연말연시 분위기를 악용하는 매우 정교한 피싱 사기

그림 1: 연말연시 피싱 캠페인

그림 1에서 볼 수 있듯이 이 키트는 브랜딩에 무척 공을 들였습니다. 여러 유명 브랜드를 아주 사실적으로 사칭했습니다. 그러나 이것만으로는 충분하지 않은지, 민첩한 인프라와 서비스를 만들어 탐지를 피하기도 합니다. 이는 특히 위험한 조합입니다.

이러한 종류의 소셜 엔지니어링은 작년에 분석한 피싱 캠페인 '설문지 퀴즈'와 유사합니다. 그러나 이번 캠페인은 가짜 사이트를 시각적으로 매우 잘 설계해 피해자의 신뢰를 쉽게 얻고 있다는 점에서 독특합니다. 실제 사이트와의 유사도를 끌어올리고 신뢰가 가도록 사이트를 구성하면 신용 카드 번호 확보에 성공할 가능성이 커집니다. 

공격자가 교묘해지면서, 피싱 키트 또한 점점 정밀해지고 있습니다. 이 캠페인은 적이 보안 제품의 한계와 피싱 공격 탐지에 있어 존재하는 격차를 얼마나 잘 이해하고 있는지를 보여 줍니다. 이 게시물에서 우리는 이 새로운 키트를 탐구하고, 이 키트의 성공 사유 및 바쁜 연말연시에 접어들면서 이와 같은 사기에 희생자가 되는 것을 피하는 방법을 확인해볼 겁니다.  

소셜 엔지니어링 기법

사기를 더욱 효과적으로 만들기 위해 피해자를 대상으로 다양한 소셜 엔지니어링 기법 및 기술을 사용해 긴박감 또는 신뢰, 혹은 둘 모두를 유도했습니다. 무언가에 정서적으로 반응할 때는 평소보다 주의를 덜 기울일 가능성이 큽니다. 예를 들어, 한 가지 기법은 분초를 다투는 제안을 해 피해자에게 압력을 가하는 것입니다(즉, 5분 안에 질문에 답을 해야 함). 이는 스트레스를 유도해, 평소라면 우리가 알아차렸을 수도 있는 세부 사항을 간과하게 할 수 있습니다. 다른 기법으로는 당첨이 되어 대상 리테일 기업으로부터 '무료 상품을 받았다'는 사람들의 거짓 고객 후기로 가짜 사용자 포럼을 만드는 방법이 있습니다. 우리는 각종 산업 전반에서 이러한 종류의 고객 후기를 보는 데 익숙해져 있어서 거짓 고객 후기를 보며 그릇된 안도감을 느끼게 됩니다. 

이 키트는 여러 브랜드를 모방하였기에 이러한 가짜 고객 프로필을 분석하는 것이 매우 중요했습니다. 가짜 사용자 나탈리 해밀턴(Natalie Hamilton)은 재활용되었고 경우에 따라 약간 수정되어 다양한 사기에 활용되었습니다(그림 2). 상품 후기 문구는 맞춤 설정되었으며 이미지를 포함하고 있어, 처음 보았을 때는 당첨자가 상품에 대해 감탄하는 말이 진실처럼 느껴집니다. 이 모든 것은 피해자가 신뢰를 품게 합니다. 게다가, 매 사기 시도 사이에 프로필 사진을 변경하므로 피해자가 여러 번 피해를 보더라도 사기를 탐지하지 못할 수도 있습니다. 증정 상품 전반에 있어 후기의 문구가 크게 유사하다는 점이 사기라는 것을 알려주지만, 이는 평범한 인터넷 사용자는 눈치채지 못하고 넘어갈 수도 있는 부분입니다.

그림 2: 가짜 사용자 나탈리 해밀턴

그림 3: 중첩된 리디렉션 체인

피해자의 이메일로 전송되는 최초 링크에는 HTML 앵커 뒤에 토큰이 있는 것을 확인할 수 있습니다(그림 3, 1단계). 이 토큰은 나중에 피해자의 브라우저의 자바스크립트가 해당 피해자를 리디렉션할 URI 링크를 재구성하는 데 사용됩니다(그림 3, 2단계). 토큰을 받아 사용하지 않고 피싱 사기 링크에 접속하는 경우 피싱 시작 페이지에 접속할 수 없으므로, 초기 링크가 없는 방문자는 필터링됩니다. 게다가 페이지 리디렉션 렌더링의 일부로 자바스크립트를 실행하지 않는 브라우저 기반 접속 또한 실패합니다. 악성 랜딩 페이지에 도달하려면 브라우저에서 리디렉션 URI를 생성할 수 있어야 합니다. 이는 의심스러운 링크를 검색하고 헤드리스 브라우저(Headless browser) 기능을 사용하지 않는 웹 크롤러와 같은 보안 메커니즘을 우회하기 위해 취하는 또 다른 직접적인 조치입니다.

또한 토큰을 사용하면 공격자가 피해자를 추적하고 잠재적 피해자의 몰입도에 대한 통계를 찾을 수 있습니다. 이를 통해 적은 무엇이 효과적이고 무엇이 효과적이지 않은지, 즉 피해자를 보다 구체적으로 겨냥하는 데에 사용할 수 있는 방법을 파악해 성공 가능성을 높일 수 있습니다.

임의 생성 URL의 사용

이 키트의 독특한 부분 중 하나는 접속할 수 있는 사람의 범위를 얼마나 강력히 제한하느냐입니다. 원치 않는 방문자를 걸러내기 위한 노력의 일환으로 이 키트는 리디렉션 체인의 일부로 특정 사용자에게 연결되는 임의의 URL을 생성합니다. 피싱 웹사이트에 접속하면 할당된 각 URL은 특정 사용자만이 사용할 수 있습니다.  

이 기능을 사용하면 무작위로 생성된 URL이 의심스러운 사이트로 신고될 경우, 공격자가 다른 사용자의 접속 권한을 제한해 해당 웹사이트가 탐지되지 않도록 할 수 있습니다.

CDN의 힘 사용

웹 호스팅 서비스의 신뢰할 수 있는 평판에 편승해 악용하는 것과 비슷하게, 이 사기의 랜딩 페이지는 도메인 등록 등의 CDN 벤더사가 제공하는 일부 서비스를 사용합니다. 공격자는 빠르고 간편한 등록을 활용해 인스턴스를 쉽게 만들어 낸 다음 피싱 웹사이트 도메인 이름을 순환시킵니다. 이 두 가지 작업은 모두 피싱 웹사이트 인프라를 제거하지 않고도 이뤄집니다. CDN과 연관되고 서로 다른 CDN 고객 간에 공유되는 IP 주소 또한 순환합니다. 이때 일부는 정상적이라고 간주되는 것이지만, 나머지 일부는 악성으로 간주되는 것입니다. 이 경우, 만일 IP 주소를 기준으로 차단하면 정상 트래픽을 잘못 차단하게 될 수도 있으므로, IP 주소를 기반으로 차단하는 옵션은 더이상 쓸 수 없어집니다. 또한, 봇 트래픽 차단 같은 방어 CDN 기능이 피싱 웹사이트를 정상적인 보안 크롤러와 스캐너로부터 보호하는 데에 동원된 것으로 추측하고 있습니다.

특정 지역 겨냥 캠페인

Akamai의 연구에 따르면, 랜딩 웹사이트는 피해자의 지리적 위치에 따라 변경되며 일부 지리적 위치에서는 전혀 접속이 제한되지 않습니다. 보안 연구팀에서 추적한 캠페인은 대부분 미국에서 접속할 수 있었고, 이는 이 캠페인이 특히 미국인을 피해자로 특정했다는 것을 의미합니다. 공격자는 원치 않는 접속을 제한해 미국 외부에서 해당 웹사이트에 접속을 시도하는 보안 제품이 피싱 웹사이트를 탐지될 리스크를 줄인 것으로 보입니다. 동일한 피싱 링크가 다양한 지리적 맞춤형 설정에 따른 여러 웹사이트로 연결된다는 점은 이 캠페인의 규모, 효율성 및 고도의 정교성을 다시 한번 강조해 줍니다.

Akamai의 세계적인 식견은 이 캠페인이 지리적으로 표적을 겨냥한 공격이라는 가정을 입증해줍니다. 피싱 사기에 접속한 피해자의 89%가 미국과 캐나다에 거주한다는 것을 확인할 수 있습니다.  

요약

이 키트의 분석을 통해 배운 점이 한 가지 있다면, 이는 바로 피싱 사기가 여전히 성공적인 이유입니다. 적은 방어 팁, 기법 및 절차를 알고 있으며, 키트를 소셜 엔지니어링과 결합하면 이와 같은 키트를 탐지하기 어렵고(심지어 불가능할 수도 있으며) 이에 대해 방어하는 것은 더더욱 어렵습니다. 이 블로그 게시물은 보안 제품 또는 벤더사의 효과를 헐뜯고자 하는 것이 아니라 악의적인 목적을 달성하기 위해서라면 여러 단계의 방어 수단조차도 무너질 수 있다는 것을 보여 주기 위해 작성되었습니다. 

정보 보안 커뮤니티에서는 어떤 요소가 위협을 정교하게 만드는가에 대해 많은 논의가 있었습니다. 감염 방식일까요? 지속성을 유지하는 방식일까요? 탐지를 회피하는 방식일까요? 정교함을 어떻게 정의하든 이 키트는 종합적인 정보를 제공합니다. 이 키트는 상용 서비스 사용, 유연한 리디렉션 체인, 지역 차단, 세분화된 URI 토큰 등 성공을 위한 모든 요소로 구성되어 있습니다. 또한 보안 제품의 작동 방식과 장점을 활용하는 방법에 대한 공격자의 이해를 반영합니다.

본 게시물에서는 공격자가 효과적인 피싱 캠페인을 만들 수 있도록 이끄는 요인은 무엇인지 집중 조명합니다. 제로섬 게임이 아닙니다. 피싱 키트를 탐지하고 방어한다고 해서 공격이 성공하지 못했다는 것을 의미하지는 않습니다. 성공은 캠페인의 유지 시간 및 미탐지 시간, 사기의 현실성, 피해자의 사기 관여 정도를 조합해 결정됩니다.

상용 서비스의 사용에 의해 사기의 정교성이 어느 정도 높아지므로 매우 우려됩니다. 공격자는 공용 무료 서비스 중 일부를 사용해 악의적인 행동을 성공적으로 실행할 수 있습니다. 또한 정교한 표적 피싱 공격은 방어하기가 훨씬 더 어렵기 때문에 이러한 수준의 인프라와 고급 기술을 사용해 광범위한 소비자를 성공적으로 공격하는 사례가 나타나면서 우려가 커지고 있습니다.

미국에서 연휴 시즌이 막 시작됨에 따라 이렇게 연말연시 분위기를 악용하는 공격이 증가할 것으로 예상합니다. 모두가 경계 태세와 안전을 유지하는 것이 좋습니다. 기억하세요. 믿을 수 없을 정도로 좋은 제안을 받게 되면 의심해 보아야 합니다. 

피싱 랜딩 페이지 도메인

opticshair{.}live

metalicanar{.}com

havocblume{.}com

fashionbrall{.}com

stirringglass{.}com

jetingsign{.}info

nauseaspinn{.}info

foresterdam{.}info
wharfposition{.}com

outstriplander{.}live

qualiagolf{.}info

kimonosuit{.}info