기업의 사무환경에서 널리 사용되는 서비스나 앱들이 있는데, 이런 것들은 공격자들의 주된 표적이 된다. 최근에는 허브스팟과 도큐사인이라는 비즈니스 솔루션들이 악용되는 캠페인이 발견되기도 했었다.

3줄 요약
1. 허브스팟과 도큐사인을 통해 진짜로 둔갑하려는 피싱 캠페인이 나타나고 있음.
2. 이 캠페인의 궁극적인 목표는 애저 클라우드 인프라로 접속하려는 것.
3. 다급한 말투와 이메일 인증 장치의 오류 메시지 통해 어느 정도 식별 가능.

[보안뉴스 문가용 기자] 최근 유럽의 기업들을 겨냥한 교묘한 피싱 캠페인이 발견됐다. 공격자들의 궁극적인 목표는 마이크로소프트 애저 계정의 크리덴셜을 탈취한 뒤, 이를 바탕으로 피해자의 클라우드 인프라를 장악하는 것이었다. 허브스팟(HubSpot)의 무료 양식 생성 서비스인 허브스팟프리폼빌더(HubSpot Free Form Builder)를 사용하는 것이 가장 큰 특징이며, 올해 6월 활동량에 있어서는 정점을 찍었다. 약 2만 명의 유럽 기업 사용자가 피해를 입은 것으로 추정되고 있다고 보안 업체 팔로알토네트웍스(Palo Alto Networks)는 설명한다.


[이미지 = gettyimagesbank]

지난 약 6개월 동안 팔로알토 측에서 꾸준히 추적한 바에 의하면 이 캠페인은 주로 자동차, 화학, 산업 화합물 제조업을 노리는 것으로 파악됐다고 한다. “공격자들은 주로 피싱 이메일을 보내는 것으로 공격을 시작했습니다. 자동차, 화학, 산업 화합물 제조업에 있는 기업들의 임직원들이 주로 피싱 이메일을 받았으며, 현재까지 약 2만 명이 이 이메일을 받은 것으로 집계되고 있습니다. 피싱 이메일에는 도큐사인(DocuSign)을 기반으로 한 PDF 파일이 첨부되어 있거나, 악성 허브스팟 무료 양식 생성 서비스 링크가 삽입되어 있었습니다.”

참고로 도큐사인은 클라우드를 기반으로 하고 있는 전자 서명 서비스이고, 허브스팟은 마찬가지로 클라우드를 기반으로 하고 있는 고객 관계 관리(CRM)와 마케팅, 판매, 콘텐츠 관리 시스템(CMS)으로 분류된다. 많은 기업들을 고객으로 두고 있으며, 따라서 기업 환경에서는 이 두 가지 서비스가 낯설지 않다. 피싱 공격자들은 이런 유명 서비스를 자주 노리는 편이다.

궁극적으로는 MS 애저를 노려
캠페인을 추적한 결과 6월에 기승을 부린 이 캠페인은 9월에까지 이어졌음을 알아낼 수 있었다고 한다. 또한 배후에 있는 공격자가 특정 기업을 대상으로 한 피싱 공격을 시도했음 역시 발견했다. “해당 기업의 브랜드나, 해당 기업에서 사용하는 이메일 주소 형식을 공격에 악용하는 모습이 포착됐거든요. 이 캠페인에 활용된 PDF 문서들은 아예 그 기업의 이름을 파일명으로 가지고 있기도 했습니다. ‘회사이름.pdf’라는 유형이었지요.”

이런 PDF 파일을 클릭해 문서를 열람할 경우 피해자는 다른 URL로 우회 접속되는데, 대부분 위에서 언급된 허브스팟 무료 양식 생성 페이지였다. 이 페이지에는 ‘마이크로소프트 보안 클라우드에서 문서 보기(View Document on Microsoft Secured Cloud)’라는 버튼이 있는데, 당연히 가짜이며, 공격자가 마이크로소프트 클라우드 계정을 표적으로 삼고 있음을 보여준다. “조사 결과 피해자의 마이크로소프트 애저 클라우드 인프라가 공격자의 목표였음을 확인할 수 있었습니다.”

이 가짜 버튼을 클릭한 피해자의 경우 또 다른 피싱 페이지로 우회 접속되는데, 공격자가 피해자의 클라우드 크리덴셜을 수집하기 위해 만든 페이지였다. 마이크로소프트 애저 로그인 정보를 입력하라는 내용이 이 페이지에 안내되어 있었고, 여기에 속이 실제 접속을 위해 로그인을 시도할 경우 모든 정보가 공격자에게 넘어가게 설계되어 있었다. 특히 유럽의 사용자들이 표적이 됐다.

이번 피싱 이메일, 어떻게 식별하나
팔로알토 측의 분석에 의하면 이번 공격에 사용되고 있는 피싱 이메일에는 두 가지 중요한 특징이 있다고 한다. 이는 다음과 같다.
1) 긴박한 어조 : ‘즉시 조치 필요’와 같은 문구가 메일들에 자주 사용된다. 그렇게 함으로써 피해자가 얼른 움직이도록 분위기를 조성하는 건데, 이는 사실 거의 모든 피싱 공격에서 나타나는 공통점이기도 하다. 다급함과 공포심을 불러일으켜 냉정하게 생각하지 못하도록 하는 것이 피싱 공격의 핵심이기 때문이다

2) 인증 확인 실패 : 기존의 이메일 보안 솔루션 및 프로토콜에서 수상함을 느낄 수 있도록 실패 지표를 보내주기도 한다. SPF의 경우 ‘실패’로 뜨기도 하는데, 이는 발신자의 IP 주소가 해당 도메인을 대신해 이메일을 보낼 권한이 없다는 의미가 된다. 즉 이메이 스푸핑을 암시한다. DKIM의 경우에도 ‘실패’가 뜨는데, 이는 이메일의 디지털 서명이 확인되지 않았음을 의미하며, 이메일이 변경되었거나 위조되었음을 시사한다. DMARC의 경우 ‘임시 오류’가 뜰 수 있는데, 이는 도메인에 일시적인 문제가 있음을 나타낸다. 주로 서버나 DNS 지연 때문에 발생하는데, 도메인 인증과도 관련이 있다.

팔로알토네트웍스 측은 “괜히 다급히 움직일 것을 촉구하는 이메일 내용에 더해 각종 이메일 보안 프로토콜들에서 나타나는 심상찮은 오류들을 통해 이번 피싱 이메일들을 식별할 수 있다”고 강조했다. 하지만 이것만으로 100% 피싱 이메일을 잡아낼 수는 없으며, 따라서 사용자들 역시 이번 캠페인의 이메일들이 가지고 있는 특징을 알고 있어야 한다고 덧붙였다.

한편 허브스팟 보안 팀은 “허브스팟은 침해된 적이 없으며, 피해자들에게 전달된 악성 양식 생성기 링크도 허브스팟 인프라를 통해 발송되지 않았다”고 주장하고 있다. 도큐사인 측은 “고객의 보안과 프라이버시가 사업의 핵심”이었다고 하며, “이번 제보 이후 여러 조치를 취해 가짜 도큐사인이 발송되는 횟수를 현격하게 줄였다”고 알렸다.

이번 피싱 캠페인에서 공격자들이 어떻게 최초 침투를 이뤄내고 있으며, 이들의 공격 인프라에는 어떤 특성이 있는지는 이번 주 26일 발간되는 프리미엄 리포트를 통해 보다 상세히 열람할 수 있습니다.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>