lazarusholic

2025-06-19, Sakai
http://wezard4u.tistory.com/429515
#Kimsuky #Phishing

오늘은 나이스투미츄우 엔 유 김수키(Kimsuky)으로 추정이 되는 국민 비서 경찰청 고지 안내 피싱 메일에 대해 분석을 해보는 시간을 가져 보겠습니다.
일단 해당 메일 내용은 네이버에서 제공하는 전자문서 시스템으로 위장하고 있으며 경찰청 고지 안내 피싱 메일입니다.
피싱 내용은 다음과 같습니다.
새로운 전자문서가 도착했어요.
????@naver(.)com님 지금 확인해 보세요.
발송기관:국민비서
전자 문서 종류[국민비서] 경찰청 고지 안내
인증기한:2025-04-24 23:59까지
기한 내 열람 하지 않으면 발송기관 정책에 따라 다른 수단(종이 우편, SMS/LMS 등) 또는 다른 채널(타사앱)로 발송됩니다.
기관에서 정식 발송된 문서는 네이버앱 Na. 전자문서에 표시됩니다.
이라고 돼 있습니다.
여기서 보면 뭐 네이버 전자문서로 온 것을 확인되는 것 같지만 그게 아니고 사실은 러시아에서 발송된 이메일입니다.
이것을 확인하기 위해서 이메일 헤더를 열어보아야 합니다.
발신 이메일 주소
이메일 주소:angelosmxtpl@list(.)ru->89(.)221(.)237(.)155 러시아 모스크바 에서 발송을 한 것을 확인할 수 있습니다.
수법
1. 도메인 위장:
실제 p-doc(.)docpolice(.)p-e(.)kr 로 연결
해당 도메인은 공식 네이버와 전혀 관련 없는 도메인
2. 링크 조작 기법 (URL forwarding / redirection confusion):
파라미터(m=) 안에 실제 네이버 로그인 주소가 들어 있어 사용자를 속여 나는 이 링크는 네이버 로그인이라고 이메일 받은 사람에게는 착각하게 하여 최면을 걸고
하지만, 클릭 시 실제 …

89.221.237.155