1. 인터넷 익스플로러 Zero-Day 취약점 주의

마이크로 소프트(Microsoft)사에서 개발한 웹 브라우저 인터넷 익스플로러(Internet Explorer)의 몇몇 버전에서 2013년 01월 04일 현재 보안취약점이 해결되지 않은 Zero-Day 취약점(CVE-2012-4792)을 이용한 공격이 증가하고 있다. 해당 취약점은 미국 외교협회(Council on Foreign Relations/CFR) 웹 사이트가 해킹되었다는 소식을 통해서 처음 알려졌다. 이번 취약점은 아직 마이크로 소프트사를 통해서 공식적인 보안업데이트가 제공되고 있지 않기 때문에 해킹된 웹 사이트에 접근하는 것만으로도 악성파일에 감염될 수 있는 상황이므로, 인터넷 익스플로러 이용자들의 각별한 주의가 필요하다. 해당 Zero-Day 보안취약점은 인터넷 익스플로러의 6, 7, 8 등 총 3가지 버전을 사용하는 이용자에게 영향을 미치게 된다. 마이크로 소프트사에서는 다음 주중 보안업데이트를 제공할 예정이며, 현재 임시 보안패치 프로그램인 Fix-it 을 제공 중에 있다. 


해당 웹 브라우저 이용자들은 임시적이라도 Fix-it 프로그램을 설치하여 혹시 모를 보안위협에 대비하는 노력이 필요하다.



2. 보안 위협 관련 정보

마이크로 소프트사에는 이번 Zero-Day 공격의 심각성이 높다는 판단하에 신속히 보안 권고문을 등록하고, 임시 보안패치 프로그램(Fix-it)을 우선 제공하고 있다.

Vulnerability in Internet Explorer Could Allow Remote Code Execution
http://technet.microsoft.com/en-us/security/advisory/2794220
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-4792
http://blogs.technet.com/b/srd/archive/2012/12/29/new-vulnerability-affecting-internet-explorer-8-users.aspx

악성파일은 "Helps.html" 이름의 스크립트를 이용해서 작동된다.

"Helps.html" 파일은 해당 스크립트가 특정 브라우저 버전과 중국어, 영어, 대만어, 일본어, 러시아어, 한국어 등의 웹 브라우저에서 작동하도록 언어를 설정하고, "today.swf" 라는 플래시 파일과 "news.html" 이라는 또 다른 스크립트 파일이 실행되도록 호출한다. "news.html" 파일은 다시 "robots.txt" 라는 파일을 오픈한다.


"Helps.html"  악성파일은 "xsainfo.jpg" 라는 XOR 기능으로 암호화된 악성파일을 다운로드하고 임시폴더(Temp)에 "flowertep.jpg" 라는 이름으로 생성한다. 그런 다음 다시 파일명을 "shiape.exe" 파일로 변환하고 실행한 후 스스로 삭제한다.


"today.swf" 파일 내부에는 아래 화면과 같이 Heap Spray 기법을 이용해서 Shellcode 를 삽입한다.


Shellcode 작동으로 인해서 "xsainfo.jpg" 이름의 악성파일이 다운로드 시도된다. 이 파일은 내부에 XOR 연산으로 HEX 코드가 암호화(Encode)되어 있고, 사용자의 컴퓨터에 설치될 때는 "flowertep.jpg" 이름의 파일로 복호화되어 생성된다. 이때 0x83(0x00 무시) 이라는 키를 통해서 복호화된다.


복호화된 "flowertep.jpg" 파일은 다시 임시폴더(Temp)에 "shiape.exe" 이름의 악성파일로 생성되고 실행된 후 스스로 삭제된다. 악성파일은 특정 호스트로 접속을 시도하며 공격자의 추가명령을 대기하며, 다양한 해킹시도를 할 수 있다.

악성파일의 등록 정보에는 중국어 설명이 포함되어 있어서 제작국가가 중국으로 의심된다는 논란이 있기도 하다.


3. IE Zero-Day 취약점 임시 보안 조치

마이크로 소프트사에는 2013년 01월 04일 현재 공식 보안업데이트를 제공하고 있지 않기 때문에 취약점에 노출될 가능성이 높다. 마이크로 소프트사에서는 정식 보안패치 이전에 임시로 제공 중인 Fix-it 프로그램을 제공하고 있다.

Microsoft Security Advisory: Vulnerability in Internet Explorer could allow remote code execution
http://support.microsoft.com/kb/2794220


Microsoft Fix it 50971 적용 : http://go.microsoft.com/?linkid=9823138
Microsoft Fix it 50972 해제 : http://go.microsoft.com/?linkid=9823140

인터넷 익스플로러 6, 7, 8 이용자분들은 반드시 마이크로 소프트사 Fix it 50971 을 적용하여, Zero-Day 취약점 공격에 노출되지 않도록 주의를 하시기 바랍니다. 인터넷 익스플로러 9, 10 사용자들은 해당 취약점으로 부터 영향을 받지 않으므로, 설치하실 필요는 없습니다.

정식 보안업데이트는 곧 발표될 예정이므로, 윈도우 업데이트를 통해서 패치를 적용하기 전에 "Microsoft Fix it 50971 해제" 프로그램을 실행하여 임시 보안 패치를 제거하시기 바랍니다.

Microsoft Security Bulletin Advance Notification for January 2013
http://technet.microsoft.com/en-us/security/bulletin/ms13-jan

nProtect AVS 3.0 제품에서는 현재 유포 중인 악성파일들은 모두 긴급 업데이트하여 진단/치료하고 있다.

악성파일들은 다양한 취약점과 기법을 이용해서 유포되므로 인터넷 이용자들은 아래과 같이 기본적인 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의를 기울이는 것이 무엇보다 중요하다고 할 수 있겠다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
Posted by nProtect

1. 당신의 예금을 노리는 악성파일 활개


잉카인터넷 대응팀은 국내 인터넷 뱅킹 이용자들의 심리를 교묘히 파고들고 있는 악성파일류(KRBanker)의 보안위협이 나날이 증가하고 있다는 사실을 여러차례 강조한 바 있다. 현재 전자금융 보안위협은 아무리 강조해도 지나치지 않을 정도로 위험수위가 매우 높아지고 있는 상황이고, 사용자 예금의 불법인출 피해와도 직결되는 문제이다. 수 년간 많은 피해자가 발생하는 전화금융 사기(보이스피싱:Voice Phishing)와 다량으로 유출된 국민들의 개인정보를 악용하고 불특정 다수에게 금융정보 피싱용 도메인을 무단으로 배포하는 문자금융 사기(SMS Phishing)는 사회적인 문제 중에 하나이다. 이렇게 변모된 전자금융 보안위협은 본격적인 진화에 진화를 거듭하여 악성파일과 결합한지 수 개월이 지났고, 호스트파일(hosts)을 이용했던 초기와 달리 지금의 악성파일은 실시간으로 피싱 도메인을 자동 업데이트할 수 있도록 지능화되고 있는 형국이다.



특히, 과거부터 다년 간 국내 웹 사이트를 불법해킹하여 온라인 게임 계정탈취용 악성파일을 유포해온 조직들이 집중적으로 KRBanker 변종을 유포하기 시작했다는 점은 앞으로 일정기간 보안패치가 존재하지 않는 Zero-Day 공격이나 무차별적인 Malware Network 기반을 통한 전방위적 유포확산의 가능성이 이미 현실화되었다는 점을 증명하는 것이다.

[칼럼]국내 인터넷 뱅킹 보안위협 절대 남의 일이 아니다!
http://erteam.nprotect.com/341

[주의]국내 인터넷 뱅킹용 악성파일 BHO 기능 겨냥
http://erteam.nprotect.com/340

[주의]인터넷 뱅킹 보안강화(승급) 서비스는 전자금융사기의 덫
http://erteam.nprotect.com/339

2. 계속 되살아나는 좀비형 금융 피싱사이트

최근 발견되고 있는 국내 인터넷 뱅킹용 악성파일(KRBanker) 변종들은 국내 보안업체, 금융권 및 정부 유관기관들이 공조하여 신속하게 금융 피싱사이트를 발견하고 차단시키자 스스로 실시간 업데이트 할 수 있는 기능을 탑재하여 사용하기 시작했다. 악성파일 유포조직들은 일종의 치고 빠지기 수법과 일정기간의 잠복기간을 이용해서 자신의 노출을 최대한 숨기고자 하는 의도를 가지고 있고, 한번 감염시킨 악성파일의 생존기간을 최대한 길게 유지하기 위해서 다각적인 기법을 도입하고 있다. 이들의 변화하는 행태를 집중 모니터링한 바에 의하면 앞으로 기존 악성파일들이 사용했던 기술들을 하나 둘 씩 추가할 것으로 우려된다.

악성파일 유포조직들은 먼저 사용자들의 허술한 보안상태와 사회공학적인 심리를 역이용해 사용자 몰래 컴퓨터에 1차 침입 시도한다. 가장 광범위하게 이용되고 있는 방식은 사용자가 많은 정상 웹 사이트의 설치프로그램을 해킹해서 정상기능의 프로그램에 악성파일을 몰래 추가하는 방식과 방문자가 많은 언론, 웹하드, 기업, 커뮤니티 등 다수의 특정 웹 사이트 자체를 불법 해킹하여 보안이 취약한 사용자가 접속 즉시 자신도 모르게 감염되도록 하는 방법이 동원되고 있다. 따라서 보안관리가 허술한 이용자는 자신이 이런 전자금융사기용 악성파일에 감염된 것을 바로 인지하고 능동적으로 대처하기가 생각보다 쉽지 않다.

물론, 이러한 악성파일을 신속하게 발견하고 제거하기 위해서 국내 많은 보안업계와 유관기관들이 꾸준히 노력하고 있고, 수 많은 금융피싱 사이트가 수시로 발견과 차단이 반복되고 있을 정도로 보안위협의 실효적 가능성은 급격히 증가하고 있다. 이에 따라 사이버 범죄자들도 금융 피싱도메인으로 접속되도록 유도하는 악성파일에 나름의 자동업데이트와 생존법칙을 추가하는 등 다양한 자구책을 모색하는 추세이다. 

다음 화면은 KRBanker 종류의 악성파일 변종이 접속 시도하는 C&C(Command and Control) 서버로 발각된 피싱사이트가 국내 ISP(Internet Service Provider)기관의 협조로 접속이 차단되면 공격자의 명령에 따라서 피싱 도메인 주소가 실시간으로 변경되도록 구성한 곳이다. 따라서 피싱 도메인은 계속해서 스스로 자동 업데이트가 가능하고, 악성파일의 생존기간은 그 만큼 길어져 이른바 좀비(Zombie)처럼 죽여도 죽여도 되살아나는 오뚜기 역할을 수행할 수 있게 된다.

텍스트 형식으로 구성된 "j.txt" 파일은 일종의 원격 명령파일로 | 기호로 접속 사이트를 구분한다. 악성파일(KRBanker)에 감염된 사용자가 앞단의 정상적인 금융권 도메인 접속조건이 일치하면 뒷단의 금융 피싱사이트로 접속되도록 만들며, 뒷단의 피싱 사이트는 공격자의 명령에 따라서 언제든지 변경될 수 있고, 현재 계속해서 변경되고 있는 상황이다.

잉카인터넷 대응팀은 해당 C&C 정보를 유관기관에서 확인할 수 있도록 공유하여, 실시간으로 변경되는 금융 피싱사이트가 신속하게 차단될 수 있도록 자료를 공개한 상태이다.

3. 기억하세요! 인터넷 뱅킹 보안승급(강화) 서비스는 모두 사기

다음은 악성파일(KRBanker)에 감염된 경우 정상 사이트에 접속해도 피싱사이트로 변경되도록 만든 후 보안승급 또는 보안강화 서비스로 유혹하여 금융 개인정보를 입력하게 유도하고 탈취하여 예금 인출을 시도하는 피싱 웹 사이트이다. 인터넷 뱅킹 이용자들은 아래 화면을 반드시 숙지하여 유사한 보안위협에 노출되지 않도록 유심히 살펴보도록 하자.

실제 금융사의 도메인과 매우 유사하게 사칭한 형태가 계속 사용되고 있으며, 보안승급이나 보안강화라는 존재하지 않는 서비스 명목으로 개인금융 정보와 보안카드 일련번호를 포함한 모든 보안카드 개별 암호를 입력하게 유도하는 것이 공통적인 사기 수법이다. 전자금융사기 범죄자들은 이런 과정을 통해서 편취한 개인금융 정보를 이용해서 공인인증서(NPKI) 등을 불법 재발급하여 은행예금 탈취를 시도하게 된다.

국내 시중의 어떤 금융권에서도 과도하게 보안카드의 모든 번호를 직접 입력하게 하는 경우는 절대로 없다는 것을 절대 명심해야 하고, 유사한 형태는 모두 전자금융사기라는 점을 잊어서는 안된다.

하루아침에 사라진 내 은행예금…`충격` (디지털 타임스)
http://www.dt.co.kr/contents.html?article_no=2012101402019960785002

가짜 은행사이트 피싱 대응법은? (ZDNet Korea)
http://www.zdnet.co.kr/news/news_view.asp?artice_id=20121008141025&type=xml

[국민은행 사칭 피싱 사이트 사례]


 

 


[우리은행 사칭 피싱 사이트 사례]

 


[하나은행 사칭 피싱 사이트 사례]

 


4. 적을 알고 나를 알면 백전백승

악성파일(KRBanker)을 조직적으로 유포시도하는 범죄자들은 짧은 시간에 많은 사용자들에게 악성파일을 설치하는 것이 가장 주된 목적 중에 하나이다. 그 만큼 고도의 다중 공격수법을 활용하고자 하는 것이 일반적이며, 최신 보안 취약점과 불법적인 해킹 등을 결합하여 사용한다. 또한, 상대적으로 인터넷 이용률이 높고 보안업무 근무자가 적은 주말이나 야간시간에 집중적으로 악성파일을 배포하는 성향을 띄고 있다. 더불어 국내의 수 많은 웹 사이트와 개인 컴퓨터가 Malware Botnet 과 C&C 서버로 남용되고 있어 인터넷이 마치 커다란 지뢰밭과 같은 위험 천만한 곳이라 해도 과언이 아닐 정도이다.

그렇다면 이런 위험한 상황에서 악성파일(KRBanker)로 부터 안전하게 자신의 금융자산을 보호하기 위한 방안은 무엇일까? 제일 먼저 악성파일이 유입될 수 있는 조건을 최소화하는 것이다. ▶이미 널리 알려져 있는 대표적인 보안취약점을 모두 업데이트하여 제거하고자 하는 사용자 스스로의 능동적인 노력이다. 악성파일들은 Zero-Day 공격뿐만 아니라 이미 널리 알려져 있는 최신 보안취약점을 이용해서 해킹된 웹 사이트에 접속만으로도 감염될 수 있도록 하는 방식을 널리 이용하고 있다. 따라서 다음과 같은 보안 업데이트는 선택이 아닌 필수로 반드시 설치하도록 하며, 수시로 취약점이 발견되고 있으니, 최소 1~2주일에 한번 이상은 최신 보안업데이트 출시 여부를 파악해서 설치하도록 하여야 한다.

[중요]개그콘서트에 없는 네가지? 오해하지마! 보안 업데이트
http://erteam.nprotect.com/250


A. Windows 제품군
http://www.update.microsoft.com/microsoftupdate/v6/default.aspx?ln=ko


B. Adobe 제품군
- 플래시 플레이어와 PDF 리더
http://get.adobe.com/kr/flashplayer/ / http://get.adobe.com/kr/reader/

C. JAVA 제품군
http://www.java.com/ko/

그외 기본적인 보안제품(Anti-Virus, Personal Firewall) 등을 설치하고, 최신 업데이트를 반드시 설치하고, 백신의 경우 실시간 감시 기능을 활성화하여 이미 알려져 있는 악성파일이 감염활동하지 못하도록 시스템의 보안을 강화한다.

위와 같은 악성파일로 부터 안전한 PC사용을 유지하기 위해서 아래와 같은 기본적인 보안 관리 수칙을 준수하여 악성파일 감염을 사전에 예방할 수 있도록 하자.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의


※ 잉카인터넷 대응팀에서는 위와 같은 악성파일을 포함한 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

nProtect Anti-Virus/Spyware v3.0 제품에서는 다양한 변종 악성파일을 진단/치료하고 있다.

▣ AVS 3.0 무료 설치 : http://avs.nprotect.com/


저작자 표시
신고
Posted by nProtect

1.  개 요


2012 런던 올림픽 대회가 개최되며, 전세계의 이목이 올림픽에 집중되고 있다. 전세계 각국을 대표하는 선수들이 참가하여 열전을 벌이고 관심을 높여가고 있는 가운데 역시나 올림픽 관련 스케쥴표로 위장한 악성파일이 발견되어 사용자들의 각별한 주의가 요망되고 있다. 해당 악성파일은 PDF 형식의 파일로 폰트 관련 취약점을 악용하여 악성파일을 유포하고 있으며, 감염 시 정상적인 올림픽 스케쥴표가 출력되어 일반 사용자들의 경우 감염 사실을 인지하기가 매우 어려운 것이 특징이라고 할 수 있다.

  

2. 유포 경로 및 감염 증상

해당 악성파일은 2012 런던 올림픽 경기 일정표로 위장되어 이메일의 첨부파일 혹은 SNS, 메신저 등의 링크 접속을 통해 유포가 이루어질 수 있다. 또한, 폰트 관련 PDF 취약점을 악용하고 있으며, 영향을 받는 버전은 아래와 같다.

※ 영향을 받을 수 있는 버전

- Adobe Reader 9.3.4 이전 버전
- Adobe Acrobat 9.3.4 이전 버전

해당 악성파일의 경우 PDF 내부에 암호화 되어 있는 TTF(TrueTypeFont) 스트림의 특정 테이블을 통해 스택오버플로우를 일으키는 취약점이 악용되었으며, 아래의 그림은 스택오버플로우를 유발할 수 있는 코드의 일부이다.

위와 같은 취약점이 유효할 수 있는 응용 프로그램을 사용하여 해당 악성파일이 실행될 경우 사용자가 감염사실을 의심하지 않도록 하기 위해 아래의 그림과 같이 정상적인 2012 런던 올림픽 스케쥴표가 화면상에 출력될 수 있다.

또한, 내부에 포함하고 있는 추가적인 악성파일을 아래와 같은 경로에 생성하게 된다.

※ 생성 파일

- (사용자 임시 폴더)\~temqp.tmp (53,248 바이트)
- (사용자 임시 폴더)\explorer.exe (53,248 바이트)
- (사용자 임시 폴더)\~vmdmc.exe (484,864 바이트, 정상 cmd.exe 복사본)

※ 레지스트리 값 등록

- [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
- 이 름 : "arun"
- 데이터 : "(사용자 임시 폴더)\explorer.exe"

※ (사용자 임시 폴더)란 일반적으로 "C\Documents and Settings\(사용자 계정)\Local Settings\Temp"를 말한다.

위와 같이 추가적으로 생성되는 악성파일들은 아래의 그림과 같이 WORD 문서 파일 아이콘으로 위장되어 있다.

또한, 해당 악성파일은 아래의 일부 코드와 같이 중국내에 소재하는 특정 외부 사이트에 지속적인 접속을 시도하나 현재는 정상적인 접속이 되지 않고 있다.

3. 예방 조치 방법

위와 같이 취약점을 악용하는 악성파일의 경우 사전 예방이 매우 어렵다는 특징을 가진다. 거기에 더해 국/내외 적으로 현재 큰 이슈가 되고 있는 런던 올림픽과 같은 행사와 관련해 사회공학적 기법 또한 악용된다면 일반 사용자의 경우 철저한 보안의식에 대한 함양 없이는 안전한 PC 사용을 유지하기가 어려울 수 있다.

때문에 사용중인 응용프로그램에 대한 철저한 보안 패치와 함께 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 노력을 기울이는 것이 안전한 PC 사용을 위한 최선의 방법이라 할 수 있을 것이다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안업체의 백신을 설치 후 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.

4. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의.

※ 잉카인터넷 대응팀에서는 위와 같은 악성파일에 대해 아래의 그림과 같이 진단/치료 기능을 제공하고 있으며, 각종 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

◆ 진단명 내역

- Trojan/W32.Agent.53248.CYM
- Trojan-Exploit/W32.Pidief.291556.JVF
- Trojan/W32.Agent.53248.DDR



 

저작자 표시
신고
Posted by nProtect