'0-day'에 해당되는 글 65건

EMC/RSA 침해 사고 유발한 타깃 공격 이메일 발견 :: 2011/08/29 13:53

/취약점 이슈

ASEC에서는 4월 4일 EMC/RSA에서 APT 형태의 침해 사고가 발생하였으며, 이로 인해  2 팩터 인증(2 Factor Authentication) 관련 정보들이 외부로 유출 되었다는 사실을 전한 바가 있다.


당시 EMC/RSA에서는 해당 APT 형태의 침해 사고는 "2011 Recruitment plan.xls"라는 마이크로소프트(Microsoft)의 엑셀(Excel)파일이 첨부된 메일을 이용한 타깃 공격(Targeted Attack)으로부터 침해 사고가 발생하였다는 사실을 공개하였다.

이러한 사실 관계가 현지 시각 8월 26일 핀란드 보안 업체인 F-Secure의 "How we found the file that was used to Hack RSA" 블로그를 통해 공개되었다.

F-Secure에서는 밝힌 EMC/RSA에서 발생한 APT 형태의 침해 사고는 ASEC에서 확인한 아래 이미지와 같이 2011 Recruitment plan.xls(108,032 바이트) 이 첨부된 타깃 공격을 위한 이메일로 부터 시작되었다.

사용자 삽입 이미지

 해당 엑셀 첨부파일은 당시 제로 데이(Zero-Day, 0-Day) 취약점이었던 어도비 플래쉬 플레이어(Adobe Flash Player)의 CVE-2011-0609 취약점을 악용하도록 제작되었다.

사용자 삽입 이미지

EMC/RSA에서 발생한 APT 형태의 침해 사고는 사람의 심리를 공격한다는 고도화된 사회 공학(Social Engineering)과 제로 데이 취약점을 악용해 원격 제어 형태의 악성코드 감염을 시도한 복합적인 형태로 볼 수가 있다.

이번 EMC/RSA에서 발생한 침해 사고에 이용된 타깃 공격을 위한 이메일에 첨부된 엑셀 파일은 V3 제품군에서 다음과 같이 진단한다.

Dropper/Cve-2011-0609

악성코드로부터의 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 전에 주의를 하는 것이 중요하다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해 유포되는 악성코드의 감염을 예방하고 사기 사이트 및 피싱 사이트를 차단하는 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/08/29 13:53 2011/08/29 13:53
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(5) : Comment(6)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/587

  • Tracked from gw2 gol | 2013/04/08 22:09 | DEL

    Hiya, I am really glad I've found this info. Nowadays bloggers publish just about gossips and net and this is actually annoying. A good site with interesting content, that is what I need. Thanks for keeping this website, I will be visiting it. Do you d...

  • Tracked from card recover | 2013/05/09 19:38 | DEL

    MicroSD card recovery Pro is file data recovery software designed to recover lost files including video, documents, pictures, audios, and videos from memory cards, CD-ROMs, and lost pictures from digital camera memory.

  • nike tn pas cher

    Tracked from nike tn pas cher | 2013/05/11 10:54 | DEL

    Probablement pas assez pour empêcher son rival de gouverner, milan ac juve que nous sommes à la tête des composantes modérée? et Arnaud Montebourg?pour le Redressement productif perdent chacun 3 points pour se retrouver respectivement à 30% et 31% d

  • maillot de foot vintage

    Tracked from maillot de foot vintage | 2013/05/11 10:54 | DEL

    calqué sur le suranné système soviétique des années 80, David Beckham est bien dans le groupe qui affrontera lOM mais va-t-il jouer ce soir? par questionnaire auto-administré en ligne auprès dun échantillon représentatif de 704 personnes de la ?p

  • rolex dateJust | 2012/07/28 22:34 | PERMALINK | EDIT/DEL | REPLY

    그것도 직접 그들에게 큰 관심의 위대한 켜서 말 같지 않아 많은 여자에게 coziness를 제공합니다.코치 매장에서 판매 전용 가방은 확실히 다음 캠핑 여행에 군중에서 눈에 띄는 것이 값싼 또는 할인 가격입니다!

  • wiky | 2012/08/20 15:36 | PERMALINK | EDIT/DEL | REPLY

    Give everything a shot. You never know <a href="http://www.topwatchsale.co.uk/">rolex replica</a> what (or who) is going to change your <a href="http://www.topwatchsale.co.uk/rolex/daytona">rolex daytona replica</a> life

  • abercrombie milano | 2012/09/21 10:32 | PERMALINK | EDIT/DEL | REPLY

    Ottimo sito, posso dalle altre persone esperte condividono la stessa suggestione interessi. Aspetto generale del tuo sito è grande, per non parlare del contenuto. Io credo, che avete già avuto un gruppo considerevole di lettori!

  • daidai | 2012/10/30 15:36 | PERMALINK | EDIT/DEL | REPLY

    [url=http://www.pradaoutletplaza.net][b]prada online outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlet store[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada factory outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online shop[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada bags outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]outlet prada[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]space prada outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada space outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada shop online[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada bag outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlet montevarchi[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlets[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada sale[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada handbags outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada store[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada evening bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada classic bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]cheap prada[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada accessories[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online shop[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada diaper bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada fairy bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada website[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada sport[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada pumps[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-prada-saffiano-c-1.html][b]2012 Prada Saffiano[/b][/url]
    [url=http://www.pradaoutletplaza.net/miu-miu-handbags-c-12.html][b]MIU MIU Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-bags-c-2.html][b]New Prada Bags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-belts-c-10.html][b]Prada Belts[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-canvas-bag-c-5.html][b]Prada Canvas Bag[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-shoes-c-9.html][b]prada shoes[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-leather-bags-c-11.html][b]Prada Leather Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-men-shoes-c-8.html][b]Prada Men Shoes[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-man-bags-c-4.html][b]Prada Man Bags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-handbags-c-3.html][b]Prada Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-wallets-c-6.html][b]Prada Wallets[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-sunglasses-c-7.html][b]Prada Sunglasses[/b][/url]



    [url=http://www.pradaoutletplaza.net/2012-cheap-prada-saffiano-lux-tote-bag-black-leather-bn1786-p-1.html][b]prada bn1786[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-cheap-prada-saffiano-tote-bag-black-cross-grain-leather-p-10.html][b]prada bn2274[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-prada-small-saffiano-lux-tote-bag-black-leather-bn1801-p-20.html][b]prada bn1801[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-handbags-2011-p-59.html][b]prada bn1802[/b][/url]
    [url=http://www.pradaoutletplaza.net/designer-prada-leather-bag-black-calf-croco-veins-1215-p-39.html][b]prada bn1844[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-br4348-stud-tote-bag-in-black-leather-p-55.html][b]prada bn1874[/b][/url]


    [url=http://www.pradaoutletplaza.net/prada-leather-handbags-black-6029-p-540.html][b]prada bn2316[/b][/url]
    [url=http://www.pradaoutletplaza.net/miu-miu-handbags-outlet-18330-orchid-purple-p-688.html][b]prada bn1844[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-handbags-2011-p-59.html][b]prada bn2274[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-leather-tote-black-tc001-p-665.html][b]prada bn1802[/b][/url]
    [url=http://www.pradaoutletplaza.net/designer-prada-leather-bag-brown-calf-croco-veins-1215-p-40.html][b]prada bn1874[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-men-bags-black-166p-p-169.html][b]prada bn1801[/b][/url]

  • Abercrombie France | 2012/11/02 17:10 | PERMALINK | EDIT/DEL | REPLY

    Ceci est juste l'information que je recherche everywhere.Me et mon ami se disputaient au sujet d'une question semblable à cela! Maintenant, je sais que j'étais right.Thanks pour les informations que vous postez. Je viens de souscrire votre blog. Ceci est un blog sympa.

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

2011년 상반기 10대 보안 위협 트렌드 :: 2011/07/12 14:20

/보안 업계 동향

- 기업 대상 악의적 해킹, 온라인 뱅킹 직접 겨냥..대담한 범죄화 추세
- 모바일 악성코드 급증, 맥 OS 악성코드 본격화
- SNS 및 검색 엔진 이용한 지능적 유포 급증

사용자 삽입 이미지

글로벌 종합보안 기업인 안철수연구소[대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’]는 12일 ‘2011년 상반기 10대 보안 위협 트렌드’를 발표했다. 이에 따르면 올해 상반기 주요 이슈는 ▶기업 대상 악의적 해킹 시도 증가 ▶더욱 대담해진 온라인 뱅킹 해킹 ▶모바일 악성코드 기승 ▶SNS로 유포되는 악성코드 급증 ▶진짜 백신으로 위장한 가짜 백신 등장 ▶윈도우 시스템 파일을 패치하는 악성코드 증가 ▶악성코드 첨부 메일 증가 ▶웹 애플리케이션 취약점 악용한 악성코드 증가 ▶맥 OS 겨냥한 악성코드 본격화 ▶온라인 게임 해킹 툴 기법 지능화 등이다.
 
[1] 기업 대상 악의적 해킹 시도 증가
 
올해 상반기에는 기업 대상 해킹 시도가 증가했다. 글로벌 에너지 업체의 기밀 정보를 탈취하려는 나이트드래곤[Night Dragon] 위협, EMC/RSA에서 발생한 OTP[One Time Password] 관련 기밀 탈취 위협, 해킹 그룹 룰즈섹[LulzSec]이 소니[Sony]의 고객 정보를 대량 유출한 사고가 대표적이다. 국내에서도 대형 금융기관 대상의 악의적 해킹이 밝혀졌다. 이러한 해킹 시도는 그 피해의 여파가 과거에 비해 더 크며, 금전 탈취는 물론 자신들의 주장을 관철하려는 핵티비즘[Hacktivism] 성격으로까지 다양해지고 있는 것이 특징이다.
 
[2] 더욱 대담해진 온라인 뱅킹 해킹
 
온라인 뱅킹 중에 전송되는 금융 정보를 탈취하는 악성코드는 올해도 지속적으로 국내외에서 발견되고 있다. 국내에서는 온라인 뱅킹을 지원하는 국내 대부분의 은행 사이트를 대상으로 한 악성코드 뱅커[Banker]가 발견됐으며, 해외에서는 2010년에 심각한 금융 보안 사고를 유발한 악성코드 제우스[Zeus]의 변형을 제작할 수 있는 소스코드가 유출되기도 했다. 온라인 게임 아이템을 탈취한 후 이를 현금화하던 방식이 아닌, 단계를 거치지 않고 한 번에 금전을 탈취하는 대담한 범죄가 본격화한 것이다. 사용자는 더욱 세밀한 보안 설정과 관리를 해야 한다. 온라인 뱅킹 암호를 주기적으로 변경하고 공인인증서 관리에도 특별한 주의를 기울여야 한다.
 
[3] 모바일 악성코드 기승
 
올해 상반기 안드로이드[Android]용 악성코드가 크게 증가했다. 사용자 모르게 루트[Root] 권한을 획득하는 루팅[Rooting]을 수행하는 Zft, 사용자의 통화 목록과 문자 내역 그리고 웹사이트 방문 기록 등을 탈취하는 키드로거[KidLogger], 안드로이드 스마트폰을 원격에서 제어할 수 있는 드로이드쿵후[DroidKungFu]가 대표적이다. 이 밖에 탈옥[JailBreak]된 아이폰과 아이패드에 설치되어 키보드 입력값을 가로채는 상용 키로거[Keylogger]도 발견됐다. 모바일 악성코드는 감염 기법과 동작 방식이 점차 PC용 악성코드와 유사해져 향후 더 심각한 보안 위협이 될 것으로 예측된다.
 
[4] SNS로 유포되는 악성코드 급증
 
올해부터 본격적으로 SNS[소셜 네트워크 서비스]가 악성코드 유포 경로로 악용되기 시작했다. 많은 사람의 주목을 끌어야 하는 만큼 당연히 사회적 이슈를 이용한 사회공학기법[Social Engineering]이 사용됐다. 일본 대지진 관련 기사나, 빈 라덴 사망 관련 동영상으로 위장한 가짜 백신들이 유포됐다. SNS는 그 특성상 사회공학기법을 악용한 악성코드와 피싱[Phishing] 등에 쉽게 노출된다. 그러므로 SNS로 전달되는 이슈가 보안 위협일 수도 있다는 보안 인식이 필요하다.
 
[5] 진짜 백신으로 위장한 가짜 백신 등장
 
가짜 백신이 이제는 버젓이 진짜 백신으로 위장하는 사례까지 등장했다. 해외 백신인 AVG, 비트디펜더[BitDefender]와 동일한 UI[사용자 인터페이스]와 아이콘을 그대로 도용한 가짜 백신이 발견됐다. 이는 사용자로 하여금 허위 진단 결과를 신뢰하게 하여 금전 획득의 가능성을 높이려는 의도이다. 또한 더 많은 PC를 감염시키기 위해 유포 방식도 지능화했다. 검색 엔진에서 검색한 이미지 파일을 클릭하면 가짜 백신 유포 웹사이트로 연결되게 한 것이다. 이는 일종의 ‘블랙햇 검색엔진최적화’[BlackHat Search Engine Optimization] 기법인데, 검색 결과를 조작해 가짜 백신 유포 사이트로 연결하는 종전 방식에서 변형된 형태이다.
 
[6] 윈도우 시스템 파일을 패치하는 악성코드 증가
 
2011년 상반기에 유포된 악성코드 중 윈도우 운영체제에 존재하는 정상 시스템 파일을 악의적 목적으로 패치[Patch]하거나 변경하는 악성코드가 급증했다. 윈도우 시스템 파일[imm32.dll, ksuser.dll, midimap.dll, comres.dll 등]을 패치하여 다른 악성코드를 감염시키거나 특정 온라인 게임의 사용자 정보를 탈취하는 악성코드가 다수 발견됐다. 일부 악성코드는 윈도우 시스템 파일뿐 아니라 백신이 사용하는 파일을 삭제 또는 변조하거나 윈도우 서비스를 강제 종료하는 등 보안 제품의 작동을 방해하기도 한다. 이런 유형은 악성코드를 삭제할 경우 시스템 자체를 손상시키므로, 백신의 진단/치료를 어렵게 하려는 목적으로 제작되었다고 볼 수 있다.
 
[7] 악성코드 첨부 메일 증가
 
악성코드를 첨부한 메일의 유포가 올해 2분기를 기점으로 다시 증가했다. 페이스북에서 발송하는 메일로 위장한 사례, UPS나 페덱스[FedEx]와 같은 택배 운송 업체의 메일로 위장한 사례가 대표적이다. 인터넷 쇼핑몰 주문 확인, 신용카드 한도 초과 안내 메일로 위장한 사례도 발견됐다. 이런 악성코드 대부분이 해외에서 제작된 가짜 백신을 설치하려는 목적으로 유포됐으며, 사용자가 많은 온라인 서비스로 위장한 점이 특징이다.
 
[8] 웹 애플리케이션 취약점 악용한 악성코드 증가
 
올해 상반기 악성코드에 악용된 취약점 대부분이 웹 애플리케이션과 관련되어 있다. 이로 인해 단기간에 많은 PC가 악성코드에 감염됐다. 특히 2분기에는 보안 패치가 제공되기 전에 발견된 제로 데이[Zero Day] 취약점 모두가 어도비 플래쉬 플레이어에서 발견됐다. 취약점을 악용하는 악성코드는 주로 온라인 게임 사용자의 정보를 탈취하거나 윈도우 시스템 파일을 패치한다. 그러므로 MS뿐 아니라 어도비가 제공하는 보안 패치도 빠짐없이 설치해야 악성코드 감염을 예방할 수 있다.
 
[9] 맥 OS 겨냥한 악성코드 본격화
 
현재 대부분의 악성코드는 윈도우 운영체제에 감염된다. 그러나 아이폰과 아이패드 사용자가 늘어남에 따라 맥[Mac]용 악성코드도 동반해서 증가하는 추세이다. 맥 OS에 가짜 백신을 설치하는 맥디펜더[MacDefender] 종류가 대표적이다. 이 악성코드들은 트위터로 유포됐으며, 시스템 전체를 검사하는 것처럼 위장하고 허위 감염 결과를 보여준다. 사용자는 애플사가 제공하는 보안 패치를 설치하고 악성코드 감염을 주의할 필요가 있다.
 
[10] 온라인 게임 해킹 툴 기법 지능화
 
비정상적인 방법으로 메모리, 게임 파일, 서버 등에 접근하여 데이터 등을 변조함으로써 게임 플레이를 불공정하게 이끄는 온라인 게임 해킹 툴은 보안 솔루션을 회피하기 위해 새로운 방식이 많이 적용되는 추세이다. 메모리 조작은 코드 조작에서 데이터 메모리 조작으로, 오토플레이는 키보드/마우스 관련 함수를 이용하는 방식에서 게임의 특정 기능을 수행하는 함수를 직접 호출해 오토플레이를 구현하는 방식으로 변화했다. 한편, 온라인 게임 해킹 툴은 작년 상반기에 1068개가 발견된 데 비해 올해 상반기에는 총 4050개로 약 300% 늘어났다. 해킹 유형 별로는 메모리 조작이 2575개로 비중이 가장 높고 오토플레이는 1274개로 집계됐다.
 
안철수연구소 시큐리티대응센터 이호웅 센터장은 "악성코드나 해킹이 점차 심각한 범죄로 확대되는 추세이다. SNS, 검색, 온라인 뱅킹, 온라인 게임 등 편리한 인터넷 환경 어디든 보안 위협이 지뢰처럼 묻혀 있다. 따라서 자신의 정보와 재산을 스스로 지킨다는 보안 의식이 중요하다. 또한 기업은 CEO가 앞장서 신뢰할 수 있는 비즈니스 환경을 만드는 것이 필수이다.”라고 강조했다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/07/12 14:20 2011/07/12 14:20
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(3)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/567
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

취약한 한글 파일을 악용한 악성코드 유포 :: 2011/07/11 16:59

/취약점 이슈

몇 년전부터 악성코드 제작자들은 악의적인 목적으로 제작하는 악성코드들을 효과적으로 감염시키기 위해 전자 문서 파일들에 존재하는 알려지거나 또는 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점들을 악용하기 시작하였다.


악용되는 전자 문서들 중 어도비 아크로뱃 리더(Adobe Acrobat Reader)에 사용하는 PDF 파일이나 마이크로소프트 오피스 워드(Microsoft Office Word)와 같은 전자 문서 파일들이 존재하는 취약점들이 주된 대상이 되었다.


이와 같이 전자 문서 파일의 취약점을 악용한 악성코드 유포는 고도의 사회 공학 기법(Social Engineering)과 결합하여 APT(Advanced Persistent Threat) 형태의 보안 위협을 만들어 낼 수도 있다.

이와 같이 심각한 위협에 악용되는 전자 문서 취약점을 악용한 악성코드 유포는 국내에서 제작된 한글 프로그램도 그 예외가 아님으로 많은 주의가 필요하다.

최근에는 국내에서 제작된 한글 프로그램에 존재하는 취약점을 악용한 악성코드가 발견되어 보안 패치의 중요성이 다시 강조된다.

이 번에 발견된 한글 프로그램의 취약점을 악용한 악성코드는 한글 프로그램에서 사용하는 HwpApp.dll 모듈에서 존재하는 취약한 memcpy() API를 이용하여 임의의 코드를 실행 시킬 수 있는 코드 실행 취약점이다.

사용자 삽입 이미지

해당 취약점을 악용한 취약한 한글 파일(HWP)을 실행하게 되면, 아래 이미지와 같이 Svchost.exe 파일을 생성하게 된다.

그리고 생성된 svchost.exe 파일은 다시 시스템 폴더(C:\Windows\system32)에 ieprotect.dll 파일명의 악성코드를 생성 한다. 이와 함께 2.hwp이라는 정상 HWP 파일을 생성시켜 감염된 시스템의 사용자로 하여금 정상적으로 한글 파일이 열린 것으로 오인하도록 동작한다.

사용자 삽입 이미지

취약한 한글 파일은 파일 내부에 아래 이미지와 같은 쉘코드(Shellcode) 및 악성코드를 가지고 있어 실행과 동시에 생성하도록 되어 있다.

사용자 삽입 이미지

현재 한글 프로그램에서 발견된 취약점에 대해 한글과 컴퓨터에서는 "[공지] 한컴오피스, 전체 사용자용 보안 업데이트 배포" 공지를 통해 이미 보안 패치를 배포 중에 있다.

그리고 한글 프로그램 사용자는 한글과 컴퓨터 웹 사이트를 통해 보안 패치를 업데이트 할 수 있으며, 아래 이미지와 같이 [한컴 자동 업데이트]를 실행해서도 보안 패치 설치가 가능하다.

사용자 삽입 이미지

[한컴 자동 업데이트]가 실행되면 아래 이미지와 같이 현재 설치되어 있는 한글 프로그램에 맞는 보안 패치를 자동으로 설치할 수 있다.

사용자 삽입 이미지

그리고 위 이미지의 [환경 설정]을 클릭하여 [업데이트 방법]과 [자동 업데이트 설정]이 가능함으로 최신 보안 패치가 배포될 경우에 자동 업데이트가 진행 된다.

사용자 삽입 이미지

이 번에 발견된 취약한 한글 파일은 V3 제품군에서 다음과 같이 진단한다. 그러나 해당 악성코드 감염을 근본적으로 막기 위해서는 사용하는 한글 프로그램의 보안 패치 설치가 중요하다.

HWP/Exploit
Dropper/Dllbot.17920
Win-Trojan/Dllbot.9728 
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/07/11 16:59 2011/07/11 16:59
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(38) : Comment(2)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/566

  • pig

    Tracked from pig | 2013/05/11 09:36 | DEL

    ASEC Threat Research -

  • 群发

    Tracked from 群发 | 2013/05/18 12:20 | DEL

    ASEC Threat Research -

  • daidai | 2012/10/30 15:37 | PERMALINK | EDIT/DEL | REPLY

    [url=http://www.coachofficialsite.net][b]coach legacy[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach patricia[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach legacy leather[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach duffle bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach metallic[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach leather bags[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach penny[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach op art[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach abigail[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach hamptons bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach print[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach flap[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach signature sateen[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach thompson[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach sling pack[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach rivington[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach abigail[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach sling pack[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach makeup bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach messenger bag outlet[/b][/url]
    [url=http://www.coachofficialsite.net][b]authentic coach handbags[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach pocketbooks[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach signature collection[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach leatherware[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach factory stores[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach ashley satchel[/b][/url]
    [url=http://www.coachofficialsite.net/coach-madison-bags-c-4.html][b]Coach Madison Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-hobo-bags-c-3.html][b]Coach Hobo Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-poppy-bags-c-6.html][b]Coach Poppy Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-diaper-bags-c-2.html][b]Coach Diaper Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-baby-bags-c-1.html][b]Coach Baby Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-handbags-outlet-c-5.html][b]Coach Handbags Outlet [/b][/url]
    [url=http://www.coachofficialsite.net/coach-satchel-bags-c-7.html][b]Coach Satchel Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-kristin-handags-c-12.html][b]Coach Kristin Handags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-totes-handbags-c-10.html][b]Coach Totes Handbags [/b][/url]
    [url=http://www.coachofficialsite.net/coach-wallets-c-11.html][b]Coach Wallets[/b][/url]
    [url=http://www.coachofficialsite.net/coach-backpacks-c-9.html][b]Coach Backpacks[/b][/url]
    [url=http://www.coachofficialsite.net/coach-sunglasses-c-8.html][b]Coach Sunglasses[/b][/url]
    [url=http://www.coachofficialsite.net/coach-new-arrivals-c-13.html][b]Coach New Arrivals[/b][/url]


    [url=http://www.coachofficialsite.net/authentic-coach-2012-new-bags-outlet-e8073-purple-p-977.html][b]coach signature stripe tote[/b][/url]
    [url=http://www.coachofficialsite.net/coach-heritage-stripe-multifunction-baby-business-tote-pouch-p-161.html][b]coach ashley leather satchel[/b][/url]
    [url=http://www.coachofficialsite.net/coach-julia-signature-two-pockets-black-baby-handbag-p-43.html][b]coach baby bag op art tote[/b][/url]
    [url=http://www.coachofficialsite.net/coach-bags-madison-signature-leopard-grain-brown-shoulder-p-289.html][b]coach rivington leather backpack[/b][/url]

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 CVE-2011-0611 취약점 악용 PDF :: 2011/04/26 16:10

/취약점 이슈

4월 12일 ASEC에서는 어도비 플래쉬 플레이어(Adobe Flash Player)에 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점이었던 CVE-2011-0611을 악용한 SWF 파일이 포함된 마이크로소프트 워드(Microsoft Word) 파일이 유포되었음을 전한 바가 있다.


현재 어도비에서는 플래쉬 플레이어에 존재하는 해당 CVE-2011-0611 취약점을 제거하기 위한 보안 패치를 미국 현지 시각 4월 21일부터 배포하기 시작하였다.

워드 파일에 취약한 SWF 파일이 포함되는 방식으로 악용되었던 해당 취약점이 최근 어도비 리더 파일 포맷인 PDF 파일을 통해서도 악용되어 유포된 것이 확인 되었다.

사용자 삽입 이미지

이 번에 발견된 플래쉬 플레이어에 존재하는 CVE-2011-0611 취약점을 악용한 PDF 파일들은 기존에 발견되었던 워드 파일에 포함되었던 것과 동일하게 아래 이미지와 같이 파일 내부에 취약한 SWF 파일을 포함하고 있다.

사용자 삽입 이미지

그리고 해당 PDF 파일들이 실행되면 아래 이미지와 동일하게 아무런 내용 없이 비어 있는 PDF 파일이 열리게 된다.

사용자 삽입 이미지

실제로는 다음의 경로에 파일들이 생성되며 위 이미지와 같은 내용이 없는 PDF 파일은 다음 경로에 생성된 취약점이 존재하지 않는 정상 PDF 파일이다.

C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\AcroRd32.exe(376,832 바이트 또는 430,080 바이트)
C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\실행한 파일명.pdf


생성된 AcroRd32.exe(376,832 바이트 또는 430,080 바이트)는 외부에 위치한 특정 시스템으로 역접속(Reverse Connection)을 수행하며, 실행된 시스템의 하드웨어 및 운영 체제 정보등을 수집하도록 되어 있다.

해당 플래쉬 플레이어 CVE-2011-0611 취약점을 악용한 아크로뱃 리더 파일 포맷으로도 발견된 만큼 향후 이와 동일한 취약점을 악용한 PDF 파일들이 지속적으로 발견될 것으로 예측 됨으로 사전에 해당 취약점을 제거 할 수 있는 보안 패치를 설치하는 것이 중요하다.

현재 플래쉬 플레이어의 CVE-2011-0611 취약점을 악용한 아크로뱃 리더 파일은 V3 제품군에서 다음과 같이 진단한다.

PDF/Cve-2011-0611
SWF/Exploit
Win-Trojan/Ixeshe.376832
Win-Trojan/Ixeshe.430080

크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/26 16:10 2011/04/26 16:10
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(2) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/531

  • GS test demo

    Tracked from GS test demo | 2013/04/02 21:06 | DEL

    ASEC Threat Research - 어도비 플래쉬 플레이어 CVE-2011-0611 취약점 악용 PDF

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

제로데이 공격 사전 차단 기술 특허 획득 :: 2011/04/25 14:15

/보안 업계 동향

- 격리된 가상 공간에서 악성코드 실행..시스템 보호
- 사용자 신고 전에 제로데이 공격 사전 대응
- 망분리 솔루션 ‘트러스존’, V3에 적용 가능

글로벌 통합보안 기업인 안철수연구소[대표 김홍선 www.ahnlab.com, 약칭 ‘안랩’]는 22일 망분리 솔루션 ‘트러스존’, V3에 적용 가능한 가상화 기술이 특허를 획득했다고 발표했다. 특허 기술 명칭은 ‘의심스러운 행위의 수준별 분류 및 격리 실행을 통한 악성 코드 사전 대응 장치, 방법 및 그 방법을 실행하기 위한 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체’이다.
 
이 특허 기술은 사용자가 신고한 샘플을 확보하지 않고도 사전에 제로데이 공격[zero-day attack]을 무력화할 수 있다. 또한 격리된 가상 공간에서 악성코드를 실행하므로 시스템을 안전하게 보호할 수 있다.
 
이를 위해 프로그램이 수행하는 의심스러운 행위를 수준 별로 분류하고, 분류 결과에 따라 격리된 가상 공간에서 실행한다.
 
악성 행위의 수준 분류는 컴퓨터에서 작동하는 프로그램의 행위를 모니터링해 악성인지 정상인지, 악성의 정도는 어느 수준인지 분류하는 것이다. 이에 따라 사용자가 신고한 샘플을 확보하지 않고도 제로데이 공격[zero-day attack]을 무력화할 수 있다.
 
또한 악성 코드에서 주로 사용되지만 정상 코드에서도 가끔 사용되는 행위를 가상 공간에 격리해 실행한다. 가상 공간에서 악성코드를 실행하므로 시스템을 안전하게 보호할 수 있다. 또한, 사용자에게 의심스런 행위의 코드를 실행할 것인지 일일이 묻지 않기 때문에 사용자에게 불편을 주지 않는다.
 
이 특허 기술은 악성코드 대응 기술 중 시그니처[signature] 기반 대응 방법과 기존 사전 방역 방법의 문제점을 극복한 것이다[보충설명 참고].
 
이 기술이 적용될 수 있는 망분리 솔루션 ‘트러스존’은 소프트웨어와 하드웨어가 융합된 것이 장점이다. 사용자는 격리된 인터넷 영역에서도 응용 프로그램을 동일하게 사용할 수 있고 보안에 대한 걱정 없이 인터넷 뱅킹 등을 자유롭게 사용할 수 있다. 또한 4가지의 특허 기술이 탑재돼 있어 단계 별로 해킹 및 침입을 차단하고, V3와 연계해 철저한 보안성을 제공받을 수 있다.
 
<보충설명>
 
[1] 시그니처[signature] 기반 대응 방법
시그니처 기반 대응 방법은 사용자가 신고한 웹사이트를 차단하거나, 다운로드되는 파일을 보안 소프트웨어로 검사함으로써 악성코드를 배포하는 웹사이트를 식별해내는 기술이다. 이 방법은 악성코드 피해자의 사후 신고로 샘플을 수집하거나, 허니 팟[honey pot]으로 악성코드 시그니처를 추출한다. 따라서 일정한 수의 피해자가 발생할 수밖에 없고, 보안 취약점에 대한 패치가 발표되기 전에 이루어지는 제로데이 공격을 방어하기 어렵다.
 
[2] 기존 사전 방역 방법
기존 사전 방역 방법은 프로그램의 행위에 기반해 악성코드 여부를 판단한다. 그런데 탐지된 행위가 의심스러워도 정상 코드도 같은 행위를 하는 경우가 많기 때문에 100% 확실하게 판단하지 못 한다. 따라서 의심스러운 행위를 발견했을 때 그 코드를 계속 실행할 것인지를 알림 창 등을 이용해 사용자에게 묻는다. 알림 창이 빈번하게 생성되면 사용자는 불편함을 느낀다. 또한 경고를 하더라도, 전문가가 아닌 일반 사용자가 실행 여부를 결정하는 것은 사실상 어렵다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/25 14:15 2011/04/25 14:15
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/526
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

플래쉬 플레이어 CVE-2011-06112 취약점 악용 악성코드 증가 :: 2011/04/20 18:06

/악성코드 이슈

ASEC에서는 4월 12일 어도비(Adobe) 플래쉬 플레이어(Flash Player)에 알려지지 않은 제로 데이 (0-Day, Zero Day) 취약점(CVE-2011-0611)이 존재하며 마이크로소프트 워드(Microsoft Word) 파일에 포함된 어도비 플래쉬 제로 데이 취약점을 악용한 타깃 공격이 발생하였다고 전한 바가 있다.


현재 어도비에서는 플래쉬 플레이어에 존재하는 해당 취약점을 제거하기 위한 보안 패치를 4월 18일부터 배포 중에 있다.

해당 취약점을 악용하는 플래쉬 플레이어 파일 형태의 악성코드는 V3 제품군에서 SWF/CVE-2011-0611로 2011.04.12.04 엔진에서부터 진단이 가능하며, 현재 해당 악성코드는 4월 19일부터 한국 내에서도 증가하기 시작하고 있다.

사용자 삽입 이미지

현재 해당 플래쉬 플레이어 취약점을 악용하는 SWF/CVE-2011-0611 감염을 통해 온라인 게임 정보를 탈취하는 악성코드 등을 다른 외부 시스템에서 다운로드 하여 감염시키는 추가적인 감염 피해가 다수 발견되고 있다.

특히 해당 악성코드는 취약한 웹 사이트들을 통해 유포되고 있는 것으로 확인되고 있음으로 플래쉬 플레이어에 대한 보안 패치 설치와 함께 사용하는 운영체제와 웹 브라우져에 대한 보안 패치도 동시에 적용하는 것이 악성코드 감염을 예방 할 수 있다.

어도비에서 배포하는 플래쉬 플레이어에 대한 보안 패치는 아래 웹 사이트를 통해 설치 할 수 있다.


크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/20 18:06 2011/04/20 18:06
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(2) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/525

  • SEO

    Tracked from SEO | 2013/05/01 13:04 | DEL

    ASEC Threat Research -

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 보안 패치 배포 APSB11-07 :: 2011/04/18 11:43

/취약점 이슈

4월 12일 ASEC에서는 어도비(Adobe) 플래쉬 플레이어(Flash Player)에 알려지지 않은 제로 데이 (0-Day, Zero Day) 취약점(CVE-2011-0611)이 존재하며 마이크로소프트 워드(Microsoft Word) 파일에 포함된 어도비 플래쉬 제로 데이 취약점을 악용한 타킷 공격이 발생하였다고 전한 바가 있다.

한국 시각으로 4월 16일 어도비에서는 해당 플래쉬 플레이어에 존재하였던 제로 데이 취약점을 제거하기 위한 보안 패치를 배포 하였다.


어도비 플래쉬 플레이어에 존재하는 해당 제로 데이 취약점을 제거하기 위해서는 아래 어도비 웹 사이트를 통해 업데이트가 가능하다.

사용자 삽입 이미지



크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/18 11:43 2011/04/18 11:43
, , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(0) : Comment(2)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/521
  • 하나뿐인지구 | 2011/04/19 11:04 | PERMALINK | EDIT/DEL | REPLY

    흠...한 달에 1번...도 아니고...
    어도비 플래서...너무 자주 업데이트하는 것 같아요...
    ...
    (뭐...업데이트 안 해주는 것보단 낫겠지만...
    ...
    단일 부가(?) sw 치고는...자주 버전업되네요...취약점이 많은...양파인가요?...)

    • AhnLab ASEC | 2011/04/19 11:24 | PERMALINK | EDIT/DEL

      악성코드에서 악용되는 취약점이 지속적으로 발견되고 있어 보안 패치가 비교적 자주 진행되는 것 같습니다.

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

워드 파일로 유포된 어도비 플래쉬 플레이어 제로 데이 취약점 :: 2011/04/12 15:29

/취약점 이슈

4월 12일 금일 새벽 어도비(Adobe)사에서는 보안 권고문 "APSA11-02 Security Advisory for Adobe Flash Player, Adobe Reader and Acrobat" 을 통해 해당 업체에서 개발한 플래쉬 플레이어(Flash Player)에 심각한 제로 데이(Zero Day, 0-Day) 취약점이 존재하며, 이를 악용한 타깃 공격(Targeted Attack)이 발생하였음을 공개하였다.


어도비사에서는 해당 취약점에 영향을 받는 플래쉬 플레이어로는 다음과 같은 것으로 밝히고 있다.

Adobe Flash Player 10.2.153.1과 그 하위 버전
구글 크롬(Google Chrome) 사용자를 위한 Adobe Flash Player 10.2.154.25 과 그 하위 버전
구글 안드로이드(Google Android) 사용자를 위한 Adobe Flash Player 10.2.156.12과 그 하위 버전

이 번에 알려진 플래쉬 플레이어의 제로 데이 취약점은 현재까지 ASEC에서 분석한 결과로는 플래쉬 플레이어에 사용되는 FlDbg10e.ocx 에 존재하는 버퍼오버플로우(BufferOverflow)를 이용한 코드 실행 취약점으로 분석된다.

사용자 삽입 이미지

어도비사에서는 해당 제로 데이 취약점을 악용한 타깃 공격이 취약한 플래쉬 플레이어 파일인 SWF 파일이 포함된 마이크로소프트(Microsoft) 워드(Word) 파일을 전자 메일에 첨부하여 유포된 것으로 공개하고 있다.

해당 제로 데이 취약점을 악용한 타깃 공격의 최종 목적은 원격 제어가 가능한 트로이목마를 감염시키기 위한 것이었으로 분석되면 해당 취약점과 악성코드로 인한 감염 절차를 도식화 한 이미지가 다음과 같다.

사용자 삽입 이미지

취약한 SWF 파일이 포함된 워드 파일이 실행되면 어도비 플래쉬 플레이어 제로 데이 취약점으로 인해 다음 파일들이 생성된다.

C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\scvhost.exe (73,728 바이트)
C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\AAAA (73,728 바이트)

생성된 AAAA (73,728 바이트) 파일은 정상 워드 파일로서 아래 이미지와 같은 내용을 가지고 있으며 이를 컴퓨터 사용자에게 보여줌으로서 정상적인 워드 파일이 열린 것으로 오인하도록 만들고 있다.

사용자 삽입 이미지

해당 타깃 공격에 사용된 워드 파일에는 아래 이미지와 같이 해당 제로 데이 취약점을 악용하기 위한 취약한 SWF 파일이 포함되어 있다.

사용자 삽입 이미지

취약한 SWF 파일이 포함된 워드 파일은 다음 이미지와 같이 frame1() 함수 안에서 쉘코드(Shellcode)를 생성하여 채운 후에 동적으로 취약한 SWF 파일을 로딩하도록 설계되어 있다.

사용자 삽입 이미지

이로 인해 생성된 scvhost.exe (73,728 바이트) 파일이 실행되면 다음 다음의 파일들을 생성하고 정상 윈도우 시스템 파일인 svchost.exe 파일의 스레드(Thread)로 인젝션(Injection)을 시도한다.

C:\WINDOWS\system32\mspmsnsv.dll (8,704 바이트)
C:\WINDOWS\system32\msimage.dat  (78,065 바이트)

인젝션이 성공하게 되면 최초 감염된 컴퓨터에서 인터넷 연결이 가능한지 확인하기 위해 마이크로소프트의 웹 사이트인 www.microsoft.com으로 접속을 하게 된다.

접속이 성공하게 되면 미국에 위치한 특정 시스템으로 리버스 커넥션(Reverse Connection)을 시도하게 되나 현재 정상 접속이 되지 않고 있다.

그리고 윈도우 시스템 폴더(C:\WINDOWS\system32)에 실행 중인 프로세스 리스트를 기록한 task.dat
 파일과 감염된 컴퓨터에 존재하는 모든 파일들의 리스트를 기록한 fi.txt 를 생성하게 된다.

그 외에 해당 파일들은 명령에 따라 다음의 악의적인 기능들을 수행하게 된다.

프록시(Proxy) 기능 수행
감염된 시스템의 운영체제 및 하드웨어 정보 확인
IP 및 Port 등의 네트워크 정보 확인
윈도우 사용자 계정(User Accout) 생성
감염된 시스템의 사용자 계정의 암호 확인

이 번에 알려진 어도비 플래쉬 플레이어에 존재하는 제로 데이 취약점을 악용한 악성코드들은 V3 제품군에서 다음과 같이 진단한다.

Dropper/Cve-2011-0611
Win-Trojan/Npkon.8704
Win-Trojan/Npkon.73728
Win-Trojan/Agent.78065
SWF/CVE-2011-0611

어도비에서는 현재까지 어도비 아크로뱃 리더(Adobe Acrobat Reader) 파일인 PDF 파일을 악용한 유사 공격 형태는 발견되지 않았으며, 해당 플래쉬 플레이어에 존재하는 취약점을 제거하기 위한 보안 패치를 제작 중에 있는 것으로 공개하고 있다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/12 15:29 2011/04/12 15:29
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(3) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/518
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

APT 보안 위협에 의한 RSA 침해 사고 발생 :: 2011/04/04 17:03

/취약점 이슈

3월 18일 국내외 언론사들을 통해 암호화 기술 개발 및 OTP(One Time Password) 제품 개발 및 판매를 하는 EMC/RSA 보안 사업 본부가 외부 침입으로 인해 2 팩터 인증(2 Factor Authentication) 관련 정보들이 외부로 유출 되었다는 사실이 공개되었다.


이와 함께 RSA에서는 "Open Letter to RSA Customers"를 해당 업체 웹 사이트에 게시를 하고 RSA 내부에서 발생한 침해 사고에 대한 관련 사항들을 전달함과 동시에 해당 기술이 도입된 제품들을 사용하는 고객들에게 주의를 당부하고 있다.

RSA에서 발생한 침해사고는 APT(Advanced Persistent Threat) 형태의 보안 위협으로 알려져 있으며 이러한 형태의 보안 위협으로는 2010년 1월 발생한 구글 해킹으로도 알려진 오퍼레이션 오로라(Operation Aurora), 2010년 7월에 발생한 원자력 발전소를 대상으로한 스턱스넷(Stuxnet) 그리고 가장 최근인 2011년 2월 발생한 글로벌 에너지 업체를 대상으로한 나이트 드래곤 보안 위협 등의 침해 사고가 이러한 형태로 분류 된다.

4월 1일 RSA에서는 해당 웹 사이트에 "Anatomy of an Attack"이라는 글을 게시하고 RSA에서 발생한 침해 사고가 어떠한 형태이며 어떠한 방법으로 제품 관련 정보들이 외부로 유출되었는지 비교적 자세히 밝히고 있다.

해당 글을 통해 RSA에서는 아래와 같은 이미지를 공개하였으며 어떠한 방식과 절차로 내부 정보가 유출되었는지 공개하였다.

사용자 삽입 이미지

RSA에서 설명한 해당 침해 사고를 정리하면 다음과 같은 순서로 진행 되었다.

1) 2일 간격으로 "2011 Recruitment Plan" 제목의 메일을 서로 다른 팀에 소속된 직원들에게 발송. 타깃이 된 직원들의 개인 정보는 소셜 네트워크 서비스(Social Network Service)를 이용해 수집.

2) 해당 메일에는 "2011 Recruitment plan.xls" 라는 첨부 파일이 존재하였으며 해당 파일은 3월 15일 공개되었던 어도비(Adobe) 플래쉬 플레이어(Flash Player)의 제로 데이(Zero Day, 0-Day) 취약점(CVE-2011-0609)을 악용한 SWF 파일 존재

3) 해당 취약점을 악용해 Poison Ivy(원격 제어 형태의 트로이목마) 악성코드 감염

4) 감염된 시스템을 악용하여 내부 네트워크로 접속 후 목표 시스템의 관리자 권한으로 권한 상승

5) 목표 시스템의 데이터들을 다른 시스템으로 복사 후 압축 및 암호화

6) 압축 및 암호화한 데이터들을 다시 RAR로 암호 설정 압축하여 FTP를 이용해 외부에 존재하는 해킹 된 제 3의 시스템으로 전송

이 번에 알려진 RSA의  침해 사고를 정리하면 결국 소셜 네트워크 서비스를 이용해 공격 목표에 대한 사전 정보 수집, 사회 공학 기법(Social Enginnering)을 악용해 공격 목표의 악성 코드 감염 그리고 법용적인 소프트웨어의 알려지지 않은 제로 데이 취약점 이 3가지 요건들이 주요하게 결합된 형태의 APT 보안 위협으로 볼 수 있다.

그러므로 기업의 보안 관리자 또는 보안을 전담하는 조직에서는 기업 임직원들을 대상으로 사회 공학 기법을 악용한 공격 형태에 대한 주기적인 보안 인식 교육을 제공하고, 기업 내부 네트워크 및 주요 시스템에서 발생하는 이상 징후들을 평소 주의깊게 관찰 해야만 된다.

그리고 다양한 형태의 보안 위협으로 인한 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 전에 주의를 하는 것이 중요하다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해 유포되는 악성코드의 감염을 예방하고 사기 사이트 및 피싱 사이트를 차단하는 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/04 17:03 2011/04/04 17:03
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(33) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/512

  • pig

    Tracked from pig | 2013/05/12 00:44 | DEL

    ASEC Threat Research -

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 보안 패치 배포 :: 2011/03/22 14:03

/취약점 이슈

3월 16일 ASEC에서는 어도비(Adobe) 플래쉬 플레이어(Flash Player)에 알려지지 않은 제로 데이 (0-Day, Zero Day) 취약점(CVE-2011-0609)이 존재하며 엑셀 파일에 포함된 어도비 플래쉬 제로 데이 취약점을 악용한 타킷 공격이 발생하였다고 전한 바가 있다.


한국 시각으로 금일 어도비에서는 해당 플래쉬 플레이어에 존재하였던 제로 데이 취약점을 제거하기 위한 보안 패치가 배포 되었다. 그리고 해당 취약점에 영향을 받는 것으로 알려진 아크로뱃 리더(Acrobat Reader) 관련 보안 패치까지 같이 제공 중에 있다.



어도비 플래쉬 플레이어에 존재하는 해당 제로 데이 취약점을 제거하기 위해서는 아래 어도비 웹 사이트를 통해 업데이트가 가능하다.


사용자 삽입 이미지

그리고 어도비 아크로뱃 리더 사용자들은 다음 어도비 웹 사이트를 통해 자신이 사용하는 아크로뱃 리더 버전에 맞는 업데이트를 다운로드 할 수 있다.


크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/03/22 14:03 2011/03/22 14:03
, , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(0) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/506
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret
< PREV |  1  |  2  |  3  |  4  |  5  |  ...  7  |  NEXT >