[아이티비즈 김문구 기자] 파이어아이는 지난 14일 다양한 업종의 고객사 가운데 스무 곳 이상에서 새로운 피싱 활동을 감지했다고 22일 발표했다.
이번 공격자는 특정 병원의 이메일 서버와 특정 컨설팅 업체의 웹사이트를 해킹해 이들의 인프라를 이용해 피싱 이메일을 전송한 것으로 보인다. 해당 피싱 이메일은 미 국무성의 공보 담당자가 보낸 보안 커뮤니케이션인 것처럼 보이도록 조작됐다.
또한 다른 미 국무성 공보 담당자의 개인용 드라이브처럼 위장된 페이지에서 호스팅이 이루어졌으며 미 국무성의 공식 양식이 사용됐다. 이러한 정보는 공개적으로 이용할 수 있는 자료를 통해 습득이 가능한 것으로, 미 국무성 네트워크가 이번 피싱 캠페인에 관여되었다는 징후는 없다.
공격 단체는 피싱 이메일마다 고유 링크를 사용했으며, 파이어아이가 파악한 해당 링크는 하나의 압축(ZIP) 파일을 다운로드 하도록 사용됐다. 해당 파일에는 공격용으로 조작된 윈도우용 바로가기 파일이 포함되어 있어 평범한 유인용 문서와 공격 단체가 정상적인 네트워크 트래픽 내에 숨어들 수 있도록 맞춤 구성된 코발트 스트라이크 비컨 백도어를 동시에 호출한다.
해당 피싱 이메일과 네트워크 인프라에 투입된 리소스, 공격용으로 조작된 바로가기 파일 페이로드(payload)의 메타데이터(metadata), 공격 대상이 된 개인 및 기관 등 이번 피싱 캠페인에서 발견된 몇 요소들은 2016년 11월에 마지막으로 관찰된 APT29의 피싱 캠페인과 직접적으로 연결된다.
저작권자 © 아이티비즈 무단전재 및 재배포 금지
