잉카인터넷 시큐리티대응센터 블로그

최근 합법적인 도메인으로 위장해 대량의 스팸 메일을 발송하는 “SubdoMailing” 캠페인이 발견됐다. 공격자는 SPF(Sender Policy Framework), DKIM(DomainKeys Identified Mail) 및 DMARC(Domain-based Message Authentication, Reporting and Conformance)의 이메일 인증을 이용해 스팸 필터를 우회한다. 또한, 더 이상 사용하지 않는 도메인을 가리키는 CNAME과 SPF 레코드를 하이재킹하는 등 합법적인 도메인의 하위 도메인을 탈취해 공격에 이용한다. 이로 인해 공격자는 합법적인 사용자로 위장해 스팸 메일을 정상 메일처럼 발송할 수 있다. 한편, 사용자는 메일 본문에 있는 버튼을 클릭할 경우 일련의 리다이렉..

최근 이메일 서버의 자격 증명을 도용하는 Zimbra Collaboration 피싱 캠페인이 발견됐다. 보안업체 ESET은 해당 피싱 이메일이 Zimbra 이메일 서버 사용자를 대상으로 전송된다고 전했다. 공격자는 사용자에게 Zimbra 업체가 보낸 것처럼 위장해 이메일 서버 업데이트가 임박했음을 알린다. 사용자가 첨부된 HTML 파일을 열면 가짜 Zimbra 로그인 페이지를 띄워 로그인을 유도한다. 이후 로그인 계정을 입력하면 공격자에게 정보가 전달되고, 해당 계정으로 또 다른 사용자에게 피싱 이메일을 유포할 수 있다. ESET은 공격자가 Zimbra Collaboration 이메일 서버를 대상으로 내부 정보를 수집하거나, 이를 서버 전체에 추가 공격하기 위한 초기 지점으로 활용한다고 언급했다. 사진 ..

최근 서비스형 피싱 플랫폼인 “EvilProxy”를 사용해 Microsoft 365 계정을 탈취하는 피싱 캠페인이 발견됐다. 보안 업체 Proofpoint는 신뢰할 수 있는 업체로 위장한 공격자의 피싱 메일에서 캠페인이 시작된다고 전했다. 피싱 메일은 정상적인 웹사이트로 위장한 링크를 포함하고 있으며, 접속할 경우 공격자가 사전에 만든 사이트로 리다이렉션을 한다. 해당 링크로 접속한 사용자가 로그인을 시도하면, 공격자는 “EvilProxy”를 사용해 계정 정보와 MFA 인증 정보 등을 탈취한다. 이후, 탈취한 계정으로 로그인 한 공격자는 MFA 인증 방식을 추가해 지속적인 접근을 가능하게 하며 금융 사기 및 데이터 유출 등의 추가 공격을 수행할 수 있게 된다. 이에 대해 Proofpoint 측은 이메일 ..

최근, 실제 기업을 사칭한 인보이스 메일을 통해 Microsoft Outlook 계정 비밀번호 입력을 유도하는 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 아래의 피싱 메일은 "Invoice F12996554 - FRI 10/6"이라는 제목으로 유포되며, 호주의 온라인 식품 도매 플랫폼 F사를 사칭해 첨부파일 실행을 유도한다. 메일 하단의 기업 로고를 클릭하면 실제 해당 업체의 웹페이지로 리디렉션되기 때문에 사용자들로 하여금 피싱 메일이라는 의심을 피할 수 있다 만약 사용자가 첨부된 파일을 다운로드해 실행할 경우 Microsoft를 사칭한 피싱 사이트로 연결되고, Outlook 계정의 비밀번호를 입력하도록 한다. 이때, 이메일 주소 필드에는 수신인을 타깃으로 미리 입력되어 있기 때문에 사용자들은 무..

Microsoft를 사칭한 비밀번호 변경 피싱 메일 주의! 최근 Microsoft를 사칭해 Outlook 계정의 비밀번호를 변경하라는 피싱 메일이 발견되어 사용자들의 주의가 필요하다. 해당 피싱 메일은 링크가 첨부된 메일로 비밀번호가 만료돼 변경해야한다는 내용으로 링크로 접속하도록 유도하고 있다. 첨부된 링크에 접속할 경우 Microsoft 로그인 사이트로 연결되고, 비밀번호를 입력하도록 유도한다. 그 후, 패스워드를 입력하면 잘못된 비밀번호라는 문구와 함께 다시 입력할 것을 요청한다. 이는 피싱 사이트라는 것을 판별하기 위해 사용자가 무작위로 패스워드를 입력하는 것에 대한 방안으로 적용된 기법으로 추정된다. 두번째 패스워드를 입력하면 공격자의 또 다른 서버로 리디렉션된다. 리디렉션된 사이트는 연락을 달..

신용카드 거래 영수증을 사칭한 피싱 메일 유포 최근 상품 구매 영수증을 사칭한 피싱 메일이 유포되었다. 해당 메일에는 영수증 번호와 거래 일자, 사용 금액이 상세하게 적혀있어, 사용자로 하여금 첨부된 문서 파일을 클릭하도록 유도한다. 첨부된 파일은 악성 엑셀 문서로 매크로를 활성화하는 ‘콘텐츠 사용’ 버튼을 클릭하고 ‘OPEN & VIEW’ 박스를 클릭하면 매크로를 통한 악성동작이 시작된다. 매크로를 통해 원격지 서버에 연결하여 임의의 파일 명으로 %Temp% 경로에 dll 파일을 다운로드한다. 다운로드된 dll은 정상 파일에 인젝션되어, C2 서버에 연결을 시도한다. 현 분석 시점에는 해당 서버에 연결되지 않는다. 최근 피싱 메일은 사용자가 의심하지 않도록 내용이 더욱 정교화되고 있기 때문에, 사용자들..