lazarusholic

2023-08-02, ESTSecurity
https://alyacofficialblog.tistory.com/5215

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다.
국방 및 안보 분야 종사자를 대상으로 진행중인 사이버 위협 활동이 다수 포착되어 관련자 여러분들의 각별한 주의가 필요합니다.






[그림 1] 인증 요청을 위장한 피싱 메일


이번 공격은 “[보안알림] 인증 요청이 20회 이상 감지되었습니다”라는 제목의 피싱 메일을 통해 진행되었습니다.



해당 메일은 '국방보안업무 훈령 123조'와 같은 단어를 사용하며 수신자의 불안감을 유발하며, 이메일 본문에 이미지 태그를 사용하여 사용자의 수신 여부를 자동으로 체크하는 코드가 삽입하여, 사용자가 이미지, 링크 표시하기를 클릭하거나 ‘그림 자동 다운로드’ 옵션이 활성화가 되어있는 경우 수신 여부가 자동으로 공격자에게 전달되도록 하였습니다.







[그림 2] 이미지 태그를 사용한 수신 여부 체크 코드




본문에는 첨부파일이 존재하는 것처럼 보여지지만, 실제로는 이미지로 구성되어 있으며 사용자가 클릭 시 form 태그를 이용하여 외부 사이트로 연결되어 있습니다.








[그림 3] form 태그를 이용한 코드 화면




만일 사용자가 첨부파일을 위장한 이미지를 클릭사면 외부 사이트로 이동됩니다.








[그림 4] 피싱 사이트 화면




첨부파일 보기를 클릭하면 “로그인 이력 확인 방법.pdf” 파일을 다운로드 시도 하지만 ESRC가 분석하는 …

https://mndgo.kr
https://mail.mndgo.kr/mail/login
121.133.158.52