김수키(Kimsuky)으로 추정이 되는 국민비서 경찰청 고지 안내 피싱 메일(2025.4.9)

오늘은 나이스투미츄우 엔 유 김수키(Kimsuky)으로 추정이 되는 국민 비서 경찰청 고지 안내 피싱 메일에 대해 분석을 해보는 시간을 가져 보겠습니다.
일단 해당 메일 내용은 네이버에서 제공하는 전자문서 시스템으로 위장하고 있으며 경찰청 고지 안내 피싱 메일입니다.
피싱 내용은 다음과 같습니다.
새로운 전자문서가 도착했어요.
????@naver(.)com님 지금 확인해 보세요. 
발송기관:국민비서  
전자 문서 종류[국민비서] 경찰청 고지 안내  
인증기한:2025-04-24 23:59까지 
기한 내 열람 하지 않으면 발송기관 정책에 따라 다른 수단(종이 우편, SMS/LMS 등) 또는 다른 채널(타사앱)로 발송됩니다.
기관에서 정식 발송된 문서는 네이버앱  Na.  전자문서에 표시됩니다.

피싱 메일 내용

이라고 돼 있습니다.
여기서 보면 뭐 네이버 전자문서로 온 것을 확인되는 것 같지만 그게 아니고 사실은 러시아에서 발송된 이메일입니다.
이것을 확인하기 위해서 이메일 헤더를 열어보아야 합니다.

피싱 메일 이메일 헤더 내용

발신 이메일 주소

이메일 주소:angelosmxtpl@list(.)ru->89(.)221(.)237(.)155 러시아 모스크바 에서 발송을 한 것을 확인할 수 있습니다.

수법
1. 도메인 위장:
실제 p-doc(.)docpolice(.)p-e(.)kr 로 연결
해당 도메인은 공식 네이버와 전혀 관련 없는 도메인
2. 링크 조작 기법 (URL forwarding / redirection confusion):
파라미터(m=) 안에 실제 네이버 로그인 주소가 들어 있어 사용자를 속여 나는 이 링크는 네이버 로그인이라고 이메일 받은 사람에게는 착각하게 하여 최면을 걸고
하지만, 클릭 시 실제 이동하는 서버는 p-e(.)kr 도메인이며 이곳에서 가짜 로그인 페이지를 띄워 네이버 계정 정보(아이디, 비밀번호)를 탈취하는 것이 목적인 것이 전형적으로 북한 애들이 사용하는 내도메인(.)한국을 악용을 하고 있음

피싱 사이트 유도

3. 수신 이메일 주소가 URL에 포함됨:
wreply=???@naver(.)com 부분이 URL에 포함되어 있으며 공격자가 해당 링크를 개별 수신자 전용으로 커스터마이즈 해서 해당 메일을 받은 사람을 직접 공격하는 방식을 사용하고 있습니다.
해당 부분을 통해서 계정을 획득하고 네이버에 메일 등을 열어보아서 돈 되는 것들은 털어갈 것입니다.
결론: 이메일 주소 확인 잘하고 내가 누르는 링크가 올바른 링크인지 잘 판단 하자입니다.