USPS를 표적으로 삼는 피싱 캠페인으로 USPS만큼 많은 웹 트래픽 발생

• Akamai 연구원들은 2023년 연말연시 이후 악성 활동일 가능성이 높은 도메인 및 USPS(United States Postal Service)와 관련된 것으로 추정되는 도메인을 상당량 발견했습니다.

• 이에 정상적인 도메인인 usps[.]com에 대한 5개월간의 DNS 트래픽과 불법적인 콤보스쿼트 도메인 이름에 대한 DNS 트래픽을 비교했습니다. 

• 이 분석을 통해 수집된 악성 도메인에 대한 DNS 쿼리 수가 일반적으로 usps[.]com에 대한 쿼리 수와 거의 같으며, 심지어 피크 시간대에는 이를 초과한다는 사실을 발견했습니다.

Akamai가 적용한 필터는 매우 엄격합니다. us.ps393[.]com 또는 usps.parceltracker-us[.]com과 같은 정규화된 도메인 이름은 하위 도메인을 포함하므로 제외시켰습니다. 정확성을 위해 콤보스쿼팅 기법을 사용하는 가장 확실한 샘플만 수집했습니다.

가혹한 매개변수 때문에 분석에 매우 보수적으로 임했습니다. 그럼에도 불구하고 엄청난 양의 악성 트래픽이 발견되었기 때문에 이러한 사칭이 실제로 미치는 영향은 놀랍습니다. USPS를 사칭하는 악성 도메인을 훨씬 더 많이 수집할 수도 있었지만, 이 데이터 세트에 오탐을 포함시키지 않는 것이 중요했습니다.

다음에 나오는 모든 통계는 이 분석에 사용된 데이터 샘플에서 파생된 것입니다. 매우 큰 표본일 수 있지만 단순 표본에 지나지 않으며, 크기가 매우 커 모든 수치가 낮게 나타납니다. 이는 악성 데이터 세트와 정상적인 usps[.]com 데이터 세트 모두 해당합니다.

표 1: DNS 트래픽이 가장 많이 발생한 악성 도메인

그림 3의 파란색 막대를 보면 블랙 프라이데이 하루 전인 11월 23일부터 usps-stampservice[.]com에 트래픽이 발생하기 시작했음을 알 수 있습니다. 트래픽은 12월 1일까지 활성 상태를 유지하다가 멈췄습니다. 사이버 범죄자들이 그 시점에 잠재적 피해자들에게 문자 메시지를 보내는 것을 중단했기 때문인 것으로 추정됩니다. 현재 해당 웹사이트에 접속할 수 없기 때문에 아마도 이 시점에 웹사이트가 종료되었을 것입니다.

이제 다른 도메인인 uspspost[.]me(그림 3의 주황색 막대)를 살펴보겠습니다. 이 도메인은 크리스마스 기간, 흥미롭게도 12월 6일을 노린 것으로 보입니다. 이것이 성 니콜라스 데이에 의해 촉발된 캠페인이라면 이 캠페인은 매우 특정한 틈새 시장을 타겟팅한 것입니다. 성 니콜라스 데이는 미국 내 일부 지역에서만 기념하기 때문입니다. 이 캠페인으로사이버 먼데이를 앞둔 고객을 타겟팅했을 수도 있습니다.

표 2: 악성 핵심 도메인과 관련된 가장 인기 있는 TLD

[.]com TLD는 새 도메인을 등록하는 데 가장 많이 사용됩니다. 데이터에서 약 4500개의 고유 .com 도메인을 확인할 수 있습니다. [.]com은 잠재적 피해자에게 전 세계적으로 친숙하고 정상적인 느낌을 줄 수 있기 때문에 이는 놀라운 일이 아닙니다.

[.]top TLD는 공격자가 가장 선호하는 대체 TLD인 것으로 보입니다. 3000가지 이상의 도메인 이름으로 2위를 차지합니다. 이 일반 TLD는 중국의 한 기술 회사에서 운영하며 피싱 캠페인에 악의적으로 사용되는 것으로 잘 알려져 있습니다.

흥미롭게도 [.]world TLD는 표에 나타나지 않습니다. 그 이유는 [.]world의 경우 총 17만126건의 쿼리가 집계되었지만(매우 높은 수치로 [.]com 및 [.]top과 거의 비슷함) 이 중 99.5%가 usps-post[.]world로만 이루어졌기 때문입니다(가장 많은 쿼리를 받은 도메인 이름은 usps-post[.]world였음을 기억하세요). 이 TLD에서는 몇 개의 도메인 이름만 발견되었습니다.

표 3: 악성 핵심 도메인의 IP 주소

QuadraNet에 속한 IP는 몇 개의 도메인 이름만 가리키고 있지만 여전히 많은 양의 트래픽이 발생하고 있습니다.

Amazon을 가리키는 IP에는 많은 수의 도메인 이름이 연결되어 있지만 각 도메인은 소량의 쿼리만 담당하고 있습니다.

아마도 2개의 서로 다른 피싱 공격이 발생했을 가능성이 높습니다. 그 중 하나에서 사기꾼은 여러 도메인 이름으로 트래픽을 분산시키기로 결정했습니다.  다른 캠페인은 단 몇 개의 도메인에 걸쳐 있으며 각 도메인에서 많은 트래픽이 발생합니다.

시간이 지남에 따라 어떤 일이 발생하는지 살펴볼 수도 있습니다. 그림 7은 주별로 집계된 동일한 수치를 보여줍니다.

평상시에는 트래픽이 비교적 비슷할 뿐만 아니라 일부 주에는 악성 도메인이 usps.com보다 더 많은 쿼리를 받고 있습니다. 트래픽은 미국에서 연중 가장 많은 배송이 이루어지는 추수감사절(블랙 프라이데이)과 크리스마스 연휴를 전후로 급증합니다.

공격자들은 선물 교환이 많은 연휴를 잘 알고 있으며, 이에 맞춰 USPS 피싱 캠페인의 타이밍을 맞추고 있는 것으로 보입니다. 물론 해당 기간에는 더 많은 사람들이 택배를 기대할 것이기 때문에 공격자들이 그렇게 하는 것은 당연한 일입니다. 또한 연말연시는 사람들이 특히 바쁜 시기이므로 사기 메시지를 클릭하는 등의 부주의한 실수를 할 가능성이 더 높습니다.

USPS는 특히 크리스마스와 추수감사절을 포함한 연휴 시즌에선물 구매가 많다는 특성으로 인해 문자 사기의 공격을 많이 받는 것으로 나타났습니다.

악성 도메인과 usps[.]com의 총 쿼리 수는 명시적인 USPS 약어를 포함한 도메인만 계산해도 거의 동일합니다. 이 분석에서는 USPS가 5개월 간의 총 쿼리 중 51%를 차지했지만, 데이터를 필터링한 결과 실제 세계에서는 악성 트래픽이 정상 트래픽보다 훨씬 더 많다는 것을 알 수 있습니다. USPS를 예로 들었지만, 이 콤보스쿼팅 기법은 전 세계적으로 피싱 캠페인에 사용되고 있으며, 그만한 이유가 있습니다. 매우 성공적이기 때문입니다.

악성 공격자들이 사용한 2가지 접근 방식은 여러 도메인 이름으로 트래픽을 분산시키거나, 트래픽이 많은 몇 개의 도메인만 사용하는 것입니다. 이는 난독화 목적일 수 있습니다. 통신사와 기타 호스팅 공급업체는 이러한 사기가 널리 퍼져 있다는 사실을 인지하고 이러한 페이지를 탐지 및 제거하기 위해 노력하고 있습니다. 이런 사기를 제거하기 위해 상당한 노력을 기울이고 있다는 점을 고려할 때, 그 결과와 관찰 결과는 더욱 우려스러운 수준입니다.

Akamai는 고객과 보안 커뮤니티 전반을 위해 이와 같은 위협을 지속적으로 모니터링하고 보고할 것입니다.