피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 44%)가 가장 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 40%)이다. 그 다음으로 많은 위협 유형은 웜 (Worm, 6%)이다. 웜 악성코드는 전파기능을 포함하는 악성코드의 분류로 SMTP 프로토콜을 사용하여 대량 메일을 발송하는 등 여러 방식으로 악성코드 전파를 수행한다. 이 외에 트로이목마(Trojan, 5%), 다운로더(Downloader, 4%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 04월 30일부터 05월 06일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
이메일 제목 | 첨부파일 |
✈DHL 화물도착안내 [AWB#*****378004]? | DocParcalAWB4521DHLShipment.html |
[페덱스] 수입면장 안내 정리.? | FedEx – kcy***- AWB.pdf.htm |
송장 원본 및 포장 목록 통관 | Original-invoice_s10320.htm |
[FedEx] 수입세 납부기한 안내(INV 및 AWB) | AWB#989345874598.htm |
항공권 결제가 완료되었습니다~공항가기 전 확인 | 수신문서보기(출력 해 주세요)..html |
Re: Fwd: Quotation Order | PO# 175.htm |
Re : PO#20836 | Order-inquiry#02836.htm |
DHL Shipping Document / Invoice Receipt | DHL Shippingdoc.htm |
Re:Извещение. | Подробное описание проекта в файле с инструкциями и указаниями-aQvBzAZy731359.pdf |
Nota Fiscal para ******.****@***.com | NFE01052023br.pdf |
Transaction Details Report : Contact Email : *******79@*****.com . | Transaction Details(DOC).html |
New Order Inquiry (Davis $ Shirtliff Co,. Ltd). | confirm_order_ inquiry.html |
Email account ji*h.*** will be closed , Update account to stay connected today | Office 365 validation form.htm. |
Re: RE: ET Info M396692 | ProjectFunding-438574643-Apr28.pdf |
[HDEC] RFQ_Qatar NOC Ruya Project. | REQUEST_FOR_QUOTATION_HDEC_80701125254.htm |
Notification of shipment for ********.in@******.co.kr | AWB-Ref_#310479442.html |
RFQ. | Purchase-request_pdf.shtml |
Lee Stiles Roofing Ltd Invoice | Fixing Pricelist & Invoice #1939-doc.x.html |
RIMINDER islee Confirm Your Delivery Address | AWB-Ref_#310479442.HTML |
Re:(Scanned) Doc~Original Copy – FYI | Confirm Shipment.html |
FW:ATTACHED SWIFT COPY 5/3/2023 2:37:00 a.m. | AWDPAYMENT-RECEIPT.html |
사례: 악성코드 (Infostealer, Downloader 등)
이메일 제목 | 첨부파일 |
[DHL] 수입신고수리내역서 (특송사후납부-징수 18) 납부고지서 – 5039268570 | Import_Declaration_5039268570_1235623437131M.rar |
Re[4]: smart photos | fuckimg.jpg.scr |
smart photos | coolimg.pif |
Re[4]: very cool images PRIVATE | fuck-scene.gif.pif |
Inquiry | 110690531TEZ_S Quote.r09 |
Re[2]: very nice pics | fuckimages.jpg.exe |
Re[5]: smart pictures private | prv-scene.exe |
Purchase Order 5909121522 | PO no. 5909121522.arj |
Re[3]: smart pictures very important | fuck-imgs.exe |
Invoice and packing list # TX/LO/3931/23-24 AIR SHIPMENT | INVOICE TX 3931 2023 LO.xz |
RE: Holiday Tours Package | Booking_0256_0762pdf.7z |
new order inquiry | Doc_7780_0614520pdf.7z |
urgent new orders packaging and delivery. | Doc_7780_061161pdf.7z |
Re[3]: sexy pics | greatimg.gif.scr |
CHILDREN GARDEN PROJECT – SHARJAH | CHILDREN GARDEN PROJECT.7z |
sexy photo | theimg.jpg.pif |
Re[3]: beautiful photos | fuckact.jpg.pif |
Re: Booking Package | Booking_0026_062pdf (1).7z |
Re[3]: beautiful pictures private | prv__photos.gif.scr |
re: Adtours travel, inc | Booking_5136_05842pdf.7z |
Re: sexy photo just for you | best_phot.gif.pif |
Shipping Docs – CI & PL | Cl & PL.docx |
PAYMENTS – 5th May 2023 | 20230505_MT103_0198236541001.gz |
smart photo just for you | privatepctrs.jpg.pif |
Re[3]: very smart images only for you | wild-plp.gif.exe |
smart picture | superimgs.jpg.exe |
beautiful pictures | coolphot.gif.scr |
Re[5]: super cool picture FOR YOU ONLY | priv_photos.jpg.pif |
Terelease- 100% Down payment Usd217,000 made to your account!!! | UDB TRANSFER MT_103.zip |
beautiful picture | superimgs.gif.scr |
Re[4]: nice picture private | best_pic.jpg.exe |
Custom Leather for Mining H&M Style PS MARILN JACKET S.8 | PS MARILN JACKET S.8 and Sticker Series.docx |
Purchase Order #PO2300109 | PO.xls |
RFQ_XINGTAI NET PISTON CO.,LTD//CIF Xingtai, Hebei PORT | RFQ_CIF Xingtai, Hebei PORT PDF.r00 |
New Purchase Order May-PO_3852118 | PO_3852118.r09 |
Quote Request | QUOTATION.IMG |
URGENT / RQ2 / NEW ENQUIRY | NEW ENQUIRY.zip |
T.HALK BANKASI A.S. 04.05.2023 Hesap Ekstresi | Halkbank_Ekstre_04052023_073379_6158824-PDF.tar |
RE: [EXTERNAL] Order confirmation | New order list attached.zip |
Purchase Order – [68048-2023031801] | 68048-2023031801.001 |
RE: Confirmación del pedido | Adjunto factura proforma.zip |
New purchase order teams | New purchase order teams.pdf.zip |
Fw: SOA Reminder #300536 | SOA.zip |
DBS Transfer status on hold | DBS.IMG |
Re: New Offer 56009214 | Offerr POA 234667843.zip |
order | Quote_4400001478.r09 |
TRANSFER ORDER/Payment 50% order | OV PRETEC 50% FORM.rar |
RE: [EXTERNAL] Confirmación del pedido, | Se adjunta nueva lista de pedidos.zip |
Quotation | QUO21256.001 |
AW: PO-000001306 | 1300690531TEZ_S Quote.gz |
New enquiry | 31TEZ_S Quote.r09 |
HSBC – EXPORT BILL PROCEEDS PAID BACKTG783686CCC – Ref:[TRDAB0429159461] | HSA771942-T01.rar |
주의 키워드: ‘항공권’


가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//formspree[.]io/f/myyazkbv
- https[:]//www[.]cncorporation[.]co[.]th/new/1drv[.]php
- https[:]//press[.]genesis[.]ru/cv/xlss[.]php
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//submit-form[.]com/igEYNa0o
- https[:]//unitedmerchantbank[.]com/resources/views/email/post[.]php
- https[:]//submit-form[.]com/fqlAV3x1
- https[:]//submit-form[.]com/4X38L2pE
- https[:]//dkglobaljobs[.]com/static/js/will/exee[.]php
- https[:]//submit-form[.]com/YSQ2tHeA
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])

Categories:위협 통계