.png)
MFA까지 무력화한 신형 피싱 키트, ‘자동화·고도화’ 단계로 진입
[보안뉴스 김형근 기자] 대규모 자격 증명 탈취를 용이하게 하는 피싱 키트들이 대거 등장해 주의가 필요하다. 사이버 보안 연구자들은 블랙포스(BlackForce), 고스트프레임(GhostFrame), 인박스프라임AI(InboxPrime AI), 스파이더맨(Spiderman) 등의 피싱 도구들이 활발히 악용되고 있다고 지목했다.
8월 처음 탐지된 블랙포스는 MitB (Man in the Browser) 공격을 수행해 OTP를 캡처하고 MFA를 우회하도록 설계됐다. 이 키트는 텔레그램 포럼에서 거래되며, 디즈니, 넷플릭스, DHL 등 11개 이상의 브랜드를 사칭하는 데 사용됐다. 블랙포스는 보안 공급업체와 웹크롤러를 필터링하는 차단 목록을 기반으로 한 다양한 회피 기술을 특징으로 한다.
9월 발견된 또 다른 초기 피싱 키트 고스트프레임은 단순한 HTML 파일 속에 악성 동작을 숨기는 임베디드 아이프레임(Iframe)을 아키텍처의 핵심으로 사용한다.
아이프레임 디자인은 공격자가 메인 웹 페이지를 변경하지 않고 피싱 콘텐츠를 쉽게 교체하거나 특정 지역을 표적할 수 있게 하며, 외부 페이지만 검사하는 보안 도구의 탐지를 회피하는 데 도움이 된다. 공격할 때 무작위로 서브도메인을 생성하고, 분석 및 디버깅을 회피하는 기능을 사용해 분석 시도를 차단한다.
인박스프라임AI는 AI를 활용해 대규모 이메일 캠페인을 자동화한다. 서비스형 악성코드(MaaS) 구독 모델을 채택, 1000달러에 판매되고 있다. 이 플랫폼은 지메일의 웹 인터페이스를 모방하고 활용해 전통적 필터링 메커니즘을 회피하며, 실제 사람의 이메일 전송 행동을 모방하도록 설계됐다.
내장된 AI 기반 이메일 생성기는 언어, 주제, 톤 등 매개변수 설정만으로 설득력 있는 미끼를 생성해 수작업 필요를 없앤다. 스핀택스 지원을 통해 메시지 변형을 생성, 서명 기반 필터를 우회하는 데 도움을 준다.
스파이더맨 키트는 유럽 은행 및 온라인 금융 서비스 고객을 표적으로 하며, 수십 개 은행 로그인 페이지 및 일부 정부 포털을 완벽하게 복제한다. 이 키트는 ISP 화이트리스팅, 지오펜싱, 장치 필터링과 같은 회피 기술을 사용하며, 암호화폐 지갑 시드 구문 및 OTP를 캡처할 수 있다. 이러한 다단계 접근 방식은 로그인 정보만으로 거래 승인을 받기 힘든 유럽 금융 사기에 특히 효과적이다.
또 타이쿤 2FA(Tycoon 2FA)와 솔티 2FA(Salty 2FA)의 코드가 혼합된 하이브리드 공격도 관찰됐는데 이는 키트별 탐지 규칙을 무력화하고 공격자에게 더 많은 탐지 회피 공간을 제공한다.
[김형근 기자(editor@boannews.com)]
[보안뉴스 김형근 기자] 대규모 자격 증명 탈취를 용이하게 하는 피싱 키트들이 대거 등장해 주의가 필요하다. 사이버 보안 연구자들은 블랙포스(BlackForce), 고스트프레임(GhostFrame), 인박스프라임AI(InboxPrime AI), 스파이더맨(Spiderman) 등의 피싱 도구들이 활발히 악용되고 있다고 지목했다.
[자료: gettyimagesbank]
8월 처음 탐지된 블랙포스는 MitB (Man in the Browser) 공격을 수행해 OTP를 캡처하고 MFA를 우회하도록 설계됐다. 이 키트는 텔레그램 포럼에서 거래되며, 디즈니, 넷플릭스, DHL 등 11개 이상의 브랜드를 사칭하는 데 사용됐다. 블랙포스는 보안 공급업체와 웹크롤러를 필터링하는 차단 목록을 기반으로 한 다양한 회피 기술을 특징으로 한다.
9월 발견된 또 다른 초기 피싱 키트 고스트프레임은 단순한 HTML 파일 속에 악성 동작을 숨기는 임베디드 아이프레임(Iframe)을 아키텍처의 핵심으로 사용한다.
아이프레임 디자인은 공격자가 메인 웹 페이지를 변경하지 않고 피싱 콘텐츠를 쉽게 교체하거나 특정 지역을 표적할 수 있게 하며, 외부 페이지만 검사하는 보안 도구의 탐지를 회피하는 데 도움이 된다. 공격할 때 무작위로 서브도메인을 생성하고, 분석 및 디버깅을 회피하는 기능을 사용해 분석 시도를 차단한다.
인박스프라임AI는 AI를 활용해 대규모 이메일 캠페인을 자동화한다. 서비스형 악성코드(MaaS) 구독 모델을 채택, 1000달러에 판매되고 있다. 이 플랫폼은 지메일의 웹 인터페이스를 모방하고 활용해 전통적 필터링 메커니즘을 회피하며, 실제 사람의 이메일 전송 행동을 모방하도록 설계됐다.
내장된 AI 기반 이메일 생성기는 언어, 주제, 톤 등 매개변수 설정만으로 설득력 있는 미끼를 생성해 수작업 필요를 없앤다. 스핀택스 지원을 통해 메시지 변형을 생성, 서명 기반 필터를 우회하는 데 도움을 준다.
스파이더맨 키트는 유럽 은행 및 온라인 금융 서비스 고객을 표적으로 하며, 수십 개 은행 로그인 페이지 및 일부 정부 포털을 완벽하게 복제한다. 이 키트는 ISP 화이트리스팅, 지오펜싱, 장치 필터링과 같은 회피 기술을 사용하며, 암호화폐 지갑 시드 구문 및 OTP를 캡처할 수 있다. 이러한 다단계 접근 방식은 로그인 정보만으로 거래 승인을 받기 힘든 유럽 금융 사기에 특히 효과적이다.
또 타이쿤 2FA(Tycoon 2FA)와 솔티 2FA(Salty 2FA)의 코드가 혼합된 하이브리드 공격도 관찰됐는데 이는 키트별 탐지 규칙을 무력화하고 공격자에게 더 많은 탐지 회피 공간을 제공한다.
[김형근 기자(editor@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
여이레기자 기사보기
.gif)
.png)
.png)
.png){kind=spacer}
