IBM의 데이터 위험 관리자에서 장비 장악 취약점 발견돼

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87768&kind=4&sub_kind=

내용 요약

IBM 데이터 위험 관리자(IBM Data Risk Manager, IDRM)에서 4가지 취약점이 발견됐고 악용할경우 공격자가 인증과정을 거치지 않고 루트에서 원격 코드 실행 공격을 할수 있다. 개념 증명용 익스플로잇이 이미 존재하나 IBM은 아직 패치를 발표하지 않았다.

IDRM은 소프트웨어 플랫폼으로 위협이 될 만한 데이터를 전혀 다른 보안 시스템에서 수집, 통합해 전 조직적인 보안 위험 분석을 실시한다. 취약점이 발견된 버전은 IDRM 리눅스(IDRM Linux) 가상기기 2.0.1~2.0.3 버전이며 인증 우회, 명령 주입, 디폴트 비밀번호, 임의 파일 다운로드와 관련된 취약점이 발견됐다.

코로나19로 관심 늘어난 ‘마스크’ 노린 APT 공격... 코니 그룹 추정

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87744&kind=&sub_kind=

내용 요약

보안 전문 기업 이스트 시큐리티에서 4/22일 마스크 관련 정보 문서로 위장한 악성 문서가 유포 되고 있으며 특정 정부 후원을 받는 것으로 추정되는 APT 그룹 '코니(Konni)'의 소행으로 추정된다고 밝혔다. 해당 문서는 워드형식이며 문서 실행시 PC에 악성코드가 실행되고 주요 정보가 탈취 될수 있다.

해당 악성문서는 한국어 기반의 시스템 환경에서 4월 21일에 생성된 것으로 추정되며 활용된 공격 벡터와 코드 기법 등을 분석한 결과 코니(Konni) 조직으로 확인됐다. 악성 문서는 ‘guidance’라는 파일명을 사용하고 있다. 이 악성 문서를 열어보면 최초에는 문서 내용이 제대로 보이지 않으며, 문서 내용 확인을 위해 상단에 나타난 ‘콘텐츠 사용’ 버튼을 클릭하도록 유도한다. 악성 매크로 코드가 동작하며, 사용자 몰래 자동으로 추가 파일을 실행한다. 이후 공격자의 명령제어(이하 C2)서버에서 추가로 악성 파일을 다운로드해 사용자 정보를 탈취하는 기능을 가진 최종 악성코드를 설치한다. 악성코드가 설치될 경우 공격자가 지정한 FTP로 감염된 PC의 시스템 정보와 실행 중인 응용프로그램, 관련 작업, 프로세스 목록 정보가 업로드 되며, 명령제어(C&C) 서버를 통한 추가 공격 명령도 수행할 수 있게 된다.

오픈SSL에서 고위험군에 속하는 디도스 취약점 발견돼

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87739&page=1&kind=1

내용 요약

오픈SSl(OpenSSL)에서 취약점 패치 업데이트를 발표했다.

CVE-2020-1967 : SSL_check_chain 함수에 있는 ‘세그멘테이션 오류(segmentation fault)

발견됐던 취약점은 익스플로잇할 경우 디도스 공격을 가능하게 해주는 취약점이었다. 취약점이 발견된 오픈SSL 버전은 1.1.1d, 1.1.1e, 1.1.1f인 것으로 알려져 있다. 패치가 적용되어 문제가 모두 해결된 버전은 1.1.1g라고 한다. 더 이상 업데이트가 되지 않는 버전인 1.0.2와 1.1.0의 경우, 다행히 위 오류가 발견되지 않고 있다.

 * 오픈SSL 프로젝트가 발표한 권고문 요약(https://www.openssl.org/news/secadv/20200421.txt)

TLS 1.3 핸드셰이크가 발생하는 와중이나 이후에 SSL_check_chain() 함수를 호출하는 서버나 클라이언트 애플리케이션들은 NULL 포인터 역참조로 인해 작동이 중단될 수 있다. signature_algoriths_cert라는 TLS 엑스텐션을 잘못 처리하기 때문에 발생한다. 또한부적절하거나 인식 불가능한 시그니처 알고리즘이 피어 네트워크로부터 전송될 경우 작동 중단 현상이 발동한다. 피어 네트워크에 연결된 악성 행위자가 이 부분을 악용함으로써 사실상의 디도스 공격을 유발하는 게 가능하다.

MS RDP 침해 방법 개발됐으나, MS 측은 “패치 없다”

수집 날짜

2020-04-23

원문 링크

https://www.boannews.com/media/view.asp?idx=87748&kind=4&sub_kind=

내용 요약

마이크로소프트의 터미널 서비스 클라이언트(MSTSC)가 활용하여 방어 장치를 피한후 원격 데스크톱 프로토콜(RDP)를 통해 악성코드를 실행시키는 공격 기법이 발견됐다. 아직까지 해당 기법이 악용된 사례는 없다. DLL 사이드로딩 통해 마이크로소프트의 RDP 침해하는 것 가능하다는 게 증명됐다.  DLL 사이드로딩이란 프로그램이 필요한 DLL을 부적절하거나 어정쩡하게 지정할 때 성립 가능한 공격법이라고 한다. 문제는 mstsc.exe라는 프로세스와 mstscax.dll이라는 자원이 무한 신뢰를 받기 때문에 DLL 사이드 로딩 후 악성코드를 실행시킬수 있다. MS측에서는 “공격 성공시키려면 관리자 권한 필요하다”면서 패치하지 않겠다 발표했다.따라서 이 공격에 대하여 조직을 방비하고 싶다면 mstsc.exe의 실행이 허용되지 않도록 만들고, 악성 행위가 mstsc.exe 프로세스와 관련하여 벌어지는지 모니터링 해야 한다. 또한 mstscax.dll이 제대로 된 것인지 수동으로 검사하는 것을 병행하면 보다 확실하게 안전을 보장할 수 있다.

Apple Patches Two iOS Zero-Days Abused for Years

수집 날짜

2020-04-23

원문 링크

https://threatpost.com/apple-patches-two-ios-zero-days-abused-for-years/155042/

내용 요약

iOS 기기에서 애플의 주식 메일 앱에 영향을 미치는 제로 데이 보안 취약점 두 가지가 발견됐다. 아이폰과 아이패드의 메일 앱에 영향을 받는 버전은 iOS 6과 iOS 13.4.1이다. 애플은 지난주 출시한 iOS 13.4.5 베타에서 두 가지 취약점을 모두 패치했다. iOS 13.4.5의 최종 출시가 곧 있을 것으로 예상된다.

첫번째 취약점은 OB(Out-of-Bounds) 쓰기 취약성이다. [the] MIME 라이브러리에서 MFMutableData 구현 시 시스템 호출 ftruncate()에 대한 오류 확인 부족이 발생하여 Out-Of-Bounds 쓰기가 발생한다고 한다.

두번째 취약점은 힙 오버플로도 원격으로 트리거이다. OOB 쓰기 버그와 힙 오버플로 버그 모두 시스템 호출의 반환 값을 올바르게 처리하지 못하는 동일한 문제로 인해 발생하며 다운로드된 전자 메일을 처리하는 동안 원격 버그가 트리거 될 수 있다. 두 취약점 모두 악용될 경우 공격자가 iPhone이나 iPad로 피해자들의 기본 iOS Mail 애플리케이션으로 이메일을 보내면 원격으로 데이터에 액세스하여 메일 응용프로그램 내에서 이메일을 유출, 수정 또는 삭제할 수 있다.

FPGA 칩에서 발견된 스타블리드 취약점, 의견이 분분

수집 날짜

2020-04-22

원문 링크

https://www.boannews.com/media/view.asp?idx=87714

내용 요약

현장 프로그래머블 게이트 어레이(Field Programmable Gate Array, FPGA) 칩에서 심각할 수 있는 취약점이 발견됐다. 해당 취약점을 통해 많은 장비들이 공격에 노출될 수 있다고 한다. FPGA 칩은 현장 프로그래밍이 가능한 보안 칩셋으로 발견된 취약점을 악용할 경우 원격 접근을 통한 공격이 가능하며, 발견한 보안 연구원들은 공격난이도와 비용이 낮은편이라 위험하다고 주장하였다. 하지만 FPGA 장비 만드는 회사는 원격 접근은 사실상 불가능하며 공격난이도가 높다고 반박하고 있는 상황이라 의견이 분분하다.

[해킹 경보] '닌텐도 동물의 숲 에디션' 판매 피싱사이트 주의

수집 날짜

2020-04-22

원문 링크

http://m.newspim.com/news/view/20200421000209

내용 요약

최근 인기를 끌고 있는 '닌텐도 동물의 숲 에디션' 중고제품 판매를 위장한 피싱사이트를 통해 개인정보 거래대금 탈취 시도가 발생했다. 21일 안랩에 따르면, 공격자는 중고거래를 위장하는 내용의 게시물로 피해자를 현혹하여 안전거래를 주장하며 피싱사이트인 특정 URL을 구매자에게 발송했다. 해당 URL을 클릭하면 실제 안전거래를 적용한 사이트와 구분하기 어려울 정도로 유사하게 제작되어 있어 피싱사이트임을 알아채기 어렵다. 피해자가 개인정보를 입력하면 공격자에게 전송이되고 공격자에 목적에 따라 악용될 수 있기 때문에 주의가 필요하다.

중국의 해킹 단체 윈티, 한국의 게임사 그래비티 공격

수집 날짜

2020-04-22

원문 링크

https://www.boannews.com/media/view.asp?idx=87738&kind=4&sub_kind=

내용 요약

첩보 전문 업체인 쿼인텔리전스(QuoIntelligence)가 중국 APT 공격 단체인 윈티그룹이 한국 비디오 게임회사인 그래비티(Gravity)를 공격했다고 보고서를 발표했다.. 윈터그룹은 지난 반 년 동안 포트리유즈(PortReuse), 마이크로소프트의 SQL을 표적으로 삼는 스킵 2.0,  셰도우패드(ShadowPad)의 새 변종과 같은 백도어를 활용해 다양한 대상들을 공격헀다. 쿼인텔리전스 측에서 윈티의 기존 드로퍼와 흡사한 멀웨어 샘플이 한 온라인 멀웨어 스캔 서비스에 업로드 되었고 샘플을 분석해 공격의 표적이 한국이라는 것을 발견했다.

Banking.BR Android Trojan Emerges in Credential-Stealing Attacks

수집 날짜

2020-04-22

원문 링크

https://threatpost.com/android-banking-br-trojan-credential-stealing/154990/

내용 요약

"Banker.BR"라는 새로운 안드로이트 트로이 목마가 발견됐다. 악성 프로그램은 사용자를 공격자가 제어하는 악의적인 도메인으로 이끄는 메시지를 통해 전파된다. 도메인은 피해자들에게 모바일 뱅킹에 필요한 것으로 알려진 "보안 앱"의 최신 버전을 다운로드하도록 지시한다. 피해자가 업데이트 버튼을 클릭하면 자신도 모르게 합법적인 파일 공유 플랫폼에서 악성 프로그램 다운로드를 시작한다.해당 멀웨어는 "elaborate"라는 오버레이 공격 기능을 이용하여 피해자들의 크리덴셜을 탈취하고 계좌 인수를 목표로 하고 있다. 보안 연구원들은 해당 멀웨어는 스페인어, 포루투칼어를 사용하는 국가들을 대상으로 하고 있으며 지속적으로 개발되고 있어 향후 확상된 오버레이 기능과 코드향상에 대해 경고 하고 있다.

DoppelPaymer Ransomware hits Los Angeles County city, leaks files

수집 날짜

2020-04-22

원문 링크

https://www.bleepingcomputer.com/news/security/doppelpaymer-ransomware-hits-los-angeles-county-city-leaks-files/

내용 요약

LA County City가 도펠페이머 랜섬웨어(DoppelPaymer Ransomware)에 공격받은 것으로 알려 졌다. 공격자들은 비트코인 100달러(68만9147달러)를 지불하면 유출된 파일 삭제, 도난 파일 추가 공개 금지를 해준다며 요구하고 있다. 도플페이머 운영자들은 Bleipping Computer에 보낸 이메일에서 3월 1일 공격에서 시티의 지역 백업을 지운 다음 약 150대의 서버와 500대의 워크스테이션을 암호화했다고 밝혔다. 현재 200GB 파일을 도난당한 것으로 추정된다. 도펠페이머는 2020년 2월 몸값을 거부하는 피해자들의 도난 데이터를 공개하는 데 이용했던 '도플 누출' 사이트를 만들었다. 도펠페이머는 이 사이트에 대한 새로운 업데이트를 통해 랜섬웨어 공격 중 시에서 도난당한 것으로 알려진 수많은 파일 보관 파일이 포함된 "City of Torrance, CA" 페이지를 만들었다. 이 자료에는 기록관 명칭에 근거하여 시 예산 재정, 각종 회계 문서, 문서 스캔, 시 관리자에 속하는 문서 보관 등이 포함되어 있다. 그들이 훔쳤다고 주장하는 모든 파일들을 나열한 Bleipping Computer와 공유된 텍스트 파일에는 8,067개의 디렉토리 전체에서 269,123개의 파일이 나온다. 지난 3월 현지 언론은 토런스 시에 대한 사이버 공격 소식을 [1, 2] 보도했다. 당시 시는 "공공 개인 데이터"가 영향을 받지 않았다고 밝혔다.