몰래 2FA 피싱 키트

사이버 보안 연구원들은 적어도 2024년 10월부터 Microsoft 365 계정을 적극적으로 공격해 온 Sneaky 2FA라는 정교한 중간자 공격(AitM) 피싱 키트를 발견했습니다. 이 키트는 자격 증명과 2단계 인증(2FA) 코드를 가로채도록 설계되어 위협 행위자에게 계정을 손상시킬 수 있는 강력한 도구를 제공합니다.

Sneaky 2FA의 광범위한 채택 및 기능

Sneaky 2FA 피싱 페이지를 호스팅하는 도메인이 거의 100개 확인되어 사이버 범죄자들 사이에서 적당히 채택되고 있음을 알립니다. Sneaky Log라는 그룹에서 Phishing-as-a-Service(PhaaS)로 판매되는 이 키트는 기능이 풍부한 Telegram 봇을 통해 배포됩니다. 고객은 소스 코드의 난독화된 버전을 받아 독립적으로 배포할 수 있습니다.

피해자를 타겟으로 하는 피싱 캠페인

Sneaky 2FA를 활용하는 캠페인에서 PDF 첨부 파일이 포함된 가짜 결제 영수증 이메일을 보내는 것이 관찰되었습니다. 이러한 PDF에는 스캔하면 피해자를 Microsoft 365 로그인 포털을 모방하도록 설계된 피싱 페이지로 리디렉션하는 QR 코드가 포함되어 있습니다. 이러한 페이지는 손상된 인프라에 호스팅되며, 종종 WordPress 웹사이트와 관련이 있으며, 피해자의 이메일 주소를 자동으로 채워 합법성을 높입니다.

강력한 회피 및 분석 방지 전술

Sneaky 2FA는 고급 봇 방지 및 분석 방지 기술을 사용합니다. 트래픽을 필터링하고 Cloudflare Turnstile 챌린지를 사용하여 자격 증명 수집 페이지에 대한 액세스를 제한합니다. 이 키트는 또한 웹 브라우저 개발자 도구를 통해 조사를 감지하고 저항하기 위한 검사를 실행합니다. 데이터 센터, 프록시 또는 VPN의 방문자는 href.li 서비스를 통해 Microsoft 관련 Wikipedia 페이지로 리디렉션되어 TRAC Labs에서 이 키트에 WikiKit이라는 별명을 붙였습니다.

사용자를 오도하는 기만적인 비주얼

진정성을 높이기 위해 Sneaky 2FA는 가짜 로그인 페이지의 배경으로 합법적인 Microsoft 인터페이스의 흐릿한 이미지를 통합합니다. 이 전략은 사용자가 진짜 Microsoft 콘텐츠에 액세스하고 있다는 인상을 받고 자격 증명을 입력하도록 속이는 것을 목표로 합니다.

W3LL 스토어에 대한 라이센스 및 링크

Sneaky 2FA 키트는 작동하려면 활성 구독이 필요하며, 중앙 서버를 통해 라이선스 키 검증이 수행됩니다. 이 서비스는 월 200달러에 광고되며, 기능에 대한 독점 액세스를 제공합니다. 조사 결과, 이전에 W3LL 패널과 연결되었던 피싱 조직인 W3LL Store와 비즈니스 이메일 침해(BEC) 공격에 사용되는 도구와의 연결도 밝혀졌습니다. Sneaky 2FA는 W3LL 패널과 일부 코드와 기술을 공유하지만, 연구자들은 이것이 직접적인 후속 제품이 아니라고 생각합니다.

코드 재사용 및 마이그레이션의 역사

흥미롭게도, Sneaky 2FA 코드베이스의 일부는 W3LL OV6에서 차용한 것으로 보이며, 후자의 난독 해제된 버전이 최근 몇 년 동안 사이버 범죄자들 사이에서 유통되고 있습니다. 일부 Sneaky 2FA 도메인은 이전에 Evilginx2 및 Greatness와 같은 AitM 키트와 연관되어 있었으며, 이는 일부 공격자가 새로운 서비스를 채택하는 방향으로 전환하고 있음을 시사합니다.

비정상적인 사용자 에이전트 동작: 위험 신호

Sneaky 2FA의 가장 독특한 특징 중 하나는 인증 프로세스 중에 서로 다른 하드코딩된 User-Agent 문자열을 사용한다는 것입니다. 이러한 전환은 합법적인 시나리오(예: 데스크톱 앱과 웹 브라우저 간 전환)에서 발생할 수 있지만 Sneaky 2FA에서 사용하는 특정 시퀀스는 매우 불규칙합니다. 이러한 변칙성은 키트가 작동하는 것을 감지하는 신뢰할 수 있는 수단을 제공합니다.

결론: 사이버범죄 환경에서 증가하는 위협

Sneaky 2FA는 피싱 도구의 진화를 나타내며, 고급 회피 전술, 사용자 사기 및 사이버 범죄자를 위한 PhaaS 모델을 결합합니다. 이를 채택하면 온라인 위협의 끊임없이 변화하는 본질과 정교한 피싱 캠페인에 대한 경계를 유지하는 것의 심각성이 강조됩니다.