피싱 이메일 위협 유형
한 주간 피싱 이메일 첨부파일 중 다운로더(Downloader, 37%)가 가장 많은 유형을 차지하였다. 다운로더는 인포스틸러, 백도어 등 다양한 추가 악성코드를 다운로드하였다. 두 번째로 많은 위협 유형은 AgentTesla, FormBook, AveMaria 와 같이 웹 브라우저, 메일 및 FTP 클라이언트 등에 저장된 사용자 정보를 유출하는 정보 탈취 악성코드(Infostealer, 29%)이다. 세 번째 위협 유형은 가짜 페이지(FakePage, 18%)는 공격자가 로그인 페이지, 광고성 페이지의 화면 구성, 로고, 폰트를 그대로 모방한 페이지로, 사용자가 자신의 계정과 패스워드를 입력하도록 유도하여 입력된 정보는 공격자 C2 서버로 전송하거나, 가짜 사이트로 접속을 유도한다. 아래 <가짜 페이지 C2> 참고 이 외에 트로이목마(Trojan, 15%), 취약점(Exploit, 1%)이 확인되었다. 피싱 이메일 첨부파일을 이용한 위협 유형과 그 순위는 <ASEC 주간 악성코드 통계> 로 매주 공개하는 악성코드 유포 순위와 유사하다.첨부파일 확장자
위에서 설명한 위협들이 어떤 파일 확장자로 이메일에 첨부되어 유포되었는지 확인하였다. 가짜 페이지는 웹 브라우저로 실행되어야 하는 웹 페이지 스크립트(HTM, HTML, SHTM, SHTML) 문서로 유포되었다. 정보 탈취 악성코드와 다운로더 악성코드를 포함한 그 외 악성코드는 RAR, Z, GZ, 7Z 등 압축파일 포함한 다양한 파일 확장자로 이메일에 첨부되어 들어왔다.유포 사례
2023년 06월 04일부터 06월 10일까지 한 주간 유포 사례이다. 가짜 로그인 페이지 유형과 정보유출, 다운로더, 취약점, 백도어를 포함한 악성코드 유형을 구분하여 소개한다. 이메일 제목과 첨부파일 명에 등장하는 숫자는 일반적으로 고유 ID 값으로서, 이메일 수신자에 따라 다를 수 있다. 한글 제목의 유포 사례도 확인되었다. 글로벌하게 똑같은 영문 제목과 내용으로 유포되는 것이 아닌 국내 사용자를 공격 대상으로 한 사례이다.사례: 가짜 로그인 페이지 (FakePage)
이메일 제목 | 첨부파일 |
[FedEx] 관세 납부 안내(Tax Invoice) | Tax_Notification.html |
[대한항공 화물] 송장 원본 및 포장 목록 통관. | Original-invoice_lee_********.htm |
DHL 송장 및 배송 도착 문서 (ARRIVAL NOTICE) | DHL AWB_INV.shtm |
[DHL] 수입세금 납부마감 안내 – (INV and AWB) ✈ | DHL SCANNED ORIGINAL DOC.htm |
Come on, quickly withdraw your +25,176$! The account is not blocked yet | Your_accounts_with_a_balance_of_27125%24_will_be_blocked-2183.pdf |
Invoice, PI, bill of lading (shipping documents) | FedEx Import Tax Invoice.html |
Action Required: Your Account Requires Verifying Some Information | american express-mail-security.html |
An Urgent Review Requires Your Attention Immediately | wellsfargo-account-protection-alerts.html |
You have 24 hours to withdraw +23.536$ | The_main_thing_is_to_have_time_to_withdraw_your_15494%24-8235.pdf |
RE: TR: Fuite dossier FILLAT | P.pdf |
NEW ORDER (PO9924RHN43) | PO1124RHN43.html |
+14,857$ will be cancelled in 24 hours | Come_on%2C_quickly_withdraw_your_21778%24_The_account_is_not_blocked_yet-12459.pdf |
You have a New Message | USAA NEW DOCUMENT.pdf |
JUNE P.O _3000000821 | JUNE P.O _3000000821.Shtm |
Your account already has +19,741$ | 21%2C731%24_burn_out_in_24_hours-4259.pdf |
Shipment Booking Confirmation – Bill of Lading Document – Original Scan copies of Document | Scanned Copies of Packing List_ETD.Pdf.htm |
DHL AWB 到货通知#310479442 | DHL AWB#310479442.html |
INVOICE & SHIPMENT – 9 Jun 2023 | dhl-shipment_invoice PI-Bill Of Lading#998454.htm |
Cosmax USA PO# 4500926140 | PO#4500926140 & #0018288.pdf.html |
FW:ATTACHED SWIFT COPY 6/9/2023 2:33:49 p.m. | AWDPAYMENT-RECEIPT.html |
사례: 악성코드 (Infostealer, Downloader 등)
이메일 제목 | 첨부파일 |
국세청 홈택스에서 발행하여 발송하는 전자(세금)계산서입니다 | NTS_eTaxInvoice·pdf.zip |
견적요청의 건 | 견적 요청 건.7z |
Tax Invoice – [DHL] 수입신고수리내역서(수리전납부) | Tax Invoice.rar |
Pending DHL Shipment Notification REF: 02/6/2023 | Shipping doc.img |
Re: New Order PO# DTD28102022 (SO# 11280). | Re New Order PO# DTD28102022 (SO# 11280)..rar |
Shipment Delivery Address *(Required) contact form | Shipment Delivery Address.rar |
Management Review and the IQMP Compact Checklist -IQMP DP571911277 | scan16431643.zip |
FWD: PAYMENT SWIFT | ISLAMIC BANK SWIFT.pdf.z.rar |
Balance Payment – 06062023 | 06062023_8091526433_0010017265.gz |
order | 10790531TEZ_S Quote.z |
Fwd: New enquiry | E700 quotation20111209.r09 |
RE: New Shipment Order / Urgent Request Approval of Draft Shipping Docs (BL/SZOE23050007) | DOCS.r15 |
Arrange balance payment | bank SWIFT massage.rar |
Fw: Outstanding Payment | Payment Advice – 8243001970.gz |
Inquiry | Inquiry.rar |
New Purchase order sanseo.shop | Purchase Order 2023.0608.pdf.z |
New PO(Trial) – 230102 | PSC_ A-2303310.rar |
LIABILITY POLICY, 07/01/2023 – 07/01/2024 NM89515177 | scan18871887.zip |
RE: SWIFT & ADVICE – BALANCE AMT PAID —-IMP NO. 31/23-24 | Transaction receipt.xls |
Re: RE : New Order_PO234 | PO450.ISO |
New Purchase order (J.Global) no. 155362-A | NEW_PO155362A_JGlobal_Pdf.rar |
New enquiry | 40023540MES_S Quote.img |
FW:Saudi Aramco.co//ENQ-0090/F/8 | Saudi AramcoENQ-0090F8.PDF.r02 |
RE: Confirm revised invoice to proceed with payment ASAP | payment invoice-pdf.gz |
DHL Express Awb no: 2284285290 Información de declaración de microexportación | 2284285290 ETGB_IHRACAT.7z |
Purchase Order No 1600064995 _ 00000000 | Purchase Order No 1600064995 _ 00000000.pdf.GZ |
RE: Booking | Booking_002990pdf.7z |
RFQ of CFP Crude Oil Tank Project: 19P3792A-M11A.01A_Z1:(A/G) | Crude Oil Tank Project_General Spec.gz |
Commercial Invoice and Bill Of Lading. | Bill Of Lading..rar |
New Inquiry | New Inquiry.rar |
5314 Statement 0013167791 for Remittance | 5314 Statement 0013167791.zip |
LOI/North Oil Company 6000003101 | RFQ No. 6000003101.PDF.z |
RE: RE:Sonak Corporation new Order | FOB $Corporation new OrderPDF.r00 |
RE: RFQ-Huada Superabrasive Tool Technology Co., Ltd | RE RFQ-Huada Superabrasive Tool Technology Co., Ltd00PDF.r00 |
Urgent inquiry | QUOTE_700040133.IMG |
RE: BOOOKING PAYMENT | Booking_826111pdf.7z |
PO FOR SC310962Z105 | SC310962ZI05.IMG |
Express Delivery Arrival Notification attached #3178 June 2023 | Shipment Delivery Notification and Release Documents.img |
Multimedia-MMS | img-20170403-0052,jpeg.zip |
DHL Express – the commercial invoice 2898435030 157662876374 | Commercial_CVS_inv.03.04.2017.zip |
PO 230606 | ORDER-230606_List.pdf.z |
OOCL Arrival Notice At Final Destination: OOLU4051770254 | COSCO SHIPPING ANDES – 017E | BL2716915060623.PDF.r00 |
New Order | NEW PO – 4610926543.gz |
RE: HOLIDAY TOURS REQUEST | Booking_07_10623pdf.7z |
Dhl Notification for shipment | DHL – COMMERCIAL INVOICE, BILL OF LADING, ETC_DOC.gz |
DHL AWB – 5032675892 | DHL AWB 5032675892.gz |
주의 키워드: ‘홈택스 세금 계산서’
이번 주의 키워드는 ‘홈택스 세금 계산서’이다. 5월은 종합소득세 신고의 달이며 공격자는 국세청으로 위장하여 다수의 일반 사용자들에게 GuLoader 악성코드를 유포하였다. 첨부된 “NTS_eTaxInvoice-pdf.zip” 압축 파일 내부에는 EXE 형태의 동일한 파일명을 갖는 GuLoader 악성코드가 존재한다. GuLoader 악성코드의 기능은 백도어 혹은 인포스틸러 악성코드를 추가로 다운로드하는 다운로더 형태의 악성코드이다. 분석 당시에는 NanoCore RAT 도구가 다운로드되었으며 공격자는 NanoCore RAT을 통해 사용자 PC에 대해 원격제어를 수행할 수 있다. 따라서 사용자는 이메일의 첨부 파일 열람 시 출처를 확인해야하고 특히 EXE 확장자와 같은 실행 파일 형태의 경우 실행을 주의해야 한다.
NTS_eTaxInvoice-pdf.exe (ED9A4BBACD25426E9403E7847619F5BE)
V3 파일 진단 정보/엔진 버전
– Trojan/Win.GuLoader.R585076 (2023.06.07.02)
가짜 페이지 (FakePage) C2 주소
가짜 페이지중 공격자가 만들어둔 로그인 페이지 유형에서 사용자가 자신의 계정과 패스워드를 입력할 경우 공격자 서버로 해당 정보가 전송된다. 아래 목록은 한 주간 유포된 가짜 로그인 페이지의 공격자 C2 주소이다.- https[:]//regulateantelope[.]sa[.]com/slim/fdpxoGur23f[.]php
- https[:]//regulateantelope[.]sa[.]com/funn/fdpxoGur23f[.]php
- https[:]//sattaonmobile[.]com/new/1drv[.]php
- https[:]//submit-form[.]com/ghJmPlKG
- https[:]//naehpa[.]com/wp-admin/xX/frehot[.]php
- https[:]//californiaapostillenotary[.]com/wp-admin/AA/fedex[.]php
- https[:]//formspree[.]io/f/xoqzoajq
- https[:]//naehpa[.]com/wp-admin/QY/port25[.]php
- https[:]//submit-form[.]com/GPg6ZA4G
- http[:]//175[.]178[.]24[.]223/wp-content/themes/finl/lead/access1[.]php
- https[:]//formspree[.]io/f/myyazkbv
- https[:]//submit-form[.]com/XLknrnS0
-
- 확인되지 않은 발신자에게 온 이메일에 포함된 링크, 첨부파일은 그 내용을 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 로그인 계정을 비롯한 민감 정보는 신뢰할 수 있기 전까지 입력하지 않는다.
-
- 익숙하지 않은 파일 확장자로 된 첨부파일은 신뢰할 수 있기 전까지 실행하지 않는다.
-
- 안티바이러스를 비롯한 보안 제품을 이용한다.
-
- Phishing for Information(Reconnaissance, ID: T1598[1])
-
- Phishing(Initial Access, ID: TI1566[2])
-
- Internal Spearphishing(Lateral Movement, ID:T1534[3])
Categories:위협 통계