUO-TKendab-0147-001.rar |
| Notificación de financiación de remesas. | 213497664-030339-sanlccjavap0003-1.pdf.rar |
| PPT new design | valve changes.arj |
| 2023 *** Bay of the Future Graphics for *** – First Look | *** Bay of the Future_Laundry *****.jpg |
| REMITTANCE TT COPY $23,150.00_20230320.pdf | REMITTANCE TT COPY $23,150.00_20230320.pdf.gz |
| New Order – URGENT | NEW PURCHASE ORDER #245 & 246 – April.zip |
| DHL Shipment Notification | doc.docx |
| Fw: Remittance Advice | 2023041907123719.pdf.gz |
| Re: holiday | Booking_379016630212pdf.7z |
| Payment Advice – Advice Ref:[A1Whh5nhscQE] / Priority payment / Customer Ref:[SAP19-70] | Payment_advise17042023.zip |
| Purchases Order // PO23100089 | PO23100089.IMG |
| Quotation | Quotation_2200001635.r09 |
| RE: Invoice For Shipment / Departure Date 19-04-2023 | Q1-4001028L.r09 |
| shipment delivery address | IMG_6038028301pdf.7z |
| Request For Quotation | QUOTATION.zip |
| New order confirmation : need price | IMG_50112_99012pdf.7z |
| PAYMENTS | TRF_04.21.2023_9005453221298908786.gz |
| RFQ Quote | *****_ORDER_001.7z |
| Pending DHL Shipment Notification REF: 19/4/2023 8:44:04 am. | DHL.zip |
| RE: Revised EPDA for JAN & FEB DISCOUNTED SOA. | EPDA for FEB & MARCH DISCOUNTED SOA.r00 |
| RFQ – PO-1812-BNS0023 | RFQ-PO-1812-BNS0023.r00 |
| Transfer status on hold | pending transaction.img |
| Revised Proforma Invoice (PI/002 – Dyna) : PO # 2302 for USD 39360.00 | Giant Textilepr1a.pdf.rar |
| Re: Transfer Confirmation | Imge00005.r09 |
| Re: Order | Order_ APRL 310377FIBA00541.arj |
| RE: Payment Advice – Advice Ref: [G80286894999] | TT COPY.r15 |
| Updated PO | PO updated 19-04-23.zip |
| NEW PO – 5412093012 | NEW PO ORDER – 5412093012 – April 2023.gz |
| T.HALK BANKASI A.S. 19.04.2023 Hesap Ekstresi | Halkbank_Ekstre_20231904_073809_405251-PDF.tar |
| Re[5]: very cool photos only for you | wild__images.gif.pif |
| beautiful photo | myscene.jpg.pif |
| Re: wonderful photos only for you | fuck_pctrs.jpg.scr |
| super sexy pictures don’t show | super_act.gif.scr |
| Re[2]: beautiful photos | privpic.gif.pif |
| super beautiful pics | the_photos.jpg.scr |
| beautiful pics | superimg.pif |
| sexy photos | superpic.jpg.scr |
| beautiful photo very important | sexplp.scr |
| Re[5]: nice images PRIVATE | prv_images.gif.pif |
| Re: nice picture very important | wild-phot.gif.scr |
| smart images | superscene.scr |
| Re[3]: cool picture PRIVATE | great-plp.jpg.exe |
| sexy picture | myaction.exe |
| sexy pictures very important | coolimgs.exe |
| wonderful photos very important | privatepctrs.gif.exe |
| Re[3]: super nice images private | prv_scene.gif.exe |
| Re[5]: sexy photo very important | fuck-scene.scr |
| very wonderful photo FOR YOU ONLY | cool__scene.gif.pif |
| smart picture | sexpic.gif.scr |
| beautiful pics private | seximg.gif.exe |
| wonderful images just for you | sexphotos.jpg.pif |
주의 키워드: ‘DHL & FedEx’
- 피싱 주소 : hxxps[:]//test.novostroi21[.]ru/aomzq/fccn/xlss.php
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//formspree[.]io/f/myyazkbv
- https[:]//test[.]novostroi21[.]ru/aomzq/fccn/xlss[.]php
- https[:]//submit-form[.]com/fEU5zfZq
- https[:]//zenkoren[.]itigo[.]jp//cgi-bin/FDX/fedex[.]php
- http[:]//baltik-memorial[.]ru/wp-includes/Ex/Excel[.]php
- https[:]//www[.]btdpipe1ine[.]com/ke/fdpxoGur23f[.]php
- http[:]//ingitek[.]ru/bitrix/admin/csssg/xlss[.]php
- https[:]//pallarsactiu[.]cat/team/resultbox1[.]php
- https[:]//ecstatic-chandrasekhar[.]185-236-228-67[.]plesk[.]page/chkky/Adhl[.]php
- https[:]//submaxillary-torque[.]000webhostapp[.]com/pdf[.]php
- https[:]//constructedone[.]cf/chiel/dlpy[.]php
- https[:]//test[.]novostroi21[.]ru/isreal/mae/xlss[.]php
- https[:]//excellent[.]co[.]il/wp-contact/xtremsic/justgm[.]php
- https[:]//trillion-thursday[.]000webhostapp[.]com/itgg/adbn[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계