보안업체 Barracuda 연구팀이 기존 피싱과 전혀 다른 새로운 공격 방식을 발견했습니다. 공격자는 가짜 웹사이트를 서버에 올리는 대신, 피해자의 브라우저 안에서만 존재하는 임시 주소(blob URL)를 이용해 피싱 페이지를 만듭니다. 공격은 DocuSign을 흉내 낸 이메일로 시작하며, 실제 Microsoft OAuth와 Teams 인프라를 경유하기 때문에 URL만 보면 의심하기 어렵습니다. 피싱 페이지는 피해자 기기 메모리 안에서 조립되고, 공격자는 서비스 워커(service worker)와 브라우저 메시징을 통해 실시간으로 페이지 내용을 원격 제어합니다. 기존 보안 솔루션이 악성 URL을 차단하는 방식으로는 이 공격을 탐지하기 매우 어렵습니다.
Barracuda 연구팀이 blob URL을 활용해 피싱 페이지를 피해자 브라우저 내부에서만 생성하는 신종 피싱 캠페인을 발견했다. DocuSign 사칭 이메일 → 정식 Microsoft OAuth 엔드포인트 → Microsoft Teams → 외부 CDN → blob URL 순으로 피해자를 유도한다.
피싱 페이지가 서버에 존재하지 않아 URL 기반 탐지 및 차단을 우회한다. 서비스 워커와 브라우저 메시징으로 공격자가 실시간 원격 제어가 가능하며, 중앙 관리형 플랫폼으로 다수 피해자를 동시 표적으로 삼을 수 있다.
브라우저의 blob URL 기능을 악용해 악성 콘텐츠를 메모리 내에서 조립하고, 정상적인 Microsoft 인프라(OAuth, Teams)를 경유함으로써 전통적인 보안 탐지 지표를 제거한다.
Barracuda는 OAuth 인증 흐름과 리다이렉트 체인 모니터링, 인증 맥락에서의 blob URL 활동 검사, 외부 콘텐츠와 연계된 서비스 워커 등록 감지를 권고했다. FIDO2 키·패스키 등 피싱 저항성 MFA 도입, 링크 전체 경로를 추적하는 이메일 보안 도구 사용, 임직원 보안 교육도 강조했다.
알려진 피싱 URL 차단에만 의존하는 보안 전략은 이 공격에 무력하다. 악성 행위(비정상적 OAuth 리다이렉트, blob URL 생성, 서비스 워커 등록) 자체를 탐지하는 행위 기반 접근과 강력한 신원 기반 통제로 전환해야 한다.
본문
Barracuda 연구팀에 따르면, 한 피싱 캠페인이 피해자를 실제 Microsoft OAuth 및 Teams 인프라를 통해 유도한 뒤, 피해자 자신의 브라우저 안에서 완전히 조립되는 가짜 로그인 페이지를 보여준다.
"웹 서버에서 피싱 페이지를 전달하는 대신, 악성 콘텐츠가 blob URL을 사용해 피해자의 브라우저 내부에서 조립됩니다. blob URL이란 웹사이트가 아닌 브라우저 메모리에 로컬로 저장된 콘텐츠를 가리키는, 브라우저가 임시로 생성하는 주소입니다." 라고 연구팀은 설명했다.
공격은 캘린더 초대 파일이 첨부된 DocuSign 사칭 이메일로 시작된다. 초대 파일 자체가 페이로드(악성 실행 요소)는 아니다. 이 파일은 메시지가 평범한 회의 요청처럼 보이도록 하는 역할을 하며, 명백히 의심스러운 것이 아닌 실제 Microsoft OAuth 엔드포인트를 가리키기 때문에 효과적이다.
DocuSign을 사칭한 피싱 이메일 (출처: Barracuda)
교묘하게 조작된 리다이렉트 파라미터가 피해자를 Microsoft Teams로 보낸다. Teams는 외부 도메인인 cdn.bloom[.]io에 호스팅된 리소스를 로드하고, 이것이 최종적으로 피해자 기기에서 blob URL로 렌더링되는 피싱 페이지로 이어진다.
페이지가 로드되면 서비스 워커(service worker)를 등록하고 일부 로직을 샌드박스(sandbox) 처리된 iframe 안에서 실행한다. 이 구성 요소들을 통해 공격자의 백엔드는 브라우저 메시징으로 페이지에 실시간 지시를 보낼 수 있으며, 하드코딩된 리다이렉트 없이도 피해자에게 보이는 내용을 변경할 수 있다.
"숨겨진 명령 및 제어(C2) 설정을 보면, 이것은 단독으로 작동하는 페이지가 아니라 중앙에서 운영·업데이트하고 다수의 피해자에게 동시에 방향을 조종할 수 있는 관리형 피싱 플랫폼의 일부임을 알 수 있습니다." 라고 연구팀은 밝혔다.
Barracuda, 강력한 신원 통제 촉구
Barracuda는 OAuth 인증 흐름과 리다이렉트 체인에서 예상치 못한 목적지를 감시하고, 로그인 또는 인증 맥락에서의 blob URL 활동을 검사하며, 외부 로드 콘텐츠와 연계된 서비스 워커 등록을 표시(flag)하도록 권고했다.
또한 FIDO2 키 또는 패스키(passkey) 같은 피싱 저항성 MFA(다단계 인증), 링크의 첫 번째 홉만이 아닌 전체 경로를 추적하는 이메일 보안 도구, 그리고 문서 서명 요청이 신뢰할 수 있는 Microsoft 인프라를 통해 이루어지더라도 의심하도록 임직원을 교육하는 것을 권장했다.
"이 캠페인은 피싱이 가짜 웹사이트와 수상한 도메인을 넘어 어떻게 진화하고 있는지, 그리고 보안팀이 탐지에 전통적으로 의존해 온 지표들을 어떻게 제거하고 있는지를 보여줍니다." 라고 Barracuda의 부위협분석가(Associate Threat Analyst) Ashitosh Deshnur가 말했다.
"조직은 알려진 피싱 URL을 단순 차단하는 것에서 벗어나, 악성 행위를 식별하고 신원 기반 통제를 강화하는 데 집중해야 합니다." 라고 Deshnur는 결론지었다.
