위트랜스퍼, 아무나 파일 업로드 해서 이메일을 통해 공유할 수 있게 해
이 이메일 본문 바꾸면 피해자 속이는 것 가능...클릭하면 피싱 페이지 열려

[보안뉴스 문가용 기자] 해커들이 인기 높은 파일 공유 서비스인 위트랜스퍼(WeTransfer)를 남용해 악성 URL을 가진 스팸 메일을 막는 용도로 설치된 이메일 보안 게이트웨이를 우회하기 시작했다. 이 현상을 발견한 전문가들에 의하면 주로 은행, 전력 시설, 매체를 겨냥한 공격이 특히 많다고 경고했다.


[이미지 = iclickart]

공격자들은 현재 위트랜스퍼의 파일 공유 서비스, 즉 어떤 사용자라도 파일을 업로드해서 이메일 링크로 공유할 수 있는 기능을 집중적으로 공략하고 있다. 업로드 되어 공유되는 파일이 HTM이나 HTML 파일일 경우 상황은 심각해 질 수 있다. 피싱을 위한 랜딩 페이지가 곧바로 로딩될 수 있기 때문이다.

이 사태를 발견한 보안 업체 코펜스(Cofense)의 위협 분석가인 제이크 롱덴(Jake Longden)은 블로그를 통해 이번 위트랜스퍼 남용 캠페인에 대해 설명했다. “위트랜스퍼를 남용하는 방법은 간단합니다. 먼저 위트랜스퍼 인터페이스에 보내는 사람과 받는 사람의 이메일 주소를 입력합니다. 그 다음 파일을 업로드합니다. 다음으로 공격자는 메일 본문에 받는 사람이 볼 내용을 편집합니다.”

위트랜스퍼를 통해 파일이 공유되었다는 사실은 메일 본문에 나타난다. 즉 공유 받는 사람은 메일을 열고 본문을 읽어야 공유 사실을 확인할 수 있다는 것이다.

“공격자는 이 본문에다가 어떤 파일이 공유되었는지 마음대로 작성할 수 있습니다. 예를 들어 인보이스나 영수증, 급한 검토가 필요한 문서라고 알릴 수 있죠. 그러면 본문을 통해서만 파일의 정보를 접할 수 있는 피해자는 속기 십상입니다. 피해자를 속이기 위한 기본적인 피싱 기법을 여기서 발휘하면 됩니다.”

피해자가 여기에 속아 본문에 있는 Get your files 버튼을 누르면, 위트랜스퍼의 다운로드 페이지로 우회된다. 거기에 문제의 HTM이나 HTML 파일이 호스팅 되어 있는데, 피해자가 버튼을 눌렀으므로 다운로드는 자동으로 시작된다. 다운로드가 끝나고 피해자가 파일을 열면, 피싱 페이지가 열린다.

공격은 거기서 끝나지 않는다. 피싱 페이지를 통해 공격자는 피해자에게 오피스365 크리덴셜을 입력하라고 요구한다. 그래야만 첨부 파일을 열람할 수 있다고 꾀면서 말이다. “위트랜스퍼를 악용한 공격 캠페인 중 비교적 최근에 발생한 사건들은 마이크로소프트의 서비스들을 노렸으나, 그 동안은 다른 회사의 서비스를 노린 경우도 있었습니다.”

위트랜스퍼 측은 아직 이러한 서비스 남용 사태에 대해 특별한 입장 발표를 하지 않고 있는 상태다.

코펜스는 “위트랜스퍼처럼 인기가 많고 유명한 서비스의 경우, 사용자들이 점검을 꼼꼼하게 하지 않는다”며 “유명한 것에 대해 자동으로 신뢰를 주는 경향이 있기 때문”이라고 말한다. “아마 같은 수법을 써서 공격해도 위트랜스퍼가 아니었다면 이 공격이 크게 문제가 되지 않았을 수도 있습니다.”

심지어 보안 장치들도 유명한 서비스에 대해서는 ‘너그럽도록’ 프로그램 되어 있는 경우가 많다. “스팸을 필터링 하는 이메일 게이트웨이 대부분 이 공격을 막지 못할 것입니다. 사용자가 특별히 위트랜스퍼와 같은 파일 공유 사이트로부터의 접근을 일부러 막도록 설정을 바꾸지 않았다면 말입니다.”

3줄 요약
1. 파일 공유 서비스인 위트랜스퍼 통해 악성 HTM 및 HTML 파일 배포되고 있음.
2. 악성 HTM 및 HTML 파일이 로딩되면, 사용자에게 ‘크리덴셜 입력하라’는 유혹 시작됨.
3. 위트랜스퍼가 유명하기 때문에 사용자와 게이트웨이 모두 느슨해지는 경향 있음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>