피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 가짜 페이지(FakePage, 36%)가 가장 많은 유형을 차지한다. 가짜 페이지는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 두 번째로 많은 위협 유형은 AgentTesla, FormBook, AveMaria 와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 27%)이다. 이 외에 트로이목마(Trojan, 22%), 다운로더(Downloader, 10%), 취약점(Exploit, 2%), 웜(Worm, 1%), 백도어(Backdoor, 1%), 드로퍼(Dropper, 1%)가 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.
첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML,SHTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, Z, GZ, 7Z 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.
유포 사례
2023년 05월 28일부터 06월 03일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
| 이메일 제목 | 첨부파일 |
| [FedEx] 관세 납부 안내(Tax Invoice) | FedEx.html |
| 02-QT-000488 – Request for Price Q1-프로젝트 주문 사양 요청 | PO-02-QT-000488 _**********.com.HTM |
| PO 별 vkj 생산현황 MAY.29 T/T | po~vkj_mfj3987365367893.pdf |
| Your account already has +14777$ | Your_balance_has_been_replenished_22%2C336%24-8615.pdf |
| When you get your money +16853$ | You_are_now_rich_21.639%24_on_your_balance-263.pdf |
| FW: RE: Shipping Documents | Scanned Bill of Lading Doc.Pdf.htm |
| Re: RFQ – 3~PHASE ORD | PO-98802.shtml |
| Re: Balance payment confirmation cg06″ | Bal_payment swift.shtml |
| You are now rich +11498$ on your balance! | 26316%24_Need_to_move_you_have_24_hours-14255.pdf |
| Signed Shipping Documents For Consignee (********@*********.co.kr) | Bill Of Lading Copy.html |
| You are now rich +27244$ on your balance! | When_you_get_your_money_17%2C612%24-2703.pdf |
| Come on, quickly withdraw your +27662$! The account is not blocked yet | 29%2C694%24_Need_to_move_you_have_24_hours-14275.pdf |
| Booking.com Invoice 8831882301 | lnvoice-8831882301.pdf |
| Booking.com Invoice 9831249301 | lnvoice-9831249301.pdf |
| Re: June/New-Order #Brazil-098484OBZ | June_New-Order #Brazil-098484OBZ.XLS.html |
| VERIFY YOUR ACCOUNT. | *********.comUPDATE.shtml |
| [DHL] Shipping Document // Arrival-Notification – ETA: 6/25 BL NO: 23******* | Shipping Document_Bill of Lading.Pdf.htm |
| Request for quotation | Quote.htm |
| 【电子发票号码:30940297】您收到一张新的电子发票 | SF E-Invoice 30940297.pdf.html |
| VERIFY YOUR **********.com ACCOUNT. | *********.comUPDATE.shtml |
| New Order for Po No. : 4500250395 | PO2340943.html |
| Inquiry | Quote.html |
| <Request for Quotation> / Toyo Korea / ****** *** Electric | Order345009.html |
| invoice & Shipping Documents 29 May 2023 | dhl-shipment_invoice PI-Bill Of Lading#998454.htm |
| Re：(Scanned) Doc~Original Copy – FYI | Shipping document.html |
| Shipment Notice – Confirm Shipping Documents | Scanned Copies of Packing List_ETD.Pdf.htm |
| Documentos | ##documentos.XLSx.img |
| MAY P.O _3000000821 | MAY P.O _3000000821.Shtm |
| FW: BANK STATEMENTS (JAN – APR.) 2023 | BANK STATEMENTS (JAN – APR.) 2023.zip .htm |
사례: 악성코드 (Infostealer, Downloader 등)
| 이메일 제목 | 첨부파일 |
| 답장: 답장: [DHL] 수입신고수리내역서(수리전납부) – 1000452436 | Import declaration acceptance statement-1000452436.rar |
| Final Warning – Over Due Payment – Urgent Reminder!Final Warning – Over Due Payment – Urgent R…. | Overdue.img |
| RE: Booking | MSDS-112800.xlsm |
| P. Order & Contract (A-4553)2 | P. Order & Contract (A-4553)2.rar |
| New Order 220628001 | New Order 220628001.PDF.iso |
| [Sending Finalized Text] G7+Partners FASS Meeting | [FINAL] ********* Action Statement for Resilient Global Food_ Security_trackchanged.docx |
| Enquiry for Quotation – Works at Sector MZW-18 in ****** ****** Project | PO.028940.22.S-R224454676781-P0-MT_SAM.rar |
| Shipment Delivery Address *(Required) contact form | Required contact form..rar |
| Payment Receipt For T/T USD$140,378,00 | Payment Receipt For TT USD$140,378,00.rar |
| Please review your July 2022 offer | PLAYGROUND PROJECT – 2022089928 – KDF.arj |
| INCOMING DELIVERY NOTIFICATION | Delivery Repor.iso |
| RE: RE: FW: 2023/7/24 order shipment | Automann- Order2#44096.docx |
| cargo booking to Maresk for Po SPL-036500 & SPL-037282 | SPL-036500 & SPL-037282.pdf.z |
| Fatura ve GB Hk. | PROFORMA.LZH |
| Fw: Copia de pago | Copia de pago#8101227910.05302023.gz |
| New enquiry | Quotation Details_pdf.z |
| NEW ORDER | Purchase Order 982F23.Docx.img |
| purchase order | PO331020770.z |
| Purchases Order // PO23100080 | PO23100080.z |
| quote request | Purchase order.r20 |
| RE: inquiry | 30590120233540MES_S Quote.z |
| Re: Purchase Order No. 9455 & 9556 | 9455 & 9556.z |
| RE: quote request | 10690531TEZ_S Quote.r09 |
| Re[5]: wonderful pics | great_pctrs.pif |
| Ref:103XXXXX Shipment of Original Documents. | DHL SHIPMENT NOTIFICATION_PDF.gz |
| SWIFT TRANSFER. | SWIFT TRANSFER.LZH |
| *****Bank tarafindan | evraklar.gz |
| very cool pictures | sex-pic.jpg.exe |
| RE ; Advance in process – project #1021 (30% deposit) | invoice.xls |
| RE: Statement of Account | SOA.xls |
| RE: Reservation | MSDS-19055205pdf.7z |
| RE: Booking Request | MSDS-112883pdf.7z |
| Re: “URGENT” PAYMENT BACK RETURNED TT (Ref 0066743) | 006673-001.arj |
| Re: Request for Quotation via ShipServ DQR02/5-10-2023 | QTN-DQR025-10-2023.rar |
| Payment Advice Note 81930 30.05.2023 – 4360A | PAYMENT COPY $79,000.00.zip |
| *** *** ****** New Order PO#HKPOORD002361-2362 | New Order PO#HKPOORD002361-2362.zip |
| AW: PO-000001306 | PO-000001306.z |
| Certificates Of Analaysis | Certificates Of Analaysis.rar |
| Commercial and technical offer | Commercial and technical offer.rar |
| New enquiry. | MML-REQUEST FOR QUOTE_(IC 2114).IMG |
| Payment. (******* BANK ACCOUNT) | INVOICE_VM33020031052023.IMG |
| PAYMENT SWIFT //50% ADVANCE PAYMENT// | CCB SWIFT $40K.rar |
| Purchase Order PO-5093027b | PO-5093027b.r02 |
| RE: Offer Request | RE Offer Request.rar |
| Re: order | 33690120233531MES_S Quote.z |
| RE: ORDER JMG 06-01-2023 | ORDER JMG.IMG |
| Request V-23-VJU-028-D/01 for the Voge Julie | V-23-VJU-028-DGFGRz9eenOICt9Y-xlxs.rar |
| Signed Authorization letter | Signed Authorization letter.rar |
| Urgent (TT draft copy) | MT103-draft.r20 |
| swift copy | swift.LZ |
| RE: ****** SHIPPING COMPANY | MSDS-112703pdf.7z |
| About the payment | Remittance Copy#0128762534.pdf.gz |
| DHL awb – 4026735019 | DHL awb – 4026735019_20230525.gz |
| DHL AWB – 5032675620 | DHL AWB – COMMERCIAL INVOICE, BILL OF LADING, ETC DOC.gz |
| Fw: Due Invoice Payment | 20230106.8203849061-mt103-Trf.gz |
| Documentos | ##documentos.XLSx.img |
주의 키워드: ‘운송장’
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//submit-form[.]com/nv7B93q6
- https[:]//www[.]spgiutar[.]com/mmc/fdpxoGur23f[.]php
- http[:]//www[.]miassmebel-neo[.]ru/ZaZa/port25[.]php
- https[:]//aphal[.]000webhostapp[.]com/acr/PDF
- https[:]//submit-form[.]com/Lc0iCuYC
- https[:]//cardiofitness[.]guru/maersk/mk[.]php
- https[:]//submit-form[.]com/t5Rk3sUT
- http[:]//vanchuyentrungviethhc[.]com/wp-admin/YSL/Daemon[.]php
- https[:]//sercex[.]com/justgm[.]php
- https[:]//formcarry[.]com/s/8AHxxLifK2
- https[:]//submit-form[.]com/b8nhWuB2
- https[:]//formspree[.]io/f/xrgvdwqd
- https[:]//www[.]vvl-badvilbel[.]de/wp-content/plugins/3ae9ce9eaa8d4ce9a0f81e400863ce6b/y/mm/mdx/mmd/exee[.]php
- https[:]//naehpa[.]com/wp-admin/QY/port25[.]php
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계