ASEC Threat Research

2010년 3월 8일 마이크로소프트(Microsoft)의 Malware Protection Center 블로그에 "CVE-2010-0188: Patched Adobe Reader Vulnerability is Actively Exploited in the Wild" 라는 글이 게시되었다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2010년 3월 9일 마이크로소프트(Microsoft)의 인터넷 익스플로러(Internet Explorer)에 존재하는 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점을 악용한 타켓 공격(Targeted Attack)이 발생하였다.

Microsoft Security Advisory (981374)

Vulnerability in Internet Explorer Could Allow Remote Code Execution

ASEC에서는 이 번 타켓 공격에 악용된 인터넷 익스플로러의 제로 데이 취약점과 관련 악성코드에 대해 상세한 분석을 진행하였다.

이 번에 제로 데이 취약점을 악용한 스크립트 악성코드는 위 이미지와 같은 형태를 가지고 있으며 현재까지 쉘코드(Shellcode)는 동일하나 다른 악성코드를 다운로드하는 웹 사이트 주소 부분만 변경되어 악용되고 있다.

그러므로 향후에도 동일한 형태의 스크립트 악성코드 변형이 계속해서 발견될 것으로 예측 된다.

이 번에 알려진 취약점은 인터넷 익스플로러에서 사용하는 iepeers.dll에서 발생하며 기존에 발견된 다른 인터넷익스플로러 취약점 악용 사례와 같이 쉘코드를 채우는 Heap_spray 코드로 구성되어 있다.

해당 쉘코드로 인해 위 이미지에서와 같이 최종적으로 다른 악성코드를 다운로드 하는 웹 사이트 주소를 실행하여 다운로드 한 후 실행하도록 설계 되어 있다.

해당 취약점과 관련한 추가적인 정보는 아래 ASEC 보안 권고문을 참고 하기 바란다.

ASEC Advisory SA-2010-004

MS 인터넷익스플로러 'iepeers.dll' 코드실행 취약점 주의(제로데이 취약점)

이 번에 발생한 공격의 전체적인 흐름을 도식화 한 이미지가 아래와 같다.

최초 공격자는 전자 메일에 특정 웹 사이트로 연결하는 웹 사이트 링크를 본문에 포함하여 특정 대상들에게 무작위로 발송하였다.

해당 메일의 수신자가 해당 링크를 클릭하게 될 경우, 미국에 위치한 특정 시스템으로 접속하여 인터넷 익스플로러의 취약점을 악용하는 스크립트 악성코드를 실행하게 된다. 그 후 다시 동일한 시스템에서 백도어 성격을 가지고 있는 다른 트로이목마들을 다운로드 한 후 실행하도록 하게 되어 있다.

해당 트로이목마들이 실행되면 DLL 파일 1개를 생성한다. 그리고 인터넷 익스플로러와 파이어 폭스(Firefox)와 같은 웹 브라우저(Web Browers)와 아웃룩(Outlook) 메일 클라이언트가 실행될 경우 해당 DLL 파일을 해당 프로세스에 스레드(Thread) 인젝션(Injection)을 시도하며 그 후 입력하는 키보드 입력값을 후킹하도록 되어 있다.

그 외에도 원격제어, 프록시(Proxy) 기능과 윈도우 로그인 암호 등을 외부로 유출하는 기능도 수행하게 되어 있다.

현재 V3 제품군에서는 이번 인터넷 익스플로러의 제로 데이 취약점을 악용하는 악성코드들을 다음과 같이 진단한다.

JS/CVE-2010-0806

Win-Trojan/Cosmu.32768.E

Win-Trojan/Mdrop.42496

Win-Trojan/Wisp.42496

Win-Trojan/Wisp.32768

그리고 네트워크 보안 장비인 트러스가드(TrusGuard)에서도 해당 취약점을 악용하는 네트워크 패킷(Network Packet)을 다음과 같이 탐지 및 차단 가능하다.

ms_ie_iepeers_code_exec_exploit

앞서 언급한 바와 같이 현재까지 해당 인터넷 익스플로러의 취약점을 제거할 수 있는 보안 패치를 마이크로소프트에서 제공하지 않음으로 각별한 주의가 필요하다.

마이크로소프트에서는 이에 대한 가장 빠른 해결 방안으로 사용하는 인터넷 익스플로러 8이 영향을 받지 않음으로 업데이트 할 것을 권고하고 있다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2010년 2월 27일 해외에서 마이크로소프트(Microsoft)의 인터넷 익스플로러(Internet Explorer)에서 VBScript를 통한 Windows Help 파일 실행과정에서 코드 실행 가능한 취약점이 발견되었다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2009년 6월부터 다양한 사회적인 이슈들을 이용하는 사회 공학 기법을 통해 유포되었던 Zbot 변형이 최근에 와서는 악의적인 웹 사이트에 포함되어 있는 iFrame으로 어도비 아크로뱃 리더(Adobe AcroBat Reader)의 PDF 파일에 존재하는 취약점도 악성코드 유포에 악용되는 것이 확인 되었다.

이러한 기법은 최초 허위 세금 고지 메일로 위장한 전자 메일을 유포한 한 후 해당 전자 메일 본문에 포함되어 있는 링크를 클릭 할 경우 아래 이미지와 같은 웹 사이트로 연결된다.

악의적인 웹 사이트에서는 기존과 동일하게 해당 웹 사이트에서 제공하는 tax-statement.exe(130,560 바이트)를 다운로드하도록 유도하고 있으며 해당 파일은 Zbot 트로이목마 변형이다.

Zbot 트로이목마 제작자는 해당 웹 사이트의 접속자가 해당 트로이목마 변형을 다운로드 하지 않는 경우를 고려하여 아래 이미지와 같이 웹 사이트 내부에 iFrame 코드를 삽입하여 카자흐스탄(Kazakhstan)에 위치한 특정 서버에서 취약한 PDF 파일을 다운로드 하도록 되어 있다.

해당 서버에서 다운로드 된 취약한 PDF 파일은 다시 카자흐스탄에 위치한 다른 서버로 부터 Mufanom 트로이목마 변형을 다운로드 한 후 실행하도록 되어 있다. 이러한 전체적인 구조를 간략하게 도식화 한 이미지가 아래와 같다.

위 이미지와 같은 전체적인 구조를 가지고 있는 Zbot 변형을 유포하기 위한 전자 메일은 해당 악성코드 제작자가 악의적인 웹 사이트로 접속한 사용자가 해당 웹 사이트에 대한 의심으로 Zbot 변형을 정상적으로 다운로드 하지 않을 경우 생각한 2중 감염 기법으로 볼 수 있다.

이러한 2중 감염 기법을 사용하는 악성코드들은 V3 제품군에서 다음과 같이 진단한다.

Win32/Ircbot.worm.variant

PDF/Exploit

Win-Trojan/Mufanom.39424.AG

이러한 복합적인 공격 기법은 2009년 이전 부터 웹 사이트에 존재하는 악성 스크립트 파일에서 사용하는 감염 기법을 전자 메일을 통한 유포과 결합된 형태로 볼 수 있음으로 컴퓨터 사용자는 마이크로소프트(Microsoft) 보안 업데이트 뿐 만이 아니라 자신이 자주 사용하는 어플리케이션의 보안 업데이트도 많은 주의를 기울여야 한다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2010년 2월 10일, 마이크로소프트(Microsoft)의 멀웨어 프로텍션 센터(Malware Protection Center) 블로그에 발렌타인 데이(Valentine Day)와 관련된 "Cupid Struck"가 게시되었다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2010년 1월 말 해외 언더그라운드에서 허위 백신을 유포하는 방법으로 Papka 이라는 웹 익스플로잇 툴킷(Web Exploit Toolkit)이 사용된다는 일부 보안 업체의 보고가 있었다.

해당 Papka 툴 킷에서 사용하는 취약점이 어도비(Adobe)사의 아크로뱃 리더(Acrobat Reader)에서부터 마이크로소프트(Microsoft) 윈도우(Windows)와 인터넷 익스플로러(Internet Explorer)의 취약점까지 다양하게 악용되고 있다.

특히 공격자는 이러한 툴 킷을 통해 컴퓨터 사용자가 악의적인 웹 사이트로 접속하는 순간 해당 시스템에 존재하는 7가지의 취약점을 자동으로 선택하여 악용함으로 시스템이 악성코드에 감염된 것을 알아채기가 쉽지 않다.

그러므로 사용하는 시스템의 다양한 응용 프로그램들의 보안 패치까지 관심을 가지고 설치하는 것이 중요하다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

2010년 2월 2일을 즈음하여 인터넷 포털 사이트를 통해 사용하는 시스템이 허위 백신에 감염되었으며 해당 허위 백신이 한국어로 제작되어 있다는 문의가 게시되었다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.

미국에서 진행되는 블랙햇(BlackHat) 보안 컨퍼런스에서 마이크로소프트(Microsoft)의 인터넷 익스플로러(Internet Explorer)에 알려지지 않은 정보 유출 취약점이 존재하는 것이 알려졌다.

크리에이티브 커먼즈 라이센스

이 저작물은 크리에이티브 커먼즈 코리아 저작자표시-비영리-변경금지 2.0 대한민국 라이센스에 따라 이용하실 수 있습니다.