이번 주 요약에서 CTI는 공격자가 피싱 이메일 의 제목 줄에 잘못된 날짜를 붙여 수신자의 감정에 영향을 미치는 방법을 조사합니다. 다음으로, CTI는 사용자가 저지르는 네 가지 가장 일반적인 비밀번호 실수와 해커가 이를 활용하는 방법을 제시합니다. 마지막으로, CTI는 Earth Estries 사이버 범죄 그룹과 최신 사이버 스파이 캠페인에 대한 업데이트를 제공합니다.
1. 공격자는 피싱 제목 줄에 잘못된 날짜를 사용합니다.
최근 Cofense 블로그는 공격자가 피싱 이메일 의 제목 줄(새 탭에서 열림)에 잘못된 날짜를 포함하는 방법을 보여줍니다. 또한 이 분석에서는 날짜와 대상 하위 부문이 포함된 제목 줄의 흥미로운 추세가 드러납니다.
날짜가 포함된 시험대상자 대 날짜가 없는 시험대상자의 비율
분석은 모든 형식의 날짜가 있는 시험대상자를 살펴보는 것으로 시작되었습니다. 여기에는 지연 팩스, 누락된 음성 메일, 기한이 지난 송장, 급여 및 즉각적인 주의가 필요한 기타 항목과 관련된 주제 주제가 포함되었습니다. 제목 줄에 날짜가 있는 이메일 수는 하위 부문에 따라 달랐습니다.
날짜별 시험대상자의 비율이 가장 높은 시험대상자는 48%의 철도 교통편이었습니다. 이는 오일과 가스가 45%로 밀접하게 뒤따랐습니다. 비율이 가장 낮은 부문은 부동산 및 도매 거래로 각각 13%였습니다. 각 하위 부문의 날짜는 시험대상자의 약 31%였습니다.
Cofense는 제목 줄에 날짜가 있는 이러한 이메일을 자세히 분석하여 날짜 자체를 기반으로 더욱 구분했습니다. 범주는 이메일에 액세스한 날짜와 관련된 날짜를 기준으로 했습니다.
첫 번째 범주인 초기 이메일에는 제목의 날짜가 이메일에 액세스한 날짜 이후인 메시지가 포함되었습니다. 두 번째 범주인 정시 이메일에는 제목의 날짜가 이메일에 액세스한 날짜와 일치하는 메시지가 포함되었습니다. 마지막 범주인 지연 이메일에는 제목의 날짜가 이메일에 액세스한 날짜 이전인 이메일이 포함되었습니다.
- 초기 이메일: 액세스한 날짜보다 늦은 주제 날짜가 포함된 이메일을 보낸 공격자는 거의 없습니다. 초기 시험대상자는 날짜를 가진 모든 시험대상자의 2%만 차지했습니다. Cofense에 따르면 이러한 이메일의 대부분은 공격자 사고 및 잘못된 구성으로 인한 것입니다.
- 정시 이메일: 이메일에 액세스한 날짜와 일치하는 제목 날짜가 있는 이메일이 두 번째로 일반적이었습니다. 하위 부문은 평균적으로 31%의 시험대상자가 이메일에 액세스한 날짜와 동일한 날짜를 가지고 있었습니다. 이러한 이메일은 가장 맞춤화된 이메일이었으며, 58%의 주체가 일종의 맞춤형 콘텐츠 또는 PII를 가지고 있어 수정이 필요했습니다. 가장 인기 있는 주제는 작업 중심 주제로, 수신자로부터 즉각적인 작업을 받기 위한 시도일 가능성이 높습니다.
- 지연된 이메일: 가장 일반적인 이메일 범주는 이메일에 액세스하기 전에 제목 줄에 날짜가 있는 이메일입니다. 이는 거짓 긴급감을 촉진할 가능성이 높으며, 피해자에게 마감 기한이 이미 지났고 이미 늦었다는 경고를 보냅니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“주요 요점은 공격자가 이메일 제목 줄의 날짜를 활용하여 긴급성을 생성하고 수신자로부터 대응 또는 상호작용을 이끌어내는 것입니다. 이것은 새로운 사실이 아닙니다.
새로운 것은 공격자가 사용하기로 선택한 날짜의 분석입니다. 이러한 피싱 이메일의 대부분은 이메일을 열기 전에 제목 줄에 날짜를 사용하는 것이 흥미롭습니다. 즉각적인 반응으로 여러분의 사고방식이 담긴 이 장난감은 무언가를 놓치거나 무언가를 잊어버린 것입니다.\"
2. 피해야 할 네 가지 일반적인 비밀번호 오류
암호 보안 제공업체 Specops는 사용자가 저지르는 가장 일반적인 네 가지 암호 실수 가 무엇이라고 생각하는지, 그리고 해커가 각 실수를 어떻게 활용할 수 있는지에 대해 자세히 설명했습니다.
Specops에 따르면, 이러한 일반적인 비밀번호 실수 는 우리의 뇌가 패턴 완성에 능숙하기 때문에 발생합니다. 이는 만족스럽거나 기억하기 쉬운 패턴에 대한 자연스러운 친화성을 제공합니다.
실수 1: 일반적인 기본 용어
사용자는 비밀번호를 생성할 때 기본 단어를 찾는 경향이 있습니다. 무작위 기본 단어는 무해해해 보일 수 있지만, 이러한 기본 단어는 실제로 무작위적인 경우가 거의 없으며 우리가 자주 깨닫는 것보다 관련성이 더 높습니다.
사용자는 종종 일상적인 비밀번호 재설정/만료 중에 동일한 기본 단어를 점진적으로 조정하여 기본 비밀번호 기록 요구 사항 또는 복잡성 설정을 회피합니다. Specops는 종종 사용자가 이 기본 단어의 첫 글자를 대문자로 사용하거나 끝에 특수 문자를 추가하는 것을 볼 수 있습니다.
공격자는 조직에 침입하기 위해 가장 강력한 비밀번호를 해킹할 필요가 없다는 것을 알고 있습니다. 대신, 약한 비밀번호를 깨고 측면으로 이동할 수 있습니다. 사전 공격으로 알려진 공격에서 일반적인 기본 용어를 악용하며, 여기에서 사전 정의된 약한 기본 용어 목록을 사용하여 암호를 추측합니다. 이 공격은 간단하지만 사람들이 간단하고 익숙한 비밀번호를 사용하는 경향이 있기 때문에 종종 성공적입니다.
수백만 개의 비밀번호에 대한 이전 분석에서 가장 일반적인 기본 용어가 “비밀번호”임을 알 수 있습니다. 기타 일반적인 기본 용어에는 “admin” 및 “welcome”이 포함됩니다. 우리는 일상 생활과 다소 관련이 있는 기본 단어를 자주 사용하기 때문에 소셜 미디어는 위협 범죄자에게 금광을 제공합니다. 공격자는 소셜 미디어 프로필을 사용하여 특정 개인을 표적으로 삼을 수 있으며 생일, 성, 애완동물 이름 및 비밀번호의 기본 단어로 사용될 수 있는 중요 장소와 같은 사실을 쉽게 배울 수 있습니다.
Mistake 2: 짧은 비밀번호 길이
공격자는 기본 용어가 약한 공격자조차도 비밀번호를 추측하려고 할 때 여전히 많은 변화에 직면합니다. 무차별 포스 기법을 사용하여 올바른 암호를 찾을 때까지 잠재적인 암호 조합을 반복할 수 있습니다. 무차별 공격은 짧은 비밀번호에 특히 효과적이며, 일반적인 기본 용어로 시작하는 짧은 비밀번호에 훨씬 더 효과적입니다.
조사 결과, 침해된 비밀번호의 88%가 12 자 이하인 것으로 나타났습니다. 더 긴 비밀번호 길이를 적용하는 것은 이러한 공격에 대한 효과적인 방어책이 될 수 있습니다.
Mistake 3: 키보드 워크 패턴
비밀번호 실수에 대해 덜 자주 언급되는 것은 키보드 레이아웃에서 영감을 받은 본질적으로 비밀번호인 키보드 워크 패턴과 관련이 있습니다.
이러한 예는 사용자가 기억하기 쉬운 “키보드 워크”인 QWERTY라는 단어로 볼 수 있습니다. Specops는 패턴 수량이 비밀번호로 1백만 회 이상 식별되어 키보드 보행이 얼마나 흔한지 강조했음을 발견했습니다.
키보드 워크 패턴은 실제 단어가 아닐 수 있지만 사전 공격에 여전히 사용할 수 있습니다. 공격자는 사람들이 특정 작업을 수행하는 방법과 이유를 이해하려고 항상 노력하므로 공격을 더 잘 활용하고 계획할 수 있습니다. 키보드 워크는 예측이 가능하기 때문에 사전 공격에 사용되는 가능한 비밀번호 목록에 포함되어 있는 경우가 있습니다.
Mistake 4: 암호 재사용
강력한 비밀번호도 손상될 수 있으며, 동일한 비밀번호를 다른 애플리케이션에 재사용하면 훨씬 더 큰 문제가 됩니다. 연구에 따르면 65%의 사람들이 비밀번호를 재사용합니다. 이는 위협 범죄자들이 너무 잘 알고 있다는 사실입니다.
비밀번호 재사용은 한 애플리케이션에서 도난당한 비밀번호를 다른 곳에서 악용할 수 있기 때문에 많은 위협 범죄자들이 자격 증명 도용과 이러한 비밀번호의 판매에 집중하는 이유의 큰 부분입니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
암호 위생이 항상 중요해졌지만 위협 환경이 계속 진화함에 따라 점점 더 중요해지고 있습니다. 또한 Entra ID, Duo 또는 KelvinZero와 같은 새로운 기술을 통해 전 세계가 비밀번호가 없어질 때까지, 우리 각자는 비밀번호 위생을 통해 자신과 조직을 보호하는 역할을 해야 합니다.
인포스티엘러의 인기가 높아지는 것은 비밀번호를 선택할 때 그 어느 때보다 조심해야 하는 이유의 주요 예입니다. 인증이 비밀번호가 없는 미래에 대한 많은 버즈가 있지만, 이러한 변화가 일어나려면 시간이 걸릴 수 있습니다. 그 동안 비밀번호를 생성하고 관리할 때 우리 모두가 개선(또는 적어도 더 주의)할 수 있을 것입니다.
3. Earth Estries, 글로벌 정부 및 기술 기업 대상
Earth Estries 사이버 범죄 그룹 (새 탭에서 열림) 은 필리핀, 대만, 말레이시아, 남아프리카 공화국, 독일 및 미국의 정부 및 기술 산업을 대상으로 하는 새로운 사이버 스파이 캠페인에 기인했습니다. 이 위협 범죄자는 정교한 기술과 경험을 갖춘 높은 수준의 리소스 및 기능을 적극적으로 활용하고 있습니다.
감염 루틴
- Earth Estries는 내부 서버를 성공적으로 감염시킨 후 관리 권한이 있는 기존 계정을 손상시킵니다.
- 이 작업은 추가 악성코드를 배포하고 측면 이동을 수행하기 전에 시스템에 Cobalt Strike 를 설치했습니다. SMB 및 WMIC는 다양한 백도어 및 해킹 도구를 환경의 다른 시스템에 전파하는 데 사용되었습니다.
- 공격자는 아카이브를 위해 PDF 및 DDF 파일을 표적으로 삼았으며, 이는 curl.exe를 통해 AnonFiles 또는 File.io 같은 온라인 스토리지 저장소에 업로드되었습니다.
- Earth Estries는 각 작업 라운드를 마친 후 기존 백도어를 정기적으로 청소하고, 다른 라운드를 시작할 때 새 악성코드를 재배포합니다.
Earth Estries 백도어 및 해킹 도구
Earth Estries는 이 캠페인에서 인포스텔러, 브라우저 데이터 스텔러, 포트 스캐너 등을 포함한 다양한 도구를 사용하여 관찰되었습니다.
트렌드마이크로 (새 탭에서 열림) 는 이 캠페인에서 새로 발견되고 주목할 만한 도구 세트를 다룹니다.
- Zingdoor: Zingdoor는 Go에 기록된 HTTP 백도어로 2023년 4월, 년에 처음 발견되었지만 일부 로그는 이 백도어가 2022년 중반 이후로 가까워졌음을 나타냅니다. 이 백도어는 야생에서는 거의 보이지 않지만 UPX를 사용하여 포장되어 있으며 심하게 난독화되어 있습니다. 이 캠페인에서는 mpclient.dll로 위장되었으며 Windows 방어자 바이너리 MsSecEs.exe를 남용하여 DLL 사이드로딩을 통해 실행되도록 설계되었습니다. 현재 상위 프로세스를 지속성을 위한 이름 MsSecEsSvc로 Windows 서비스로 등록합니다. 또한 C2 서버의 명령을 연결하고 기다립니다. 시스템 정보, Windows 서비스 정보, 디스크 관리를 가져오고 임의 명령을 실행할 수 있습니다.
- TrillClient: TrillClient는 브라우저 데이터를 가져오도록 설계된 인포스텔러입니다. Windows Service Net Connection으로 설치되며, 입력된 피해자 ID를 기반으로 피해자 목록을 생성하고, 시작 서비스를 통해 시작되며, 서비스를 삭제하여 설치 프로세스를 정리합니다. 하드 코딩된 GitHub repo에 연결되어 다음 작업을 위한 명령을 검색합니다. 브라우저 자격 증명을 수집하고 작업을 예약하여 브라우저 자격 증명을 수집할 수 있습니다.
- HemiGate: HemiGate는 DLL 사이드로딩을 통해 실행되는 백도어입니다. 세 가지 인스턴스로 실행됩니다. 첫 번째 인스턴스는 매개변수 없이 시작되며, 그 주요 목적은 종료하기 전에 시작 메커니즘을 설치하고 두 번째 인스턴스를 실행하는 것입니다. 두 번째 인스턴스는 세 번째 인스턴스와 통신하기 전에 구성 파일을 읽고 C2 서버와 통신할 책임이 있습니다. 세 번째 인스턴스는 키로거를 실행하고 두 번째 인스턴스가 전달하는 명령을 수신/실행합니다.
피해자
Earth Estries는 정부 관련 조직 및 기술 회사에 대한 공격을 집중합니다. 필리핀, 대만, 말레이시아, 남아프리카 공화국, 독일 및 미국에서 공격이 발생했습니다.
연구자들은 또한 캐나다의 C2 개 서버로의 네트워크 트래픽과 인도 및 싱가포르의 툴셋 탐지를 관찰했습니다.
Tanium의 사이버 위협 인텔리전스 팀의 분석가 의견
“이 캠페인은 GitHub, AnonFiles 및 File.io 같은 공공 서비스를 운영의 일부로 남용하는 위협 범죄자의 추세에 추가됩니다.”
“그룹은 최신 캠페인에서 몇 가지 새로운 백도어와 해킹 도구를 활용하여 다소 정교해 보입니다. 트렌드마이크로는 Earth Estries가 사이버 스파이 캠페인에 초점을 맞추고 있다고 언급합니다. 이를 염두에 두고, 전 세계 여러 국가들을 표적으로 삼는 것은 매우 광범위합니다.”
공유하고 싶은 이러한 이야기에 대한 통찰력이 있습니까? Tanium의 토론 포럼 으로 이동하여 대화를 시작합니다.
자세한 내용은 최신 사이버 위협 인텔리전스 라운드업을 참조하십시오.
