게시물-제목없음

#포털 사이트 #계정정보 탈취 #피싱 메일 #송장 #인보이스 #사건사고 #안랩 #ASEC 분석팀

안랩 ASEC 분석팀 “송장과 관련된 내용으로 첨부파일 실행 유도”

[보안뉴스 권 준 기자] 최근 국내 포털 사이트의 계정정보 탈취를 노리는 피싱 메일이 기승을 부리는 것으로 드러났다.

보안업체 안랩의 ASEC 분석팀에 따르면 국내 포털 사이트를 위장한 피싱 파일(HTML)이 스팸메일을 통해 국내에 유포되고 있는 것으로 확인됐다. 스팸메일은 송장과 관련된 내용으로 첨부 파일 실행을 유도하는데, 첨부된 파일은 압축파일(zip) 형태이며, 압축파일 내부에는 국내 포털 사이트를 위장한 HTML 파일이 존재하는 것으로 분석됐다.

▲송장 관련 스팸 메일[자료=안랩 ASEC 분석팀]

해당 피싱 메일에는 “인보이스(송장)을 첨부했으니 첨부된 파일을 확인해 달라”는 내용이 영문으로 기재돼 있다. 피싱 메일의 첨부 파일 내부에 존재하는 HTML 파일 실행시 특정 주소의 URL로 리다이렉트(redirect) 되는 과정을 거쳐 국내 유명 포털 사이트의 로그인 화면을 확인할 수 있다.

▲피싱 사이트와 정상 사이트 비교[자료=안랩 ASEC 분석팀]

안랩 ASEC 분석팀은 “해당 사이트는 사용자의 계정 정보를 탈취하는 피싱 사이트지만 정상 사이트와 매우 유사하여 사용자가 알아채기 힘들다”며, “내부 코드도 정상 사이트와 매우 유사하며, 계정 및 비밀번호 입력시 전송되는 서버가 공격자 주소로 변경되어 있는 것을 확인할 수 있다”고 밝혔다.

▲송장 관련 사진이 게시된 피싱 사이트[자료=안랩 ASEC 분석팀]

이러한 가짜 로그인 화면을 사용자가 진짜 포털 사이트의 로그인 화면으로 착각해 계정 정보를 전송하게 되면 이후 송장과 관련된 사진이 게시된 URL로 리다이렉트 되는 동시에 사이버공격자들에게 포털 계정정보를 탈취 당하게 된다.

이렇듯 최근 포털 사이트의 계정정보 등 기업 담당자들의 메일 계정을 노리는 피싱 메일들이 다양한 형태로 발전하고 있어 출처가 불분명한 메일 수신시 첨부파일을 실행하지 않도록 각별한 주의가 필요하다.

==================================================================

피싱과 같은 사회공학적 기법의 공격의 경우 계속해서 발생하는 공격 위협중 하나로 볼 수 있다.

이런 위협은 가장 보편적으로 발생하며 대개 첨부파일에 악성 프로그램을 넣어 실행시키도록 하는데 첨부파일의 경우 확장자명을 제한하기도 하여 최대한 공격할 방법을 줄이지만 url은 아직 그런 제한하는 1차적인 방법이 없는 것 같다. 따라서 모르는 사용자로부터 url이 왔을 때, 해당 url이 피싱사이트인지 확인하는 1차적인 보안 방법이 생겼으면 좋겠다고 생각한다.