Posted By ,

ASEC 주간 피싱 이메일 위협 트렌드 (20230430 ~ 20230506)

AhnLab Security Emergency response Center(ASEC)에서는 샘플 자동 분석 시스템(RAPIT)과 허니팟을 활용하여 피싱 이메일 위협을 모니터링하고 있다. 본 포스팅에서는 2023년 04월 30일부터 05월 06일까지 한 주간 확인된 피싱 이메일 공격의 유포 사례와 이를 유형별로 분류한 통계 정보를 제공한다. 일반적으로 피싱은 공격자가 사회공학 기법을 이용하여 주로 이메일을 통해 기관, 기업, 개인 등으로 위장하거나 사칭함으로써 사용자의 로그인 계정(크리덴셜) 정보를 유출하는 공격을 의미한다. 또한 피싱은 넓은 의미에서, 공격자가 각종 대상을 상대로 하는 정보 유출, 악성코드 유포, 온라인 사기 행위 등의 공격을 가능하게 하는 악의적인 속임수(technical subterfuge) 뜻한다. 본 포스팅에서는 피싱이 주로 이메일로 유입되는 공격이라는 것에 주안점을 둔다. 그리고 피싱 이메일을 기반으로 하는 다양한 공격 방식들을 세부적으로 분류하였다. 그리고 기존에 발견되지 않은 새로운 유형이나 주의해야 할 이메일을 키워드와 함께 소개하여 사용자 피해를 최소화하려고 한다. 참고로 본 포스팅에서 다루는 피싱 이메일은 첨부파일이 있는 이메일만을 대상으로 한다. 첨부파일 없이 악성 링크만 본문에 포함된 이메일은 대상에서 제외한다.

피싱 이메일 위협 유형

한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 44%)가 가장 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의  화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 AgentTesla, FormBook와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 40%)이다. 그 다음으로 많은 위협 유형은 웜 (Worm, 6%)이다. 웜 악성코드는 전파기능을 포함하는 악성코드의 분류로 SMTP 프로토콜을 사용하여 대량 메일을 발송하는 등 여러 방식으로 악성코드 전파를 수행한다. 이 외에 트로이목마(Trojan, 5%), 다운로더(Downloader, 4%) 등이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.

첨부파일 확장자

위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, ZIP, 7Z, GZ 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.

유포 사례

2023년 04월 30일부터 05월 06일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.

사례: 가짜 로그인 페이지 (FakePage)

이메일 제목 첨부파일
✈DHL 화물도착안내 [AWB#*****378004]? DocParcalAWB4521DHLShipment.html
[페덱스] 수입면장 안내 정리.? FedEx – kcy***- AWB.pdf.htm
송장 원본 및 포장 목록 통관 Original-invoice_s10320.htm
[FedEx] 수입세 납부기한 안내(INV 및 AWB) AWB#989345874598.htm
항공권 결제가 완료되었습니다~공항가기 전 확인 수신문서보기(출력 해 주세요)..html
Re: Fwd: Quotation Order PO# 175.htm
Re : PO#20836 Order-inquiry#02836.htm
DHL Shipping Document / Invoice Receipt DHL Shippingdoc.htm
Re:Извещение. Подробное описание проекта в файле с инструкциями и указаниями-aQvBzAZy731359.pdf
Nota Fiscal para ******.****@***.com NFE01052023br.pdf
Transaction Details Report : Contact Email : *******79@*****.com . Transaction Details(DOC).html
New Order Inquiry (Davis $ Shirtliff Co,. Ltd). confirm_order_ inquiry.html
Email account ji*h.*** will be closed , Update account to stay connected today Office 365 validation form.htm.
Re: RE: ET Info M396692 ProjectFunding-438574643-Apr28.pdf
[HDEC] RFQ_Qatar NOC Ruya Project. REQUEST_FOR_QUOTATION_HDEC_80701125254.htm
Notification of shipment for ********.in@******.co.kr AWB-Ref_#310479442.html
RFQ. Purchase-request_pdf.shtml
Lee Stiles Roofing Ltd Invoice Fixing Pricelist & Invoice #1939-doc.x.html
RIMINDER islee Confirm Your Delivery Address AWB-Ref_#310479442.HTML
Re：(Scanned) Doc~Original Copy – FYI Confirm Shipment.html
FW:ATTACHED SWIFT COPY 5/3/2023 2:37:00 a.m. AWDPAYMENT-RECEIPT.html

사례: 악성코드 (Infostealer, Downloader 등)

이메일 제목 첨부파일
[DHL] 수입신고수리내역서 (특송사후납부-징수 18) 납부고지서 – 5039268570 Import_Declaration_5039268570_1235623437131M.rar
Re[4]: smart photos fuckimg.jpg.scr
smart photos coolimg.pif
Re[4]: very cool images PRIVATE fuck-scene.gif.pif
Inquiry 110690531TEZ_S Quote.r09
Re[2]: very nice pics fuckimages.jpg.exe
Re[5]: smart pictures private prv-scene.exe
Purchase Order 5909121522 PO no. 5909121522.arj
Re[3]: smart pictures very important fuck-imgs.exe
Invoice and packing list # TX/LO/3931/23-24 AIR SHIPMENT INVOICE TX 3931 2023 LO.xz
RE: Holiday Tours Package Booking_0256_0762pdf.7z
new order inquiry Doc_7780_0614520pdf.7z
urgent new orders packaging and delivery. Doc_7780_061161pdf.7z
Re[3]: sexy pics greatimg.gif.scr
CHILDREN GARDEN PROJECT – SHARJAH CHILDREN GARDEN PROJECT.7z
sexy photo theimg.jpg.pif
Re[3]: beautiful photos fuckact.jpg.pif
Re: Booking Package Booking_0026_062pdf (1).7z
Re[3]: beautiful pictures private prv__photos.gif.scr
re: Adtours travel, inc Booking_5136_05842pdf.7z
Re: sexy photo just for you best_phot.gif.pif
Shipping Docs – CI & PL Cl & PL.docx
PAYMENTS – 5th May 2023 20230505_MT103_0198236541001.gz
smart photo just for you privatepctrs.jpg.pif
Re[3]: very smart images only for you wild-plp.gif.exe
smart picture superimgs.jpg.exe
beautiful pictures coolphot.gif.scr
Re[5]: super cool picture FOR YOU ONLY priv_photos.jpg.pif
Terelease- 100% Down payment Usd217,000 made to your account!!! UDB TRANSFER MT_103.zip
beautiful picture superimgs.gif.scr
Re[4]: nice picture private best_pic.jpg.exe
Custom Leather for Mining H&M Style PS MARILN JACKET S.8 PS MARILN JACKET S.8 and Sticker Series.docx
Purchase Order #PO2300109 PO.xls
RFQ_XINGTAI NET PISTON CO.,LTD//CIF Xingtai, Hebei PORT RFQ_CIF Xingtai, Hebei PORT PDF.r00
New Purchase Order May-PO_3852118 PO_3852118.r09
Quote Request QUOTATION.IMG
URGENT / RQ2 / NEW ENQUIRY NEW ENQUIRY.zip
T.HALK BANKASI A.S. 04.05.2023 Hesap Ekstresi Halkbank_Ekstre_04052023_073379_6158824-PDF.tar
RE: [EXTERNAL] Order confirmation New order list attached.zip
Purchase Order – [68048-2023031801] 68048-2023031801.001
RE: Confirmación del pedido Adjunto factura proforma.zip
New purchase order teams New purchase order teams.pdf.zip
Fw: SOA Reminder #300536 SOA.zip
DBS Transfer status on hold DBS.IMG
Re: New Offer 56009214 Offerr POA 234667843.zip
order Quote_4400001478.r09
TRANSFER ORDER/Payment 50% order OV PRETEC 50% FORM.rar
RE: [EXTERNAL] Confirmación del pedido, Se adjunta nueva lista de pedidos.zip
Quotation QUO21256.001
AW: PO-000001306 1300690531TEZ_S Quote.gz
New enquiry 31TEZ_S Quote.r09
HSBC – EXPORT BILL PROCEEDS PAID BACKTG783686CCC – Ref:[TRDAB0429159461] HSA771942-T01.rar
ASEC 분석팀은 위 유포 사례를 토대로 사용자가 주의해야 할 키워드를 선정하였다. 키워드 단어가 이메일 제목에 포함되었거나 동일한 특징이 있다면, 공격자가 발송한 피싱 이메일일 수 있으니 각별히 주의가 필요하다. 

주의 키워드: ‘항공권’   

이번 주의 키워드는 ‘항공권’ 이다. 공격자는 연휴철 해외 여행객 수가 증가하는 것을 노리고 항공권을 위장한 피싱 메일을 유포하였다. 메일 본문 내용에는 항공권 결제 명세서 내역이 존재하였으며 첨부 파일은 사용자가 이메일 계정 정보를 입력해야 항공권 티켓 확인증을 받을 수 있도록 유도하였다. 계정 정보를 입력할 경우 해당 정보는 공격자의 피싱 서버 주소로 유출되기 때문에 사용자는 첨부 파일 열람시 항상 주의하고, 특히 ID/PW를 입력하는 경우에는 메일의 출처를 재 확인하여 개인 정보 유출을 예방해야 한다. 피싱 주소 : https[:]//unitedmerchantbank[.]com/resources/views/email/post.php

가짜 페이지 (FakePage) C2 주소

가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.
  • https[:]//formspree[.]io/f/myyazkbv
  • https[:]//www[.]cncorporation[.]co[.]th/new/1drv[.]php
  • https[:]//press[.]genesis[.]ru/cv/xlss[.]php
  • https[:]//formspree[.]io/f/myyazkbv
  • https[:]//submit-form[.]com/igEYNa0o
  • https[:]//unitedmerchantbank[.]com/resources/views/email/post[.]php
  • https[:]//submit-form[.]com/fqlAV3x1
  • https[:]//submit-form[.]com/4X38L2pE
  • https[:]//dkglobaljobs[.]com/static/js/will/exee[.]php
  • https[:]//submit-form[.]com/YSQ2tHeA
피싱 이메일을 이용한 공격은 사용자가 가짜 로그인 페이지 접속이나 악성코드를 실행하도록 하기 위해 송장, 세금 납부 등 사용자가 속기 쉬운 내용으로 위장하여 유포된다. 가짜 로그인 페이지는 정상 페이지와 유사하게 시간이 지날수록 더 정교해지고 있다. 악성코드는 압축 파일 포맷으로 패키지되어 보안 제품의 첨부파일 탐지를 우회하고 있다. 사용자는 악성 피싱 이메일로 인한 감염 피해에 노출되지 않도록 최근 유포 사례를 참고하여 각별한 주의를 기울여야 한다. ASEC 분석팀은 다음과 같은 이메일 보안 수칙을 권고한다.
    • 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
    • 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
    • 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
    • 안티바이러스를 비롯한 보안 제품을 이용한다.
피싱 이메일 공격은 MITRE ATT&CK 프레임워크에서 다음 Techniques에 해당한다.
    • Phishing for Information(Reconnaissance, ID: T1598[1])
    • Phishing(Initial Access, ID: TI1566[2])
    • Internal Spearphishing(Lateral Movement, ID:T1534[3])
연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.

Categories:위협 통계

Tagged as:,,

0 0 votes
별점 주기
Subscribe
Notify of
guest

0 댓글
Inline Feedbacks
View all comments