요약

2026년 10월 1일 오전, 기업의 대표 문의 메일 주소로 택배 파손 클레임을 사칭한 피싱 메일 두 통이 6분 간격으로 들어왔습니다. 제목은 각각 "수령 상품 파손 조치 진행 요청", "수령 상품 파손 교환 및 환불 요청"입니다. 대표 문의 메일을 받는 담당자라면 업무상 열어볼 가능성이 높은 내용입니다.

그림 1. 실제 수신된 피싱 메일 (메일 1)

그림 2. 실제 수신된 피싱 메일 (메일 2)

본문은 영상과 사진의 용량이 커서 링크로 전달한다며 개봉 영상과 파손 사진을 확인해 달라고 요청합니다. 반품·교환 비용을 언급해 처리 부담을 주고, 빠른 처리를 정중하게 부탁해 확인을 서두르게 합니다.

발신 주소와 링크도 정상 메일처럼 보였습니다. 발신 주소는 Google AppSheet의 실제 발송 주소인 noreply@appsheet.com이었고, 메일은 AppSheet 발송 인프라를 거쳐 SPF·DKIM·DMARC 인증을 모두 통과했습니다. 본문 링크는 Google의 단축 링크 서비스 주소인 share.google로 시작했습니다.

링크는 외부 다운로드 페이지로 이어졌고, 그곳에서 악성 ZIP 파일이 내려왔습니다. ZIP 안에는 정상 서명된 Microsoft Word 실행파일과 가짜 msvcr100.dll이 함께 들어 있습니다. Word 실행파일을 실행하면 같은 폴더의 가짜 DLL이 함께 로드되는 DLL 사이드로딩 방식입니다.

가짜 DLL은 로더입니다. 로더는 그 자체로 최종 악성 기능을 수행하지 않고, 함께 들어 있는 암호화된 악성코드 본체를 풀어 실행하는 역할을 하는 악성 프로그램입니다. 이번 분석에서는 로더의 실행까지 확인했고, 암호화 본체의 실행은 확인하지 못했습니다.

로그프레소는 피싱 메일 판정 후 유포 도메인·URL과 악성 파일 해시를 로그프레소 CTI 피드로 배포했습니다. 과정은 4장에 정리했습니다.

1. 개요

본 보고서는 확인한 사실과 추정을 구분해 씁니다. "확인"은 메일·파일·샌드박스에서 직접 본 내용, "추정"은 정황을 근거로 한 판단, "미확인"은 추가 분석이 필요한 내용입니다.

본 보고서에서 쓰는 이름은 다음과 같습니다.

• 가짜 DLL: ZIP에 들어 있던 서명 없는 msvcr100.dll. 정상 Microsoft 런타임 DLL과 이름만 같은 로더입니다.
• 암호화 본체: 한글 이름의 .dat 파일(암호화된 RAR v5) 안에 들어 있을 것으로 추정되는 최종 악성코드입니다.
• 단축 링크: 메일 본문의 share.google 링크입니다.
• 자동 분석 시스템: 로그프레소 SMS·EML 자동 분석 시스템입니다.
• CTI 피드: 로그프레소 CTI 서비스로 배포하는 IOC 피드입니다. 로그프레소 CTI 서비스를 구독하는 고객 환경에는 배포 즉시 실시간으로 적용됩니다.

판정 근거 요약

이번 사례의 특징

• 메일 인증 통과가 안전을 보장하지 않습니다. 공격자는 인증을 위조하지 않고 AppSheet의 정상 발송 인프라를 이용했습니다.
• 단계마다 정상 서비스와 정상 파일이 쓰였습니다. AppSheet 발송 메일, Google 단축 링크, 정상 서명된 Word 실행파일이 차례로 의심을 낮췄습니다.
• 분석으로 확인한 범위는 로더 실행까지입니다. 암호화 본체가 실제로 어떤 악성 행위를 하는지는 아직 알 수 없습니다.

2. 공격 분석: 메일 발송 → 리다이렉트 → 다운로드 → 실행

AppSheet 발송 메일 → share.google 단축 링크 → 외부 다운로드 페이지 → ZIP 다운로드 → 정상 Word 실행파일 실행 → 가짜 DLL 로드 → 암호화 본체 해제·실행 (추정)

마지막 단계인 암호화 본체의 해제와 실행은 동적 분석에서 확인하지 못했습니다.

2.1 메일 발송: 인증 우회가 아닌 정상 통과

메일은 실제 AppSheet 발송 인프라를 거쳐 전달됐습니다. AppSheet는 Google의 노코드 앱 제작 도구이며, 앱이 보내는 알림 메일을 noreply@appsheet.com 명의로 발송합니다. 공격자는 AppSheet 앱의 알림 기능으로 피싱 메일을 보내면서 표시 이름과 회신 주소를 직접 지정했습니다.

그림 3. 자동 분석 시스템의 인증 판단 (SPF·DKIM·DMARC 모두 통과. 정상 인증을 통과해 인증 기반 필터를 피할 위험이 높다는 뜻에서 "우회 위험도 HIGH"로 표시)

이는 인증 체계를 뚫었다는 뜻이 아닙니다. SPF·DKIM·DMARC는 발신 도메인이 진짜인지 확인할 뿐, 메일 내용이 정상인지까지 보증하지 않습니다. 정상 발송 플랫폼을 악용하면 인증을 통과한 피싱 메일을 만들 수 있다는 것을 보여 주는 사례입니다.

Google 공식 문서에 따르면 AppSheet 자동화 메일은 noreply@appsheet.com에서 발송되며, 표시 이름과 회신 주소(Reply-To)를 설정할 수 있습니다. 2026년 5월 4일 이후 만든 AppSheet 계정은 자동화 메일을 로그인한 계정과 같은 도메인으로만 보낼 수 있습니다(Gmail 계정은 본인 주소로만). 그 전에 만든 계정은 이 제한을 받지 않습니다. 이번 메일은 공격자와 무관한 도메인으로 왔으므로, 제한 이전에 만든 계정이 쓰인 것으로 보입니다.

• AppSheet 자동화 메일 발송 안내
• AppSheet 자동화 메일 발송 제한

2.2 리다이렉트: 단축 링크 뒤에 숨은 다운로드 페이지

메일 본문 링크는 아래 순서로 이동했습니다.

hxxps[://]share[.]google/ARmvwNeclbuHCuEm4
  → (302) hxxps[://]www[.]google[.]com/share.google?q=ARmvwNeclbuHCuEm4
  → (301) hxxps[://]videostroge[.]alleasing[.]co[.]nz/download.php/Unboxing_Evidence_For_Dispute_Mp4?f=...

share.google 단축 링크는 바로 다운로드 페이지로 가지 않고, google.com의 공유 링크 처리 주소를 한 번 거친 뒤 외부 다운로드 페이지로 이동합니다. 처음 두 단계가 모두 Google 도메인이어서 URL 평판 검사에 걸리지 않습니다.

그림 4. 자동 분석 시스템이 추출한 IOC와 단축 링크의 최종 목적지

자동 분석 시스템은 리다이렉트 서비스가 제공하는 응답을 확인해 최종 목적지를 식별했습니다. 이후 격리된 샌드박스 환경에서 별도로 링크를 실행해 실제 배포된 ZIP 파일을 확보했습니다.

2.3 다운로드: 접속 환경에 따라 다르게 응답하는 다운로드 페이지

urlscan.io(누구나 URL을 스캔하고 결과를 공개하는 서비스)에 남은 같은 캠페인의 과거 스캔 기록 7건(2026-05-25~08-28)에서는 다운로드 페이지가 Google 첫 화면이나 "다른 기기를 사용하라"는 안내 화면을 보여 줬습니다. 반면 물리 Windows 환경으로 만들어진 샌드박스에서는 악성코드가 다운로드됐습니다. 따라서 접속 환경에 따라 응답을 달리하는 클로킹 로직이 있음을 확인했습니다.

다만 어떤 조건으로 접속 환경을 가려내는지(운영체제, 브라우저 정보, 접속 지역, 리퍼러, 쿠키 등)는 확인하지 못했습니다. 특정 개인을 골라 파일을 준 것이 아니라, 특정 조건을 충족한 접속 환경에 파일을 준 것으로 봐야 합니다.

내려온 ZIP의 이름은 Unboxing_Evidence_For_Dispute_Mp4_b0ce5491.zip입니다. 안에는 아래 핵심 파일 5개와 미끼 문서 586개가 들어 있습니다. 파일별 크기와 평판은 3.1에 정리했습니다.

2.4 실행: 정상 Word 실행파일을 이용한 DLL 사이드로딩

이번 공격에 쓰인 WINWORD.EXE는 실행될 때 같은 폴더의 msvcr100.dll을 불러옵니다. 공격자는 이 동작을 이용해 정상 실행파일을 실행하면서 악성 DLL을 로딩했습니다. 사용자가 영상 파일처럼 위장된 exe를 실행하면 정상 Word 프로세스 안에서 가짜 DLL의 코드가 실행됩니다.

이 방식은 MITRE ATT&CK의 DLL Side-Loading(T1574.002)에 해당합니다.

가짜 DLL 파일의 전체 크기는 126 MB이지만, 실제 코드 영역은 약 424 KB에 불과했습니다. 나머지 약 125.7 MB는 무작위에 가까운 데이터를 덧붙인 것입니다. 일부 보안 제품의 검사 파일 크기 제한을 넘기려는 의도로 추정되지만, 이것이 낮은 탐지율의 직접 원인인지는 확인하지 못했습니다.

가짜 DLL이 실행된 뒤의 동작과 확인 범위는 3.2와 3.3에 정리했습니다.

3. 기술 분석 근거와 한계

3.1 배포된 파일의 구성과 평판 정보

유포 ZIP에는 정상 파일, 서명 없는 가짜 DLL, 암호화 본체로 추정되는 파일, 대량의 미끼 문서가 함께 들어 있습니다. VirusTotal 탐지율이 낮다는 것만으로 정상이라고 판단해서는 안 됩니다. VirusTotal 수치는 2026-10-01 기준입니다.

3.2 동적 분석에서 확인한 행위

JoeSandbox와 VirusTotal에서 확인한 결과를 분석 대상별로 구분했습니다. 실제 유포되는 ZIP을 확인하고, 해당 파일로 WINWORD.EXE를 통한 DLL 사이드로딩과 가짜 DLL 코드가 호출한 Windows API를 확인했습니다.

WINWORD.EXE가 시작할 때 원래 부르는 API(IsDebuggerPresent, GetTickCount 등)는 Word의 정상 동작이므로 제외했습니다. 아래 API 호출은 exe 프로세스 안에 따로 로드된 모듈의 메모리 주소 대역(0x6EDDxxxx~0x6EDExxxx)에서 나온 것이며, 본 보고서는 이 모듈을 사이드로딩된 가짜 DLL로 판단했습니다.

3.3 판정 범위와 분석의 한계

이번 분석으로 확정할 수 있는 범위는 로더 유포와 DLL 사이드로딩 실행까지입니다. 암호화 본체의 동작과 최종 목적은 확인하지 못했습니다.

재현 분석에서는 가짜 DLL이 실행됐지만 RAR 도구를 실행하기 직전에 프로세스가 종료됐습니다. 원인은 세 가지 중 하나로 보이며 확정하지 못했습니다.

1. 샌드박스가 압축을 풀면서 한글 파일명이 손상돼 .dat 파일을 찾지 못했을 가능성
2. 실행 환경 판별 조건을 충족하지 못했을 가능성
3. 재현을 위해 제거한 덧붙은 데이터에 의존했을 가능성

따라서 본 보고서는 로더의 유포와 실행까지 확인한 분석입니다. 악성코드의 계열과 목적까지 규명한 분석은 아닙니다.

3.4 연관 캠페인 판단

도메인 등록 정보, 전달 경로, 미끼 파일과 도구의 재사용 정황을 비교했습니다. 여러 단서가 연관 가능성을 높이지만, 공격 주체나 악성코드 계열을 확정할 근거는 아직 부족합니다.

같은 등록기관과 네임서버, 같은 도구의 재사용만으로 동일 공격자라고 단정할 수 없습니다. 동일 캠페인인지 확정하려면 가짜 DLL의 코드·설정, 다운로드 페이지의 고유 코드와 클로킹 조건, 압축 구조와 암호 생성 방식, 인증서·계정 재사용, 암호화 본체와 C2의 일치 여부를 더 확인해야 합니다.

현재 단계에서는 유사한 패키지 구조와 인프라를 사용하는 연관 가능성 사례로 분류합니다. 특정 공격 그룹이나 악성코드 계열로 판단하는 것은 보류합니다.

4. 로그프레소의 탐지·대응 과정

대응은 두 단계로 진행했습니다. 먼저 자동 분석 시스템이 약 20초 만에 피싱 여부와 조사 대상을 좁혔습니다. 이어서 정밀 분석으로 실제 악성 행위를 확인하고, 확인한 URL·파일 해시 등을 로그프레소 CTI 피드로 배포했습니다.

4.1 자동 분석: 약 20초 만에 피싱 판정과 조사 대상 확보

자동 분석 시스템은 두 메일을 각각 17.8초, 16.2초 만에 PHISHING(신뢰도 0.85)으로 판정했습니다. 이 과정에서 EML을 다음과 같이 처리했습니다.

• 발신·회신·반송 주소와 SPF·DKIM·DMARC 결과 분석
• 본문·HTML·헤더의 URL, 도메인, IP, 첨부파일 해시 추출
• Google 등 리다이렉트 서비스에 질의해 최종 목적지 확인
• 화이트리스트와 로그프레소 CTI·외부 평판 정보 대조
• 분석 근거를 포함한 AI 판정 생성
• AI가 인용한 IOC를 원문과 다시 대조해 불일치 경고

그 결과 자동 분석 시스템은 정상 인증 뒤에 숨은 회신 주소(개인 Gmail)와, 단축 링크 뒤에 있던 외부 다운로드 도메인을 찾아냈습니다.

그림 5. EML 분석 이력 (이번 피싱 메일 2건이 모두 PHISHING으로 판정됨)

그림 6. EML 자동 분석 결과 (판정, 신뢰도, 공격 기법, 판정 근거)

4.2 정밀 분석과 CTI 피드 배포: 첫 수신 후 약 2시간 43분 만에 배포 완료

자동 분석 시스템이 확보한 목적지와 IOC를 바탕으로, 격리된 샌드박스에서 링크를 실행해 실제 ZIP 유포와 DLL 사이드로딩을 확인했습니다. 유포 도메인·URL은 샌드박스 결과를 기다리지 않고 먼저 로그프레소 CTI 피드로 배포했고, 파일 해시는 분석이 끝난 직후 배포했습니다.

로그프레소 CTI 서비스를 구독하는 고객 환경에는 CTI 피드가 실시간으로 적용됩니다. 이번 건의 유포 도메인·URL과 파일 해시도 위 표의 배포 시점부터 적용됐습니다.

자동 분석의 가치는 모든 악성 행위를 20초 안에 밝혀냈다는 데 있지 않습니다. 사람이 헤더와 링크를 일일이 조사하지 않아도 피싱 가능성, 실제 목적지, 조사할 IOC를 바로 확보해 CTI 피드 배포와 정밀 분석으로 넘어갈 수 있었다는 데 있습니다.

5. 조직에서 확인할 탐지 포인트와 대응 방법

이런 공격에 대응하려면 발신 정보, 링크, 파일 실행 행위를 함께 봐야 합니다.

5.1 보안 담당자가 확인할 탐지 포인트

5.2 분석가의 우선 헌팅 순서

1. 메일 로그: AppSheet 발신 주소, 외부 Gmail 회신 주소, 단축 링크가 함께 나타난 메일을 검색합니다.
2. 프록시·DNS: share.google 접속 뒤 alleasing[.]co[.]nz 하위 도메인으로 이어진 기록을 확인합니다.
3. EDR: Downloads·Temp·압축 해제 경로에서 실행된 WINWORD.EXE와, 같은 폴더의 서명 없는 msvcr100.dll 로드를 확인합니다.
4. 후속 확인: 유포 ZIP·가짜 DLL·.dat 파일 해시와 실행 전후의 프로세스·파일 생성 기록을 조사합니다.
5. 예외 처리: 부록의 "차단 시 주의할 점"을 따릅니다.

5.3 사용자 및 조직 대응

6. 마치며

이번 공격은 메일 인증을 위조하거나 정상 파일을 변조하지 않았습니다. 공격자는 정상 발송 플랫폼, Google 단축 링크, 정상 서명 실행파일을 이어 붙여 단계마다 신뢰를 악용했습니다.

따라서 개별 IOC를 차단하는 것만으로는 부족합니다. 발신 주소와 회신 주소의 관계, 단축 링크의 최종 목적지, 실행파일의 경로, 서명된 프로세스가 불러오는 DLL을 함께 봐야 합니다.

로그프레소 CTI는 의심 메일(EML)과 SMS·메신저 화면을 자동 분석해 공격 징후와 IOC를 추출하고, 정밀 분석과 차단으로 이어질 조사 대상을 빠르게 좁힙니다. 받은 메일이나 파일이 이번 사례와 비슷한지 확인이 필요하거나, 5.1의 탐지 포인트를 조직 환경에 적용하려면 로그프레소에 문의해 주십시오.

7. 분석 정보

그림 7. 자동 분석 시스템의 VirusTotal 도메인 조회 (탐지 0 / 91, 재등록 기준 도메인 나이 352일)

본 보고서는 로더의 유포와 실행까지 확인한 결과입니다. 암호화 본체는 복호화하지 못했으므로 악성코드의 계열, C2, 최종 목적은 다루지 않습니다.

본 보고서는 추가 피해 예방을 목적으로 공개합니다.

부록. 침해지표(IOC)

차단 시 주의할 점입니다.

• IP로 차단하지 않습니다. 관련 IP(104.21.72.122, 172.67.184.28, 172.67.166.128, 104.21.58.247)는 Cloudflare 공용 IP여서 무관한 정상 사이트가 함께 차단됩니다. 도메인 단위로 차단합니다.
• noreply@appsheet.com은 정상 AppSheet 발송 주소이므로 단독으로 차단하지 않습니다.
• 정상 WINWORD.EXE와 RAR 명령줄 도구는 해시로 차단하지 않습니다(A-3). 해시를 차단하면 정상 업무 환경에서 오탐이 생깁니다. 경로, 실행 관계, 함께 로드된 서명 없는 DLL을 묶어 탐지합니다.
• 유포 ZIP은 다운로드마다 파일명 끝부분이 바뀔 수 있어, ZIP 해시도 수신자마다 다를 수 있습니다.
• 아래 URL은 위협 헌팅과 사후 추적에만 쓰고 브라우저로 접속하지 않습니다.

A-1. 네트워크

A-2. 파일 해시

유포 ZIP. Unboxing_Evidence_For_Dispute_Mp4_b0ce5491.zip
MD5     4eb0dd3694f6a09b195f1a0f60f28b48
SHA1    a0b5998db179954e875c49fea19109fb5462bc16
SHA256  b3a1dc63148a3370f1ce0000016453335ded6a9de669d7091d71ba99600204fa

가짜 DLL. msvcr100.dll, 126,175,232 bytes
MD5     71c7e67695cdd321556323cea21cf8fc
SHA1    2727e0823256d48b595ac9d7a257b2d3a4e93494
SHA256  a1c11a34495f6888abaf63e2a6315e0c09f39aa306ce8f4cee143b7efddc0bc7

암호화 본체 추정 파일. 한글 이름의 .dat (암호화된 RAR v5)
SHA256  76441c005084de023503fa9ab09fbd590ae212f41e51b0deb311f68e60c5b4df

A-3. 차단 금지 정상 파일

공격에 악용됐지만 정상 파일입니다. 해시 단독 차단 대상에서 제외합니다.

A-4. 발신 정보