1.  개 요


2012 런던 올림픽 대회가 개최되며, 전세계의 이목이 올림픽에 집중되고 있다. 전세계 각국을 대표하는 선수들이 참가하여 열전을 벌이고 관심을 높여가고 있는 가운데 역시나 올림픽 관련 스케쥴표로 위장한 악성파일이 발견되어 사용자들의 각별한 주의가 요망되고 있다. 해당 악성파일은 PDF 형식의 파일로 폰트 관련 취약점을 악용하여 악성파일을 유포하고 있으며, 감염 시 정상적인 올림픽 스케쥴표가 출력되어 일반 사용자들의 경우 감염 사실을 인지하기가 매우 어려운 것이 특징이라고 할 수 있다.

  

2. 유포 경로 및 감염 증상

해당 악성파일은 2012 런던 올림픽 경기 일정표로 위장되어 이메일의 첨부파일 혹은 SNS, 메신저 등의 링크 접속을 통해 유포가 이루어질 수 있다. 또한, 폰트 관련 PDF 취약점을 악용하고 있으며, 영향을 받는 버전은 아래와 같다.

※ 영향을 받을 수 있는 버전

- Adobe Reader 9.3.4 이전 버전
- Adobe Acrobat 9.3.4 이전 버전

해당 악성파일의 경우 PDF 내부에 암호화 되어 있는 TTF(TrueTypeFont) 스트림의 특정 테이블을 통해 스택오버플로우를 일으키는 취약점이 악용되었으며, 아래의 그림은 스택오버플로우를 유발할 수 있는 코드의 일부이다.

위와 같은 취약점이 유효할 수 있는 응용 프로그램을 사용하여 해당 악성파일이 실행될 경우 사용자가 감염사실을 의심하지 않도록 하기 위해 아래의 그림과 같이 정상적인 2012 런던 올림픽 스케쥴표가 화면상에 출력될 수 있다.

또한, 내부에 포함하고 있는 추가적인 악성파일을 아래와 같은 경로에 생성하게 된다.

※ 생성 파일

- (사용자 임시 폴더)\~temqp.tmp (53,248 바이트)
- (사용자 임시 폴더)\explorer.exe (53,248 바이트)
- (사용자 임시 폴더)\~vmdmc.exe (484,864 바이트, 정상 cmd.exe 복사본)

※ 레지스트리 값 등록

- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
- 이 름 : "arun"
- 데이터 : "(사용자 임시 폴더)\explorer.exe"

※ (사용자 임시 폴더)란 일반적으로 "C\Documents and Settings\(사용자 계정)\Local Settings\Temp"를 말한다.

위와 같이 추가적으로 생성되는 악성파일들은 아래의 그림과 같이 WORD 문서 파일 아이콘으로 위장되어 있다.

또한, 해당 악성파일은 아래의 일부 코드와 같이 중국내에 소재하는 특정 외부 사이트에 지속적인 접속을 시도하나 현재는 정상적인 접속이 되지 않고 있다.

3. 예방 조치 방법

위와 같이 취약점을 악용하는 악성파일의 경우 사전 예방이 매우 어렵다는 특징을 가진다. 거기에 더해 국/내외 적으로 현재 큰 이슈가 되고 있는 런던 올림픽과 같은 행사와 관련해 사회공학적 기법 또한 악용된다면 일반 사용자의 경우 철저한 보안의식에 대한 함양 없이는 안전한 PC 사용을 유지하기가 어려울 수 있다.

때문에 사용중인 응용프로그램에 대한 철저한 보안 패치와 함께 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 노력을 기울이는 것이 안전한 PC 사용을 위한 최선의 방법이라 할 수 있을 것이다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의.

※ 잉카인터넷 대응팀에서는 위와 같은 악성파일에 대해 아래의 그림과 같이 진단/치료 기능을 제공하고 있으며, 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

◆ 진단명 내역

- Trojan/W32.Agent.53248.CYM
- Trojan-Exploit/W32.Pidief.291556.JVF
- Trojan/W32.Agent.53248.DDR



 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 개요


잉카인터넷 대응팀은 2012년 07월 27일부터 시작되는 제 30회 런던 올림픽과 관련된 다양한 보안 위협이 등장하고 있는 것을 확인하였다. 보통 사이버 범죄자들은 전 세계적으로 유명한 이벤트나 행사들이 있을 경우 관련된 내용처럼 교묘하게 사칭하거나 위장된 내용으로 새로운 악성파일 유포에 적극적으로 활용을 하는 편이다. 특히, 올림픽과 같이 전 세계인의 관심과 이목이 집중되는 큰 대회의 경우에는 개최되기 이전부터 입장권 당첨이나 특별한 이벤트 내용처럼 속여 사용자를 현혹하는 경우가 많으므로, 각별한 주의가 필요하다.



2. 보안 위협 사례

2012년 04월 03일 해외에서는 런던 올림픽 티켓과 관련된 내용처럼 위장된 스팸성 이메일이 발견된 바 있으며, 또한 CVE-2010-3333 MS 오피스 보안 취약점을 이용하는 악성파일도 발견된 상태이다.

아래 화면은 2012 런던 올림픽 티켓과 관련된 내용처럼 위장된 이메일 사례이다.


메일 본문에 포함되어 있는 링크로 연결을 시도하면 현재는 다음과 같은 화면이 있는 사이트로 리다이렉션되고 있다.

 


두번 째로 MS 오피스의 보안 취약점을 이용해서 악성파일을 설치하는 형태이다.

"Early Check-In 2012 London Olympics.doc" 라는 파일명으로 해외에서 발견되었으며, 실행되면 다음과 같은 문서 내용을 보여준다.


문서 취약점이 존재하는 시스템에서 문서 파일이 열리게 되면 사용자 몰래 임시폴더(Temp) 경로에 정상적인 문서파일과 함께 explorer.exe 이름의 악성파일을 생성하고 실행한다.


3. 마무리

앞으로 2012년 런던 올림픽과 관련된 다양한 보안 위협이 지속적으로 등장할 것으로 전망되므로, 유사한 내용의 이메일을 수신할 경우에는 유심히 살펴보고, 첨부된 파일이 존재할 경우에는 악성 파일일 가능성이 높으므로 신뢰할 수 있는 보안업체에 사전에 문의해 보는 것도 좋다.

MS 오피스 취약점을 이용한 악성파일은 nProtect 제품에서 다음과 같이 진단/치료가 가능하다.


악성파일에 감염되어 치료를 진행하는 것은 이미 사용자의 입장에서는 어느정도 감염 피해를 입은 후 조치하는 후속 절차 이다. 이와 같이 원치 않는 피해 발생으로 부터 안전하기 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 노력이 무엇보다 중요하다고 할 수 있다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect