IBM의 데이터 위험 관리자에서 장비 장악 취약점 발견돼

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87768&kind=4&sub_kind=

내용 요약

IBM 데이터 위험 관리자(IBM Data Risk Manager, IDRM)에서 4가지 취약점이 발견됐고 악용할경우 공격자가 인증과정을 거치지 않고 루트에서 원격 코드 실행 공격을 할수 있다. 개념 증명용 익스플로잇이 이미 존재하나 IBM은 아직 패치를 발표하지 않았다.

IDRM은 소프트웨어 플랫폼으로 위협이 될 만한 데이터를 전혀 다른 보안 시스템에서 수집, 통합해 전 조직적인 보안 위험 분석을 실시한다. 취약점이 발견된 버전은 IDRM 리눅스(IDRM Linux) 가상기기 2.0.1~2.0.3 버전이며 인증 우회, 명령 주입, 디폴트 비밀번호, 임의 파일 다운로드와 관련된 취약점이 발견됐다.

코로나19로 관심 늘어난 ‘마스크’ 노린 APT 공격... 코니 그룹 추정

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87744&kind=&sub_kind=

내용 요약

보안 전문 기업 이스트 시큐리티에서 4/22일 마스크 관련 정보 문서로 위장한 악성 문서가 유포 되고 있으며 특정 정부 후원을 받는 것으로 추정되는 APT 그룹 '코니(Konni)'의 소행으로 추정된다고 밝혔다. 해당 문서는 워드형식이며 문서 실행시 PC에 악성코드가 실행되고 주요 정보가 탈취 될수 있다.

해당 악성문서는 한국어 기반의 시스템 환경에서 4월 21일에 생성된 것으로 추정되며 활용된 공격 벡터와 코드 기법 등을 분석한 결과 코니(Konni) 조직으로 확인됐다. 악성 문서는 ‘guidance’라는 파일명을 사용하고 있다. 이 악성 문서를 열어보면 최초에는 문서 내용이 제대로 보이지 않으며, 문서 내용 확인을 위해 상단에 나타난 ‘콘텐츠 사용’ 버튼을 클릭하도록 유도한다. 악성 매크로 코드가 동작하며, 사용자 몰래 자동으로 추가 파일을 실행한다. 이후 공격자의 명령제어(이하 C2)서버에서 추가로 악성 파일을 다운로드해 사용자 정보를 탈취하는 기능을 가진 최종 악성코드를 설치한다. 악성코드가 설치될 경우 공격자가 지정한 FTP로 감염된 PC의 시스템 정보와 실행 중인 응용프로그램, 관련 작업, 프로세스 목록 정보가 업로드 되며, 명령제어(C&C) 서버를 통한 추가 공격 명령도 수행할 수 있게 된다.

오픈SSL에서 고위험군에 속하는 디도스 취약점 발견돼

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87739&page=1&kind=1

내용 요약

오픈SSl(OpenSSL)에서 취약점 패치 업데이트를 발표했다.

CVE-2020-1967 : SSL_check_chain 함수에 있는 ‘세그멘테이션 오류(segmentation fault)

발견됐던 취약점은 익스플로잇할 경우 디도스 공격을 가능하게 해주는 취약점이었다. 취약점이 발견된 오픈SSL 버전은 1.1.1d, 1.1.1e, 1.1.1f인 것으로 알려져 있다. 패치가 적용되어 문제가 모두 해결된 버전은 1.1.1g라고 한다. 더 이상 업데이트가 되지 않는 버전인 1.0.2와 1.1.0의 경우, 다행히 위 오류가 발견되지 않고 있다.

 * 오픈SSL 프로젝트가 발표한 권고문 요약(https://www.openssl.org/news/secadv/20200421.txt)

TLS 1.3 핸드셰이크가 발생하는 와중이나 이후에 SSL_check_chain() 함수를 호출하는 서버나 클라이언트 애플리케이션들은 NULL 포인터 역참조로 인해 작동이 중단될 수 있다. signature_algoriths_cert라는 TLS 엑스텐션을 잘못 처리하기 때문에 발생한다. 또한부적절하거나 인식 불가능한 시그니처 알고리즘이 피어 네트워크로부터 전송될 경우 작동 중단 현상이 발동한다. 피어 네트워크에 연결된 악성 행위자가 이 부분을 악용함으로써 사실상의 디도스 공격을 유발하는 게 가능하다.

MS RDP 침해 방법 개발됐으나, MS 측은 “패치 없다”

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87748&kind=4&sub_kind=

내용 요약

마이크로소프트의 터미널 서비스 클라이언트(MSTSC)가 활용하여 방어 장치를 피한후 원격 데스크톱 프로토콜(RDP)를 통해 악성코드를 실행시키는 공격 기법이 발견됐다. 아직까지 해당 기법이 악용된 사례는 없다. DLL 사이드로딩 통해 마이크로소프트의 RDP 침해하는 것 가능하다는 게 증명됐다.  DLL 사이드로딩이란 프로그램이 필요한 DLL을 부적절하거나 어정쩡하게 지정할 때 성립 가능한 공격법이라고 한다. 문제는 mstsc.exe라는 프로세스와 mstscax.dll이라는 자원이 무한 신뢰를 받기 때문에 DLL 사이드 로딩 후 악성코드를 실행시킬수 있다. MS측에서는 “공격 성공시키려면 관리자 권한 필요하다”면서 패치하지 않겠다 발표했다.따라서 이 공격에 대하여 조직을 방비하고 싶다면 mstsc.exe의 실행이 허용되지 않도록 만들고, 악성 행위가 mstsc.exe 프로세스와 관련하여 벌어지는지 모니터링 해야 한다. 또한 mstscax.dll이 제대로 된 것인지 수동으로 검사하는 것을 병행하면 보다 확실하게 안전을 보장할 수 있다.

Apple Patches Two iOS Zero-Days Abused for Years

수집 날짜

2020-04-23

원문 링크

https://threatpost.com/apple-patches-two-ios-zero-days-abused-for-years/155042/

내용 요약

iOS 기기에서 애플의 주식 메일 앱에 영향을 미치는 제로 데이 보안 취약점 두 가지가 발견됐다. 아이폰과 아이패드의 메일 앱에 영향을 받는 버전은 iOS 6과 iOS 13.4.1이다. 애플은 지난주 출시한 iOS 13.4.5 베타에서 두 가지 취약점을 모두 패치했다. iOS 13.4.5의 최종 출시가 곧 있을 것으로 예상된다.

첫번째 취약점은 OB(Out-of-Bounds) 쓰기 취약성이다. [the] MIME 라이브러리에서 MFMutableData 구현 시 시스템 호출 ftruncate()에 대한 오류 확인 부족이 발생하여 Out-Of-Bounds 쓰기가 발생한다고 한다.

두번째 취약점은 힙 오버플로도 원격으로 트리거이다. OOB 쓰기 버그와 힙 오버플로 버그 모두 시스템 호출의 반환 값을 올바르게 처리하지 못하는 동일한 문제로 인해 발생하며 다운로드된 전자 메일을 처리하는 동안 원격 버그가 트리거 될 수 있다. 두 취약점 모두 악용될 경우 공격자가 iPhone이나 iPad로 피해자들의 기본 iOS Mail 애플리케이션으로 이메일을 보내면 원격으로 데이터에 액세스하여 메일 응용프로그램 내에서 이메일을 유출, 수정 또는 삭제할 수 있다.

여러 제조사들에서 만든 라우터의 제로데이, 봇넷들이 노린다

수집 날짜

2020-04-21

원문 링크

https://www.boannews.com/media/view.asp?idx=87664&kind=4&sub_kind=

내용 요약

넷링크에서 만든 파이버 라우터들에게서 발견된 제로데이가 봇넷들에 표적이 되고 있다. 영향을 받고 있는 건 넷링크 기가빗 패시브 옵티컬 네트웍스(Netlink Gigabit Passive Optical Networks) 라우터 제품군이라고 한다. 이 제품군에서 원격 코드 실행을 야기시키는 제로데이 취약점이 발견됐고, 개념증명용 코드가 한 달 전부터 공개되어 온 상태다. 현재 해당 제로데이를 노리는 봇넷 활동이 증가하고 있다.

FBI "정부 지원 해킹조직, 코로나19 백신 연구소 겨냥해 해킹 시도"

수집 날짜

2020-04-21

원문 링크

https://www.etnews.com/20200417000169

내용 요약

코로나19 백신 연구소가 해킹 최대 표적으로 부상했다. 미국 FBI는 16일(현지시간) 미국 아스펜연구소가 주최한 '팬데믹 기간 사이버범죄 대응 방안' 영상회의에 참석해 미국 의료기관과 바이러스 연구소에 침투하려는 정부 지원 해킹 세력을 포착했다고 밝혔다. 미국이 북한 해킹조직 '히든코브라'에 대해 깊이 우려한다는 내용이 포함됐다. 북한은 미국 기반시설을 파괴할 사이버 역량을 보유했으며 금융기관을 갈취하고 국제사회 합의와 완전히 배치되는 악성 사이버 활동을 펼친다고 덧붙였다.

피해자가 입력하지 않아도 되는 비밀번호가 엑셀 파일에 걸렸다?

수집 날짜

2020-04-21

원문 링크

https://www.boannews.com/media/view.asp?idx=87675&kind=4&sub_kind=

내용 요약

보안 업체 트러스트웨이브(Trustwave)에 의하면 최근 엑셀 4.0파일이 포함된 새로운 피싱 캠페인이 발견됐다고 한다.  과거에도 엑셀 4.0 문서에 비밀번호를 걸고 메일 본문에 비밀번호를 적고 사용자를 유도하는 방식에 공격이 있었다. 최근에 발견된 공격은 똑같이 비밀번호가 걸려 있으나 사용자가 직접 비밀번호를 타이핑하지 않아도 문서를 열기만 하면 디폴트 비밀번호인 VelvetSweatshop을 대입해 파일 열기를 시도 한다. 파일이 열리면 악성 매크로를 통해 바이너리가 추가로 다운로드 된다. 이러한 방식으로 현재 라임랫(LimeRAT), 고지(Gozi)라는 트로이목마가 유포중인 것으로 발견되었다.

중국 APT 그룹, 안드로이드 구동 리눅스 서버 10년 간 침투했다

수집 날짜

2020-04-21

원문 링크

https://www.boannews.com/media/view.asp?idx=87668&kind=&sub_kind=

내용 요약

블랙베리가 ‘Decade of the RATs’ 보고서에 중국 APT 5개의 그룹이 안드로이드로 구동되는 리눅스 서버, 윈도우 시스템 및 모바일 디바이스를 10년동안 공격한 사실을 발표했다. 또한 1,000건 이상이 관련된 지적 재산(intellectual property)을 노린 경제 스파이 활동에 대한 인사이트를 발표했다. 대부분의 보안업체가 서버 랙 대신 프론트 용 제품 마케팅에 집중하기 때문에 보안 격차가 생겼고 APT 그룹은 이런 점을 수년간 악용해 왔다.

Foxit PDF Reader, PhantomPDF Open to Remote Code Execution

수집 날짜

2020-04-21

원문 링크

https://threatpost.com/foxit-pdf-reader-phantompdf-remote-code-execution/154942/

내용 요약

Foxit PDF Reader와 PhantomPDF에서 원격코드를 실행할수 있는 취약점이 발견됐다. Foxit Reader는 PDF 파일을 만들고 서명하고 보호하는 도구를 제공하는 무료 버전을 위한 사용자 베이스가 5억 명이 넘는 인기 PDF 소프트웨어다. Foxit Software는 Windows용 Foxit Reader와 Foxit PhantomPDF(버전 9.7.1.29511 이하)에서 20개의 CVE에 연결된 결함을 패치했다. 해당 취약점은 사용자 제공 데이터의 검증 미처리로 인한 원격 코드실행 취약점이며 모든 심각도가 높은 취약점에 대해  공격자는 악성 사이트를 방문하거나 악성파일을 열어야 해당 취약점을 악용할수 있다. 사용자들은 의심스러운 페이지 및 파일을 열지 말아야하며 보안을 위하여 Foxit Reader 및 Phantom용 3D Plugin Beta 9.7.29539버전으로 업데이트를 해야한다.

샌프란시스코 국제공항의 웹사이트 두 개서 악성 코드 발견돼

수집 날짜

2020-04-16

원문 링크

https://www.boannews.com/media/view.asp?idx=87588&kind=4&sub_kind=

내용 요약

지난 3월 샌프란시스코 국제공항 측에서 웹사이트 (SFOConnect.command와 SFOConstruction.com) 2곳이 해킹된 후 악성코드 삽입되어 있었다고 밝혔다. 해당 악성코드들은 윈도우 크리덴셜 탈취가 목적이었다며 사이트를 임시 폐쇄 후 악성코드 삭제를 완료 했다. 해당 사이트를 방문했다면 윈도우 비밀번호를 재설정하는 것이 안전하다.

VM웨어, 콘텐츠 완전 노출시킬 수 있는 치명적 취약점 패치

수집 날짜

2020-04-16

원문 링크

https://www.boannews.com/media/view.asp?idx=87560&kind=4&sub_kind=

내용 요약

VM웨어 디렉토리 서비스(Directory Service, vmdir)에서 익스플로잇 할 경우 가상 인프라에 저장된 모든 컨텐츠가 노출되는 취약점이 발견됐다. vmdir은 수백개의 워크로드를 관리할 수 있는 단일 관리자 프로그램으로 SSO의 핵심 구성요소라고 볼수 있으며 인증서 관리까지 담당하고 있다. 현재 6.7버전을 처음 설치한 경우에서는 해당 취약점이 없으나 기존 6.0이나 6.5에서 업그레이드한 경우 해당 취약점이 발견되고 있다.

게임 장비 전문 제조사 스커프 게이밍, 110만 고객 정보 털리다

수집 날짜

2020-04-16

원문 링크

https://www.boannews.com/media/view.asp?idx=87601

내용 요약

비디오 게임 장비 제조사인 스커프 게이밍에서 110만 명의 개인정보가 유출되는 사고가 발생했다. 사용자 정보가 저장된 DB 노출로 인한 사고 였으며 4월 3일에 수정하였으나 수정 전 48시간동안 공개되고 있었다. 해당 DB를 해커가 복사하여 데이터를 돌려 받기를 원하면 비트코인을 달라는 협박 편지를 남겼다. 스커프 게이밍 측에서는 해당 DB에 민감데이터가 없었고 악용했다는 증거를 찾을 수 없었다며 발표했으나 실제 신용카드 카드번호, 배송지 주소등 민감정보가 있었던 것으로 밝혀졌다.

Exploit for Zoom Windows zero-day being sold for $500,000

수집 날짜

2020-04-16

원문 링크

https://www.bleepingcomputer.com/news/security/exploit-for-zoom-windows-zero-day-being-sold-for-500-000/

내용 요약

현재 Zoom Windows 클라이언트에 영향을 미치는 제로데이 취약점이 50만 달러에 판매되고 있다. 해당 취약점을 악용할 경우 원격코드 실행이 가능하며 macOS 클라이언트에서 버그를 악용하도록 설계 된 것도 함께 판매되고 있다. 해당 취약점은 아직 패치되지 않았다.

Malicious Google Web Extensions Harvest Cryptowallet Secrets

수집 날짜

2020-04-16

원문 링크

https://threatpost.com/malicious-google-web-extensions-cryptowallet/154832/

내용 요약

MyCrypto의 연구원들은 최근 구글의 웹 스토어 내에서 제공하는 몇 개의 가짜 확장물은 발겼했다. 해당 확장물들은 암호화폐 지갑을 인수하고 계좌에서 인출할 수 있는 정보를 수집한다고 한다. 가짜 앱들은 피해자들은 유인하기 위해 Exodus, Jaxx, KeepKey, Ledger, MetaMask등 합법적인 브랜드를 사칭하고 구글 ADs를 통해 홍보되고 있었다. 또한 정상적인 암호화폐 지갑을 가장하고 있으며 별점 5짜리 가짜 리뷰작성하여 현혹하고 있었다. 올해 초, 파이어폭스와 구글은 수백 개의 의심스러운 확장을 스토어에서 삭제시켰다.