'제로데이'에 해당되는 글 72건

EMC/RSA 침해 사고 유발한 타깃 공격 이메일 발견 :: 2011/08/29 13:53

/취약점 이슈

ASEC에서는 4월 4일 EMC/RSA에서 APT 형태의 침해 사고가 발생하였으며, 이로 인해  2 팩터 인증(2 Factor Authentication) 관련 정보들이 외부로 유출 되었다는 사실을 전한 바가 있다.


당시 EMC/RSA에서는 해당 APT 형태의 침해 사고는 "2011 Recruitment plan.xls"라는 마이크로소프트(Microsoft)의 엑셀(Excel)파일이 첨부된 메일을 이용한 타깃 공격(Targeted Attack)으로부터 침해 사고가 발생하였다는 사실을 공개하였다.

이러한 사실 관계가 현지 시각 8월 26일 핀란드 보안 업체인 F-Secure의 "How we found the file that was used to Hack RSA" 블로그를 통해 공개되었다.

F-Secure에서는 밝힌 EMC/RSA에서 발생한 APT 형태의 침해 사고는 ASEC에서 확인한 아래 이미지와 같이 2011 Recruitment plan.xls(108,032 바이트) 이 첨부된 타깃 공격을 위한 이메일로 부터 시작되었다.

사용자 삽입 이미지

 해당 엑셀 첨부파일은 당시 제로 데이(Zero-Day, 0-Day) 취약점이었던 어도비 플래쉬 플레이어(Adobe Flash Player)의 CVE-2011-0609 취약점을 악용하도록 제작되었다.

사용자 삽입 이미지

EMC/RSA에서 발생한 APT 형태의 침해 사고는 사람의 심리를 공격한다는 고도화된 사회 공학(Social Engineering)과 제로 데이 취약점을 악용해 원격 제어 형태의 악성코드 감염을 시도한 복합적인 형태로 볼 수가 있다.

이번 EMC/RSA에서 발생한 침해 사고에 이용된 타깃 공격을 위한 이메일에 첨부된 엑셀 파일은 V3 제품군에서 다음과 같이 진단한다.

Dropper/Cve-2011-0609

악성코드로부터의 피해를 예방하기 위해서는 사용하는 시스템에 다음과 같은 사항들을 적용하여 피해가 발생하기 전에 주의를 하는 것이 중요하다.

1. 마이크로소프트 업데이트 웹 사이트를 통해 시스템에 설치된 윈도우 운영체제, 인터넷 익스플로러 및 오프스 제품에 존재하는 취약점을 제거하는 보안 패치를 모두 설치한다.

2. 자주 사용하는 컴퓨터 시스템에는 V3 365 클리닉과 같은 방화벽과 백신이 포함되어 있는 통합 보안 제품을 반드시 설치한다.

3. 웹 브라우저를 통해 유포되는 악성코드의 감염을 예방하고 사기 사이트 및 피싱 사이트를 차단하는 사이트가드(SiteGuard)와 같은 웹 브라우저 보안 소프트웨어 를 같이 설치하는 것이 중요하다.

4. 사용중인 컴퓨터 시스템에 설치된 백신을 항상 최신 엔진으로 업데이트 하고 실시간 감시를 켜두는 것이 중요하다.

5. 전자 메일에 첨부파일이 존재 할 경우 실행 하지 않도록 주의 하며 저장후 최신 엔진으로 업데이트된 백신을 통해 먼저 검사를 한 후 실행 하도록 한다.

6. 전자 메일에 존재하는  의심스런 웹 사이트 링크는 클릭하지 않는다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/08/29 13:53 2011/08/29 13:53
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(5) : Comment(6)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/587

  • Tracked from gw2 gol | 2013/04/08 22:09 | DEL

    Hiya, I am really glad I've found this info. Nowadays bloggers publish just about gossips and net and this is actually annoying. A good site with interesting content, that is what I need. Thanks for keeping this website, I will be visiting it. Do you d...

  • Tracked from card recover | 2013/05/09 19:38 | DEL

    MicroSD card recovery Pro is file data recovery software designed to recover lost files including video, documents, pictures, audios, and videos from memory cards, CD-ROMs, and lost pictures from digital camera memory.

  • nike tn pas cher

    Tracked from nike tn pas cher | 2013/05/11 10:54 | DEL

    Probablement pas assez pour empêcher son rival de gouverner, milan ac juve que nous sommes à la tête des composantes modérée? et Arnaud Montebourg?pour le Redressement productif perdent chacun 3 points pour se retrouver respectivement à 30% et 31% d

  • maillot de foot vintage

    Tracked from maillot de foot vintage | 2013/05/11 10:54 | DEL

    calqué sur le suranné système soviétique des années 80, David Beckham est bien dans le groupe qui affrontera lOM mais va-t-il jouer ce soir? par questionnaire auto-administré en ligne auprès dun échantillon représentatif de 704 personnes de la ?p

  • rolex dateJust | 2012/07/28 22:34 | PERMALINK | EDIT/DEL | REPLY

    그것도 직접 그들에게 큰 관심의 위대한 켜서 말 같지 않아 많은 여자에게 coziness를 제공합니다.코치 매장에서 판매 전용 가방은 확실히 다음 캠핑 여행에 군중에서 눈에 띄는 것이 값싼 또는 할인 가격입니다!

  • wiky | 2012/08/20 15:36 | PERMALINK | EDIT/DEL | REPLY

    Give everything a shot. You never know <a href="http://www.topwatchsale.co.uk/">rolex replica</a> what (or who) is going to change your <a href="http://www.topwatchsale.co.uk/rolex/daytona">rolex daytona replica</a> life

  • abercrombie milano | 2012/09/21 10:32 | PERMALINK | EDIT/DEL | REPLY

    Ottimo sito, posso dalle altre persone esperte condividono la stessa suggestione interessi. Aspetto generale del tuo sito è grande, per non parlare del contenuto. Io credo, che avete già avuto un gruppo considerevole di lettori!

  • daidai | 2012/10/30 15:36 | PERMALINK | EDIT/DEL | REPLY

    [url=http://www.pradaoutletplaza.net][b]prada online outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlet store[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada factory outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online shop[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada bags outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]outlet prada[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]space prada outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada space outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada shop online[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada bag outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlet montevarchi[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada outlets[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada sale[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada handbags outlet[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada store[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada evening bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada classic bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]cheap prada[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada accessories[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada online shop[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada diaper bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada fairy bag[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada website[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada sport[/b][/url]
    [url=http://www.pradaoutletplaza.net][b]prada pumps[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-prada-saffiano-c-1.html][b]2012 Prada Saffiano[/b][/url]
    [url=http://www.pradaoutletplaza.net/miu-miu-handbags-c-12.html][b]MIU MIU Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-bags-c-2.html][b]New Prada Bags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-belts-c-10.html][b]Prada Belts[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-canvas-bag-c-5.html][b]Prada Canvas Bag[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-shoes-c-9.html][b]prada shoes[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-leather-bags-c-11.html][b]Prada Leather Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-men-shoes-c-8.html][b]Prada Men Shoes[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-man-bags-c-4.html][b]Prada Man Bags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-handbags-c-3.html][b]Prada Handbags[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-wallets-c-6.html][b]Prada Wallets[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-sunglasses-c-7.html][b]Prada Sunglasses[/b][/url]



    [url=http://www.pradaoutletplaza.net/2012-cheap-prada-saffiano-lux-tote-bag-black-leather-bn1786-p-1.html][b]prada bn1786[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-cheap-prada-saffiano-tote-bag-black-cross-grain-leather-p-10.html][b]prada bn2274[/b][/url]
    [url=http://www.pradaoutletplaza.net/2012-prada-small-saffiano-lux-tote-bag-black-leather-bn1801-p-20.html][b]prada bn1801[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-handbags-2011-p-59.html][b]prada bn1802[/b][/url]
    [url=http://www.pradaoutletplaza.net/designer-prada-leather-bag-black-calf-croco-veins-1215-p-39.html][b]prada bn1844[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-br4348-stud-tote-bag-in-black-leather-p-55.html][b]prada bn1874[/b][/url]


    [url=http://www.pradaoutletplaza.net/prada-leather-handbags-black-6029-p-540.html][b]prada bn2316[/b][/url]
    [url=http://www.pradaoutletplaza.net/miu-miu-handbags-outlet-18330-orchid-purple-p-688.html][b]prada bn1844[/b][/url]
    [url=http://www.pradaoutletplaza.net/new-prada-handbags-2011-p-59.html][b]prada bn2274[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-leather-tote-black-tc001-p-665.html][b]prada bn1802[/b][/url]
    [url=http://www.pradaoutletplaza.net/designer-prada-leather-bag-brown-calf-croco-veins-1215-p-40.html][b]prada bn1874[/b][/url]
    [url=http://www.pradaoutletplaza.net/prada-men-bags-black-166p-p-169.html][b]prada bn1801[/b][/url]

  • Abercrombie France | 2012/11/02 17:10 | PERMALINK | EDIT/DEL | REPLY

    Ceci est juste l'information que je recherche everywhere.Me et mon ami se disputaient au sujet d'une question semblable à cela! Maintenant, je sais que j'étais right.Thanks pour les informations que vous postez. Je viens de souscrire votre blog. Ceci est un blog sympa.

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

2011년 상반기 10대 보안 위협 트렌드 :: 2011/07/12 14:20

/보안 업계 동향

- 기업 대상 악의적 해킹, 온라인 뱅킹 직접 겨냥..대담한 범죄화 추세
- 모바일 악성코드 급증, 맥 OS 악성코드 본격화
- SNS 및 검색 엔진 이용한 지능적 유포 급증

사용자 삽입 이미지

글로벌 종합보안 기업인 안철수연구소[대표 김홍선, www.ahnlab.com, 약칭 ‘안랩’]는 12일 ‘2011년 상반기 10대 보안 위협 트렌드’를 발표했다. 이에 따르면 올해 상반기 주요 이슈는 ▶기업 대상 악의적 해킹 시도 증가 ▶더욱 대담해진 온라인 뱅킹 해킹 ▶모바일 악성코드 기승 ▶SNS로 유포되는 악성코드 급증 ▶진짜 백신으로 위장한 가짜 백신 등장 ▶윈도우 시스템 파일을 패치하는 악성코드 증가 ▶악성코드 첨부 메일 증가 ▶웹 애플리케이션 취약점 악용한 악성코드 증가 ▶맥 OS 겨냥한 악성코드 본격화 ▶온라인 게임 해킹 툴 기법 지능화 등이다.
 
[1] 기업 대상 악의적 해킹 시도 증가
 
올해 상반기에는 기업 대상 해킹 시도가 증가했다. 글로벌 에너지 업체의 기밀 정보를 탈취하려는 나이트드래곤[Night Dragon] 위협, EMC/RSA에서 발생한 OTP[One Time Password] 관련 기밀 탈취 위협, 해킹 그룹 룰즈섹[LulzSec]이 소니[Sony]의 고객 정보를 대량 유출한 사고가 대표적이다. 국내에서도 대형 금융기관 대상의 악의적 해킹이 밝혀졌다. 이러한 해킹 시도는 그 피해의 여파가 과거에 비해 더 크며, 금전 탈취는 물론 자신들의 주장을 관철하려는 핵티비즘[Hacktivism] 성격으로까지 다양해지고 있는 것이 특징이다.
 
[2] 더욱 대담해진 온라인 뱅킹 해킹
 
온라인 뱅킹 중에 전송되는 금융 정보를 탈취하는 악성코드는 올해도 지속적으로 국내외에서 발견되고 있다. 국내에서는 온라인 뱅킹을 지원하는 국내 대부분의 은행 사이트를 대상으로 한 악성코드 뱅커[Banker]가 발견됐으며, 해외에서는 2010년에 심각한 금융 보안 사고를 유발한 악성코드 제우스[Zeus]의 변형을 제작할 수 있는 소스코드가 유출되기도 했다. 온라인 게임 아이템을 탈취한 후 이를 현금화하던 방식이 아닌, 단계를 거치지 않고 한 번에 금전을 탈취하는 대담한 범죄가 본격화한 것이다. 사용자는 더욱 세밀한 보안 설정과 관리를 해야 한다. 온라인 뱅킹 암호를 주기적으로 변경하고 공인인증서 관리에도 특별한 주의를 기울여야 한다.
 
[3] 모바일 악성코드 기승
 
올해 상반기 안드로이드[Android]용 악성코드가 크게 증가했다. 사용자 모르게 루트[Root] 권한을 획득하는 루팅[Rooting]을 수행하는 Zft, 사용자의 통화 목록과 문자 내역 그리고 웹사이트 방문 기록 등을 탈취하는 키드로거[KidLogger], 안드로이드 스마트폰을 원격에서 제어할 수 있는 드로이드쿵후[DroidKungFu]가 대표적이다. 이 밖에 탈옥[JailBreak]된 아이폰과 아이패드에 설치되어 키보드 입력값을 가로채는 상용 키로거[Keylogger]도 발견됐다. 모바일 악성코드는 감염 기법과 동작 방식이 점차 PC용 악성코드와 유사해져 향후 더 심각한 보안 위협이 될 것으로 예측된다.
 
[4] SNS로 유포되는 악성코드 급증
 
올해부터 본격적으로 SNS[소셜 네트워크 서비스]가 악성코드 유포 경로로 악용되기 시작했다. 많은 사람의 주목을 끌어야 하는 만큼 당연히 사회적 이슈를 이용한 사회공학기법[Social Engineering]이 사용됐다. 일본 대지진 관련 기사나, 빈 라덴 사망 관련 동영상으로 위장한 가짜 백신들이 유포됐다. SNS는 그 특성상 사회공학기법을 악용한 악성코드와 피싱[Phishing] 등에 쉽게 노출된다. 그러므로 SNS로 전달되는 이슈가 보안 위협일 수도 있다는 보안 인식이 필요하다.
 
[5] 진짜 백신으로 위장한 가짜 백신 등장
 
가짜 백신이 이제는 버젓이 진짜 백신으로 위장하는 사례까지 등장했다. 해외 백신인 AVG, 비트디펜더[BitDefender]와 동일한 UI[사용자 인터페이스]와 아이콘을 그대로 도용한 가짜 백신이 발견됐다. 이는 사용자로 하여금 허위 진단 결과를 신뢰하게 하여 금전 획득의 가능성을 높이려는 의도이다. 또한 더 많은 PC를 감염시키기 위해 유포 방식도 지능화했다. 검색 엔진에서 검색한 이미지 파일을 클릭하면 가짜 백신 유포 웹사이트로 연결되게 한 것이다. 이는 일종의 ‘블랙햇 검색엔진최적화’[BlackHat Search Engine Optimization] 기법인데, 검색 결과를 조작해 가짜 백신 유포 사이트로 연결하는 종전 방식에서 변형된 형태이다.
 
[6] 윈도우 시스템 파일을 패치하는 악성코드 증가
 
2011년 상반기에 유포된 악성코드 중 윈도우 운영체제에 존재하는 정상 시스템 파일을 악의적 목적으로 패치[Patch]하거나 변경하는 악성코드가 급증했다. 윈도우 시스템 파일[imm32.dll, ksuser.dll, midimap.dll, comres.dll 등]을 패치하여 다른 악성코드를 감염시키거나 특정 온라인 게임의 사용자 정보를 탈취하는 악성코드가 다수 발견됐다. 일부 악성코드는 윈도우 시스템 파일뿐 아니라 백신이 사용하는 파일을 삭제 또는 변조하거나 윈도우 서비스를 강제 종료하는 등 보안 제품의 작동을 방해하기도 한다. 이런 유형은 악성코드를 삭제할 경우 시스템 자체를 손상시키므로, 백신의 진단/치료를 어렵게 하려는 목적으로 제작되었다고 볼 수 있다.
 
[7] 악성코드 첨부 메일 증가
 
악성코드를 첨부한 메일의 유포가 올해 2분기를 기점으로 다시 증가했다. 페이스북에서 발송하는 메일로 위장한 사례, UPS나 페덱스[FedEx]와 같은 택배 운송 업체의 메일로 위장한 사례가 대표적이다. 인터넷 쇼핑몰 주문 확인, 신용카드 한도 초과 안내 메일로 위장한 사례도 발견됐다. 이런 악성코드 대부분이 해외에서 제작된 가짜 백신을 설치하려는 목적으로 유포됐으며, 사용자가 많은 온라인 서비스로 위장한 점이 특징이다.
 
[8] 웹 애플리케이션 취약점 악용한 악성코드 증가
 
올해 상반기 악성코드에 악용된 취약점 대부분이 웹 애플리케이션과 관련되어 있다. 이로 인해 단기간에 많은 PC가 악성코드에 감염됐다. 특히 2분기에는 보안 패치가 제공되기 전에 발견된 제로 데이[Zero Day] 취약점 모두가 어도비 플래쉬 플레이어에서 발견됐다. 취약점을 악용하는 악성코드는 주로 온라인 게임 사용자의 정보를 탈취하거나 윈도우 시스템 파일을 패치한다. 그러므로 MS뿐 아니라 어도비가 제공하는 보안 패치도 빠짐없이 설치해야 악성코드 감염을 예방할 수 있다.
 
[9] 맥 OS 겨냥한 악성코드 본격화
 
현재 대부분의 악성코드는 윈도우 운영체제에 감염된다. 그러나 아이폰과 아이패드 사용자가 늘어남에 따라 맥[Mac]용 악성코드도 동반해서 증가하는 추세이다. 맥 OS에 가짜 백신을 설치하는 맥디펜더[MacDefender] 종류가 대표적이다. 이 악성코드들은 트위터로 유포됐으며, 시스템 전체를 검사하는 것처럼 위장하고 허위 감염 결과를 보여준다. 사용자는 애플사가 제공하는 보안 패치를 설치하고 악성코드 감염을 주의할 필요가 있다.
 
[10] 온라인 게임 해킹 툴 기법 지능화
 
비정상적인 방법으로 메모리, 게임 파일, 서버 등에 접근하여 데이터 등을 변조함으로써 게임 플레이를 불공정하게 이끄는 온라인 게임 해킹 툴은 보안 솔루션을 회피하기 위해 새로운 방식이 많이 적용되는 추세이다. 메모리 조작은 코드 조작에서 데이터 메모리 조작으로, 오토플레이는 키보드/마우스 관련 함수를 이용하는 방식에서 게임의 특정 기능을 수행하는 함수를 직접 호출해 오토플레이를 구현하는 방식으로 변화했다. 한편, 온라인 게임 해킹 툴은 작년 상반기에 1068개가 발견된 데 비해 올해 상반기에는 총 4050개로 약 300% 늘어났다. 해킹 유형 별로는 메모리 조작이 2575개로 비중이 가장 높고 오토플레이는 1274개로 집계됐다.
 
안철수연구소 시큐리티대응센터 이호웅 센터장은 "악성코드나 해킹이 점차 심각한 범죄로 확대되는 추세이다. SNS, 검색, 온라인 뱅킹, 온라인 게임 등 편리한 인터넷 환경 어디든 보안 위협이 지뢰처럼 묻혀 있다. 따라서 자신의 정보와 재산을 스스로 지킨다는 보안 의식이 중요하다. 또한 기업은 CEO가 앞장서 신뢰할 수 있는 비즈니스 환경을 만드는 것이 필수이다.”라고 강조했다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/07/12 14:20 2011/07/12 14:20
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(3)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/567
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

취약한 한글 파일을 악용한 악성코드 유포 :: 2011/07/11 16:59

/취약점 이슈

몇 년전부터 악성코드 제작자들은 악의적인 목적으로 제작하는 악성코드들을 효과적으로 감염시키기 위해 전자 문서 파일들에 존재하는 알려지거나 또는 알려지지 않은 제로 데이(Zero-Day, 0-Day) 취약점들을 악용하기 시작하였다.


악용되는 전자 문서들 중 어도비 아크로뱃 리더(Adobe Acrobat Reader)에 사용하는 PDF 파일이나 마이크로소프트 오피스 워드(Microsoft Office Word)와 같은 전자 문서 파일들이 존재하는 취약점들이 주된 대상이 되었다.


이와 같이 전자 문서 파일의 취약점을 악용한 악성코드 유포는 고도의 사회 공학 기법(Social Engineering)과 결합하여 APT(Advanced Persistent Threat) 형태의 보안 위협을 만들어 낼 수도 있다.

이와 같이 심각한 위협에 악용되는 전자 문서 취약점을 악용한 악성코드 유포는 국내에서 제작된 한글 프로그램도 그 예외가 아님으로 많은 주의가 필요하다.

최근에는 국내에서 제작된 한글 프로그램에 존재하는 취약점을 악용한 악성코드가 발견되어 보안 패치의 중요성이 다시 강조된다.

이 번에 발견된 한글 프로그램의 취약점을 악용한 악성코드는 한글 프로그램에서 사용하는 HwpApp.dll 모듈에서 존재하는 취약한 memcpy() API를 이용하여 임의의 코드를 실행 시킬 수 있는 코드 실행 취약점이다.

사용자 삽입 이미지

해당 취약점을 악용한 취약한 한글 파일(HWP)을 실행하게 되면, 아래 이미지와 같이 Svchost.exe 파일을 생성하게 된다.

그리고 생성된 svchost.exe 파일은 다시 시스템 폴더(C:\Windows\system32)에 ieprotect.dll 파일명의 악성코드를 생성 한다. 이와 함께 2.hwp이라는 정상 HWP 파일을 생성시켜 감염된 시스템의 사용자로 하여금 정상적으로 한글 파일이 열린 것으로 오인하도록 동작한다.

사용자 삽입 이미지

취약한 한글 파일은 파일 내부에 아래 이미지와 같은 쉘코드(Shellcode) 및 악성코드를 가지고 있어 실행과 동시에 생성하도록 되어 있다.

사용자 삽입 이미지

현재 한글 프로그램에서 발견된 취약점에 대해 한글과 컴퓨터에서는 "[공지] 한컴오피스, 전체 사용자용 보안 업데이트 배포" 공지를 통해 이미 보안 패치를 배포 중에 있다.

그리고 한글 프로그램 사용자는 한글과 컴퓨터 웹 사이트를 통해 보안 패치를 업데이트 할 수 있으며, 아래 이미지와 같이 [한컴 자동 업데이트]를 실행해서도 보안 패치 설치가 가능하다.

사용자 삽입 이미지

[한컴 자동 업데이트]가 실행되면 아래 이미지와 같이 현재 설치되어 있는 한글 프로그램에 맞는 보안 패치를 자동으로 설치할 수 있다.

사용자 삽입 이미지

그리고 위 이미지의 [환경 설정]을 클릭하여 [업데이트 방법]과 [자동 업데이트 설정]이 가능함으로 최신 보안 패치가 배포될 경우에 자동 업데이트가 진행 된다.

사용자 삽입 이미지

이 번에 발견된 취약한 한글 파일은 V3 제품군에서 다음과 같이 진단한다. 그러나 해당 악성코드 감염을 근본적으로 막기 위해서는 사용하는 한글 프로그램의 보안 패치 설치가 중요하다.

HWP/Exploit
Dropper/Dllbot.17920
Win-Trojan/Dllbot.9728 
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/07/11 16:59 2011/07/11 16:59
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(38) : Comment(2)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/566

  • pig

    Tracked from pig | 2013/05/11 09:36 | DEL

    ASEC Threat Research -

  • 群发

    Tracked from 群发 | 2013/05/18 12:20 | DEL

    ASEC Threat Research -

  • daidai | 2012/10/30 15:37 | PERMALINK | EDIT/DEL | REPLY

    [url=http://www.coachofficialsite.net][b]coach legacy[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach patricia[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach legacy leather[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach duffle bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach metallic[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach leather bags[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach penny[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach op art[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach abigail[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach hamptons bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach print[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach flap[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach signature sateen[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach thompson[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach sling pack[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach rivington[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach abigail[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach sling pack[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach makeup bag[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach messenger bag outlet[/b][/url]
    [url=http://www.coachofficialsite.net][b]authentic coach handbags[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach pocketbooks[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach signature collection[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach leatherware[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach factory stores[/b][/url]
    [url=http://www.coachofficialsite.net][b]coach ashley satchel[/b][/url]
    [url=http://www.coachofficialsite.net/coach-madison-bags-c-4.html][b]Coach Madison Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-hobo-bags-c-3.html][b]Coach Hobo Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-poppy-bags-c-6.html][b]Coach Poppy Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-diaper-bags-c-2.html][b]Coach Diaper Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-baby-bags-c-1.html][b]Coach Baby Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-handbags-outlet-c-5.html][b]Coach Handbags Outlet [/b][/url]
    [url=http://www.coachofficialsite.net/coach-satchel-bags-c-7.html][b]Coach Satchel Bags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-kristin-handags-c-12.html][b]Coach Kristin Handags[/b][/url]
    [url=http://www.coachofficialsite.net/coach-totes-handbags-c-10.html][b]Coach Totes Handbags [/b][/url]
    [url=http://www.coachofficialsite.net/coach-wallets-c-11.html][b]Coach Wallets[/b][/url]
    [url=http://www.coachofficialsite.net/coach-backpacks-c-9.html][b]Coach Backpacks[/b][/url]
    [url=http://www.coachofficialsite.net/coach-sunglasses-c-8.html][b]Coach Sunglasses[/b][/url]
    [url=http://www.coachofficialsite.net/coach-new-arrivals-c-13.html][b]Coach New Arrivals[/b][/url]


    [url=http://www.coachofficialsite.net/authentic-coach-2012-new-bags-outlet-e8073-purple-p-977.html][b]coach signature stripe tote[/b][/url]
    [url=http://www.coachofficialsite.net/coach-heritage-stripe-multifunction-baby-business-tote-pouch-p-161.html][b]coach ashley leather satchel[/b][/url]
    [url=http://www.coachofficialsite.net/coach-julia-signature-two-pockets-black-baby-handbag-p-43.html][b]coach baby bag op art tote[/b][/url]
    [url=http://www.coachofficialsite.net/coach-bags-madison-signature-leopard-grain-brown-shoulder-p-289.html][b]coach rivington leather backpack[/b][/url]

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 CVE-2011-2110 취약점 분석 :: 2011/06/22 17:30

/취약점 이슈

ASEC에서는 6월 15일 어도비 플래쉬 플레이어(Adobe Flash Player)에서 보안 패치 배포 소식을 전한 바가 있다. 해당 보안 패치에는 제로 데이(Zero Day, 0-Day) 취약점이었던 CVE-2011-2110 취약점을 제거 할 수 있는 보안 패치가 같이 포함이 되어 있으며, 현재에도 해당 취약점을 악용한 플래쉬 파일(SWF) 변형들이 유포 중에 있다.


ASEC에서는 해당 어도비 플래쉬 플레이어 취약점을 악용한 악성코드 유포에 대해 상세한 분석을 진행하였으며, 해당 취약점의 전체적인 악용 구조는 다음 이미지와 같은 형태로 진행 되었다.

사용자 삽입 이미지

위 이미지와 같은 구조로 취약한 플래쉬 파일을 유포하여 최종적으로 온라인 게임의 사용자 정보를 탈취하는 악성코드의 감염을 시도하였다.

먼저 취약한 웹 사이트에 아래 이미지와 같은 스크립트 파일을 삽입하였으며, 해당 스크립트 파일에는"main.swf?info="를 통해 취약한 플래쉬 파일을 호출하도록 설정되어 있다.

사용자 삽입 이미지

호출된 플래쉬 파일을 통해 Zlib 압축을 해제한 후 XOR 디코딩을 수행하여 특정 웹 사이트에서 파일을 다운로드 하도록 설정되어 있다.

다운로드 된 파일을 아래 이미지와 같이 XOR 디코딩을 수행한 후 Zlib 압축을 해제하게 될 경우 일반적으로 윈도우(Windows) 운영체제에서 실행 가능한 PE 파일이 생성된다.

사용자 삽입 이미지

최종적으로 메모리상에서는 아래 이미지와 같은 쉘코드(Shellcode)와 함께 다운로드된 PE이 같이 동작하도록 구성되어 있다.

사용자 삽입 이미지

메모리 상에서 쉘코드와 함께 동작하게 되면 윈도우 임시 폴더(Temp)에 scvhost.exe 파일을 생성하게 되며 생성한 파일을 cmd.exe 명령을 이용하여 실행하게 된다.

생성된 해당 파일이 실행되면 온라인 게임의 사용자 정보를 탈취하는 악성코드와 함께 외부에서 윈도우 시스템 관련 파일들인 imm32.dll와 win32.dll을 악성코드로 변경하는 기능 등을 수행하게 된다.

최근 어도비 플래쉬 플레이어에 존재하는 취약점을 악용하여 악성코드를 유포하는 사례가 지속적으로 발생하고 있음으로 어도비사의 보안 권고에 따라 어도비 아크로뱃 리더(Adobe Acrobat Reader)와 플래쉬 플레이어를 해당 취약점이 제거된 최신 버전으로 업데이트 하는 것이 중요하다.

이 번 어도비 플래쉬 플레이어에 존재하는 취약점을 악용하여 유포를 시도한 악성코드들은 V3 제품군에서 다음과 같이 진단한다.

SWF/Exploit
JS/Swflash
SWF/Cve-2011-2110
Win-Trojan/Onlinegamehack.36352.CN
Win-Trojan/Patched.DE
Win-Trojan/Onlinegamehack.102400.DM
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/06/22 17:30 2011/06/22 17:30
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(3)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/554
  • daidai | 2012/10/30 15:37 | PERMALINK | EDIT/DEL | REPLY

    [url=http://www.coachbabydiaperbags.com][b]coach legacy[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach patricia[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach legacy leather[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach duffle bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach metallic[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach leather bags[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach penny[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach op art[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach abigail[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach hamptons bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach print[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach flap[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach signature sateen[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach thompson[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach sling pack[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach rivington[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach abigail[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach sling pack[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach makeup bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach messenger bag outlet[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]authentic coach handbags[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach pocketbooks[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach signature collection[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach leatherware[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach factory stores[/b][/url]
    [url=http://www.coachbabydiaperbags.com][b]coach ashley satchel[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-baby-bags-c-1.html][b]coach wristlet outlet[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-outlet-bags-c-5.html][b]coach wristlet clearance[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-baby-bags-c-1.html][b]coach baby leather[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-poppy-bags-c-6.html][b]coach poppy leather[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-diaper-bags-c-2.html][b]coach shoulder bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-hobo-bags-c-3.html][b]coach hobo bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-backpacks-c-9.html][b]coach sling bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-satchel-bags-c-7.html][b]coach cosmetic bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-diaper-bags-c-2.html][b]coach diaper[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-tote-c-10.html][b]coach stripe[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-wallets-c-11.html][b]coach wallet outlet[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-madison-bags-c-4.html][b]coach madison bag[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-julia-signature-shoulder-black-baby-handbag-p-78.html][b]coach signature stripe tote[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-optic-signature-diaper-bag-1047-p-75.html][b]coach ashley leather satchel[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-julia-signature-magic-black-fuchsia-hobo-bags-p-226.html][b]coach baby bag op art tote[/b][/url]
    [url=http://www.coachbabydiaperbags.com/coach-madison-signature-cyan-backpacks-bag-p-666.html][b]coach rivington leather backpack[/b][/url]

  • Replica Watches | 2012/10/31 16:24 | PERMALINK | EDIT/DEL | REPLY

    Generally I do not post on blogs, but I would like to say that this post really forced me to do so! really nice post.

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

‘트러스가드 30’ 출시로 네트워크 통합보안 장비 라인업 완성 :: 2011/05/20 18:39

/보안 업계 동향

- CCTV, ATM , 편의점, 주유소, 학원 등에 적합
- 고성능 기술 바탕 VPN 시장 주도

사용자 삽입 이미지

글로벌 통합보안 기업인 안철수연구소[대표 김홍선 www.ahnlab.com, 약칭 안랩]는 11일 고성능 네트워크 통합보안 솔루션인 ‘트러스가드 30[TrusGuard 30]’을 출시했다. 이에 따라 기존 10G급 ‘트러스가드 10000’과 멀티 기가급 ‘트러스가드 1000’, 중견기업용 ‘트러스가드 400/100’, 중소기업용 ‘트러스가드 70/50’과 함께 다양한 고객층을 만족시킬 종합적 라인업을 완성하게 됐다.
 
특히 이번에 출시한 ‘트러스가드 30’은 2000년대 초중반에 구축된 구형 VPN[보충 설명]의 교체 수요를 겨냥한 것이다. 최근 인터넷[오픈 네트워크]으로 중요 내부 정보를 교환하는 일이 늘고, 폐쇄망에도 악성코드 감염 및 정보 유출 위협이 증가하는 추세이다. 이에 따라 정보의 안전한 교환을 보장하는 장비에 대한 요구가 높아지고 있다.
 
‘트러스가드 30’은 이 같은 요구를 충족하는 장비로서 공공기관, 대기업, 금융기관의 소규모 지사 및 산업용 단말기에 효과적으로 사용할 수 있다. 즉, 규모는 작지만 오가는 데이터는 중요한, 전국에 산재해 있는 편의점, 주유소, 학원, 읍/면/동 사무소, 은행 ATM 기기에 최적의 보안 대책이 된다. 아울러 다양한 정보를 발생시키는 CCTV, POS 단말기, 특수 목적형 센서 등 산업용 단말기에서도 효과적인 보안 대책을 제공한다.
 
‘트러스가드 30’의 특징은 소형 모델임에도 높은 방화벽/VPN 처리 성능을 보유했다는 것이다. 또한, 강력한 보안 위협 대응력을 기반으로 여타 VPN만으로 방어할 수 없는 보안 위협을 차단하고 지사/지점 보안을 강화할 수 있다는 점이다. 또한 IPS[침입방지시스템]를 비롯한 통합보안 기능을 제공할 뿐 아니라, 시큐리티대응센터[ASEC]와 침해사고대응센터[CERT]의 악성코드 및 네트워크 공격 대응 능력을 기반으로 한 ‘능동적 종합적인 대응 체제’를 갖추었기 때문에 본사-지사 VPN 사용자의 보안 수준을 한 단계 높여준다.
 
한편, 안철수연구소의 트러스가드 제품군은 축적된 보안 콘텐츠 기술과 네트워크 보안 기술, 그리고 실시간 긴급 대응 체계의 3요소가 긴밀하게 결합된 것이 강점이다. 정확성과 최신성을 겸비한 6,000여 개의 IPS 시그니처를 유지하며, 제로데이[Zero-day] 공격 등 긴급 대응이 필요한 공격을 효과적으로 방어한다. 또한 V3와 연동해 보안이 취약한 PC의 네트워크 접근을 제어하거나, 악성코드에 감염된 PC를 격리 및 자동 치료함으로써 악성코드의 감염 및 VPN을 통한 확산을 차단한다.
 
안철수연구소 총괄사업부문장 조동수 전무는 “‘트러스가드’ 네트워크 보안 제품군은 우수한 성능과 기능을 인정 받아 올해 큰 폭의 성장이 예상된다. 2010년의 사업 경험과 이번 신제품 출시로 VPN 시장을 주도해나가겠다.”라고 말했다.
 
<보충 설명 - VPN>
 
VPN[Virtual Private Network; 가상사설망]은 공중망[ADSL, VDSL, 케이블 모뎀] 위에 특정한 개인이나 회사만 이용할 수 있는 암호화된 인터넷 망을 한 번 더 구축하는 것을 말한다. VPN 상에 오가는 데이터를 보호하기 위해서는 암호화가 필수인데, 암호화 방식에 따라 SSL[Secure Sockets Layer] VPN과 IPSec[Internet Protocol Security] VPN으로 나뉜다. 안철수연구소의 트러스가드 제품군은 SSL VPN과 IPSec VPN 기능을 모두 제공하므로, 클라이언트 VPN 구성을 유연하게 할 수 있다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/05/20 18:39 2011/05/20 18:39
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/536
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 CVE-2011-0611 취약점 악용 PDF :: 2011/04/26 16:10

/취약점 이슈

4월 12일 ASEC에서는 어도비 플래쉬 플레이어(Adobe Flash Player)에 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점이었던 CVE-2011-0611을 악용한 SWF 파일이 포함된 마이크로소프트 워드(Microsoft Word) 파일이 유포되었음을 전한 바가 있다.


현재 어도비에서는 플래쉬 플레이어에 존재하는 해당 CVE-2011-0611 취약점을 제거하기 위한 보안 패치를 미국 현지 시각 4월 21일부터 배포하기 시작하였다.

워드 파일에 취약한 SWF 파일이 포함되는 방식으로 악용되었던 해당 취약점이 최근 어도비 리더 파일 포맷인 PDF 파일을 통해서도 악용되어 유포된 것이 확인 되었다.

사용자 삽입 이미지

이 번에 발견된 플래쉬 플레이어에 존재하는 CVE-2011-0611 취약점을 악용한 PDF 파일들은 기존에 발견되었던 워드 파일에 포함되었던 것과 동일하게 아래 이미지와 같이 파일 내부에 취약한 SWF 파일을 포함하고 있다.

사용자 삽입 이미지

그리고 해당 PDF 파일들이 실행되면 아래 이미지와 동일하게 아무런 내용 없이 비어 있는 PDF 파일이 열리게 된다.

사용자 삽입 이미지

실제로는 다음의 경로에 파일들이 생성되며 위 이미지와 같은 내용이 없는 PDF 파일은 다음 경로에 생성된 취약점이 존재하지 않는 정상 PDF 파일이다.

C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\AcroRd32.exe(376,832 바이트 또는 430,080 바이트)
C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\실행한 파일명.pdf


생성된 AcroRd32.exe(376,832 바이트 또는 430,080 바이트)는 외부에 위치한 특정 시스템으로 역접속(Reverse Connection)을 수행하며, 실행된 시스템의 하드웨어 및 운영 체제 정보등을 수집하도록 되어 있다.

해당 플래쉬 플레이어 CVE-2011-0611 취약점을 악용한 아크로뱃 리더 파일 포맷으로도 발견된 만큼 향후 이와 동일한 취약점을 악용한 PDF 파일들이 지속적으로 발견될 것으로 예측 됨으로 사전에 해당 취약점을 제거 할 수 있는 보안 패치를 설치하는 것이 중요하다.

현재 플래쉬 플레이어의 CVE-2011-0611 취약점을 악용한 아크로뱃 리더 파일은 V3 제품군에서 다음과 같이 진단한다.

PDF/Cve-2011-0611
SWF/Exploit
Win-Trojan/Ixeshe.376832
Win-Trojan/Ixeshe.430080

크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/26 16:10 2011/04/26 16:10
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(2) : Comment(1)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/531

  • GS test demo

    Tracked from GS test demo | 2013/04/02 21:06 | DEL

    ASEC Threat Research - 어도비 플래쉬 플레이어 CVE-2011-0611 취약점 악용 PDF

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 리더와 아크로뱃 보안 패치 배포 APSB11-08 :: 2011/04/25 19:49

/취약점 이슈

ASEC에서는 4월 12일 어도비 플래쉬 플레이어(Adobe Flash Player)에 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점(CVE-2011-0611)이 존재하며 이를 악용한 타깃 공격(Targeted Attack)이 발생하였음을 전한 바가 있었다.


미국 현지 시각으로 4월 21일 어도비에서는 어도비 아크로뱃 리더(Acrobat Reader)에도 존재하는 해당 제로 데이 취약점을 제거하기 위한 보안 패치를 배포하기 시작하였다.


이미 타깃 공격에서 실제로 해당 취약점이 악용되고 있는 만큼 해당 취약점을 악용하는 악성코드들로 인한 피해를 사전에 예방하기 위해서는 어도비에서 배포하는 보안 패치를 즉시 설치하는 것이 중요 하다.

어도비에서 배포하는 어도비 아크로뱃 리더 보안 패치는 어도비 리더 업데이트(Adobe Reader for Windows) 사이트에서 가능하다. 그리고 어도비 리더 사용자의 경우에는 어도비 제품을 이용해 아래의 절차로 업데이트 가능하다.

아래 이미지에서와 같이 사용하는 어도비 리더를 실행 한 후 [도움말] -> [업데이트 확인]을 클릭한다.

사용자 삽입 이미지

어도비 리더에서 자동으로 보안 패치들을 다운로드를 진행 한 후 다운로드 완료 후에는 아래 이미지에서와 같이 설치할 준비가 되었음을 알리는 창이 나타난다.

사용자 삽입 이미지

[설치]를 클릭하게 되면 업데이트 설치가 진행되는 과정이 아래 이미지에서와 같이 나타나게 된다.

사용자 삽입 이미지

다운로드된 보안 패치의 설치가 완료하게 되면 아래 이미지와 같이 업데이트 성공을 알려주며 시스템을 재시작 하도록 권유하고 있다.

사용자 삽입 이미지

어도비에서 개발한 아크로뱃, 리더 그리고 플래쉬 플레이어에서 발견되는 보안 취약점들을 악용한 보안 위협 형태들이 지속적으로 발견되고 증가하는 상황임으로 주기적으로 어도비에서 배포하는 보안 패치를 설치하는 것이 중요하다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/25 19:49 2011/04/25 19:49
, , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(0) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/529
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

제로데이 공격 사전 차단 기술 특허 획득 :: 2011/04/25 14:15

/보안 업계 동향

- 격리된 가상 공간에서 악성코드 실행..시스템 보호
- 사용자 신고 전에 제로데이 공격 사전 대응
- 망분리 솔루션 ‘트러스존’, V3에 적용 가능

글로벌 통합보안 기업인 안철수연구소[대표 김홍선 www.ahnlab.com, 약칭 ‘안랩’]는 22일 망분리 솔루션 ‘트러스존’, V3에 적용 가능한 가상화 기술이 특허를 획득했다고 발표했다. 특허 기술 명칭은 ‘의심스러운 행위의 수준별 분류 및 격리 실행을 통한 악성 코드 사전 대응 장치, 방법 및 그 방법을 실행하기 위한 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체’이다.
 
이 특허 기술은 사용자가 신고한 샘플을 확보하지 않고도 사전에 제로데이 공격[zero-day attack]을 무력화할 수 있다. 또한 격리된 가상 공간에서 악성코드를 실행하므로 시스템을 안전하게 보호할 수 있다.
 
이를 위해 프로그램이 수행하는 의심스러운 행위를 수준 별로 분류하고, 분류 결과에 따라 격리된 가상 공간에서 실행한다.
 
악성 행위의 수준 분류는 컴퓨터에서 작동하는 프로그램의 행위를 모니터링해 악성인지 정상인지, 악성의 정도는 어느 수준인지 분류하는 것이다. 이에 따라 사용자가 신고한 샘플을 확보하지 않고도 제로데이 공격[zero-day attack]을 무력화할 수 있다.
 
또한 악성 코드에서 주로 사용되지만 정상 코드에서도 가끔 사용되는 행위를 가상 공간에 격리해 실행한다. 가상 공간에서 악성코드를 실행하므로 시스템을 안전하게 보호할 수 있다. 또한, 사용자에게 의심스런 행위의 코드를 실행할 것인지 일일이 묻지 않기 때문에 사용자에게 불편을 주지 않는다.
 
이 특허 기술은 악성코드 대응 기술 중 시그니처[signature] 기반 대응 방법과 기존 사전 방역 방법의 문제점을 극복한 것이다[보충설명 참고].
 
이 기술이 적용될 수 있는 망분리 솔루션 ‘트러스존’은 소프트웨어와 하드웨어가 융합된 것이 장점이다. 사용자는 격리된 인터넷 영역에서도 응용 프로그램을 동일하게 사용할 수 있고 보안에 대한 걱정 없이 인터넷 뱅킹 등을 자유롭게 사용할 수 있다. 또한 4가지의 특허 기술이 탑재돼 있어 단계 별로 해킹 및 침입을 차단하고, V3와 연계해 철저한 보안성을 제공받을 수 있다.
 
<보충설명>
 
[1] 시그니처[signature] 기반 대응 방법
시그니처 기반 대응 방법은 사용자가 신고한 웹사이트를 차단하거나, 다운로드되는 파일을 보안 소프트웨어로 검사함으로써 악성코드를 배포하는 웹사이트를 식별해내는 기술이다. 이 방법은 악성코드 피해자의 사후 신고로 샘플을 수집하거나, 허니 팟[honey pot]으로 악성코드 시그니처를 추출한다. 따라서 일정한 수의 피해자가 발생할 수밖에 없고, 보안 취약점에 대한 패치가 발표되기 전에 이루어지는 제로데이 공격을 방어하기 어렵다.
 
[2] 기존 사전 방역 방법
기존 사전 방역 방법은 프로그램의 행위에 기반해 악성코드 여부를 판단한다. 그런데 탐지된 행위가 의심스러워도 정상 코드도 같은 행위를 하는 경우가 많기 때문에 100% 확실하게 판단하지 못 한다. 따라서 의심스러운 행위를 발견했을 때 그 코드를 계속 실행할 것인지를 알림 창 등을 이용해 사용자에게 묻는다. 알림 창이 빈번하게 생성되면 사용자는 불편함을 느낀다. 또한 경고를 하더라도, 전문가가 아닌 일반 사용자가 실행 여부를 결정하는 것은 사실상 어렵다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/25 14:15 2011/04/25 14:15
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/526
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

플래쉬 플레이어 CVE-2011-06112 취약점 악용 악성코드 증가 :: 2011/04/20 18:06

/악성코드 이슈

ASEC에서는 4월 12일 어도비(Adobe) 플래쉬 플레이어(Flash Player)에 알려지지 않은 제로 데이 (0-Day, Zero Day) 취약점(CVE-2011-0611)이 존재하며 마이크로소프트 워드(Microsoft Word) 파일에 포함된 어도비 플래쉬 제로 데이 취약점을 악용한 타깃 공격이 발생하였다고 전한 바가 있다.


현재 어도비에서는 플래쉬 플레이어에 존재하는 해당 취약점을 제거하기 위한 보안 패치를 4월 18일부터 배포 중에 있다.

해당 취약점을 악용하는 플래쉬 플레이어 파일 형태의 악성코드는 V3 제품군에서 SWF/CVE-2011-0611로 2011.04.12.04 엔진에서부터 진단이 가능하며, 현재 해당 악성코드는 4월 19일부터 한국 내에서도 증가하기 시작하고 있다.

사용자 삽입 이미지

현재 해당 플래쉬 플레이어 취약점을 악용하는 SWF/CVE-2011-0611 감염을 통해 온라인 게임 정보를 탈취하는 악성코드 등을 다른 외부 시스템에서 다운로드 하여 감염시키는 추가적인 감염 피해가 다수 발견되고 있다.

특히 해당 악성코드는 취약한 웹 사이트들을 통해 유포되고 있는 것으로 확인되고 있음으로 플래쉬 플레이어에 대한 보안 패치 설치와 함께 사용하는 운영체제와 웹 브라우져에 대한 보안 패치도 동시에 적용하는 것이 악성코드 감염을 예방 할 수 있다.

어도비에서 배포하는 플래쉬 플레이어에 대한 보안 패치는 아래 웹 사이트를 통해 설치 할 수 있다.


크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/20 18:06 2011/04/20 18:06
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(2) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/525

  • SEO

    Tracked from SEO | 2013/05/01 13:04 | DEL

    ASEC Threat Research -

[로그인][오픈아이디란?]
Name
Password
Homepage

Secret

어도비 플래쉬 플레이어 CVE-2011-0609 취약점 악용 PDF :: 2011/04/19 12:30

/취약점 이슈

ASEC에서는 3월 16일 제로 데이(Zero Day, 0-Day) 취약점이었던 어도비 플래쉬 플레이어(Adobe Flash Player)의 CVE-2011-0609 취약점을 악용한 플래쉬 파일(SWF)이 포함된 마이크로소프트 엑셀 파일(Microsoft Excel)이 타깃 공격(Targetted Attack)에 악용되었다고 전하 바가 있다.



현재 어도비에 의해 플래쉬 플레이어와 어도비 아크로뱃 리더(Adobe Acrobat Reader)에서 모두 해당 CVE-2011-0609 취약점을 제거할 수 있는 보안 패치가 3월 22일부터 배포 중에 있다.

엑셀 파일 형태로 악용되었던 플래쉬 플레이어의 CVE-2011-0609 취약점이 아크로뱃 리더 파일 포맷 형태로도 악용되어 유포 중인 것이 확인 되었다.

이 번에 발견된 플래쉬 플레이어에 존재하는 CVE-2011-0609 취약점을 악용한 PDF 파일은 기존에 발견되었던 엑셀 파일에 포함되었던 것과 동일하게 아래 이미지와 같이 파일 내부에 취약한 SWF 파일을 포함하고 있다.

사용자 삽입 이미지

그리고 아래와 같이 힙 스프레이 오버플로우 (Heap_spray Overflow)가 발생하도록 제작된 자바스크립트(JavaScript)도 같이 포함되어 있다.

사용자 삽입 이미지

해당 플래쉬 플레이어 CVE-2011-0609 취약점을 악용한 아크로뱃 리더 파일 포맷으로도 악용된 사례가 발견된 만큼 향후 이와 동일한 취약점을 악용한 PDF 파일들이 지속적으로 발견될 것으로 예측 됨으로 미리 해당 취약점을 제거 할 수 있는 보안 패치를 설치하는 것이 중요하다.

현재 플래쉬 플레이어의 CVE-2011-0609 취약점을 악용한 아크로뱃 리더 파일은 V3 제품군에서 다음과 같이 진단한다.

PDF/CVE-2011-0609
SWF/CVE-2011-0609

앞서 언급한 바와 같이 현재 플래쉬 플레이어에 존재하는 CVE-2011-0609 취약점을 제거하기 위한 보안 패치는 어도비에 의해 3월 22일 부터 배포 중에 있다.

어도비에서 배포하는 보안 패치는 어도비 업데이트 사이트에서 가능하며, 어도비 리더 사용자의 경우에는 어도비 제품을 이용해 아래의 절차로 업데이트 가능하다.

아래 이미지에서와 같이 사용하는 어도비 리더를 실행 한 후 [도움말] -> [업데이트 확인]을 클릭한다.

사용자 삽입 이미지

어도비 리더에서 자동으로 보안 패치들을 다운로드를 진행 한 후 다운로드 완료 후에는 아래 이미지에서와 같이 설치할 준비가 되었음을 알리는 창이 나타난다.

사용자 삽입 이미지

[설치]를 클릭하게 되면 업데이트 설치가 진행되는 과정이 아래 이미지에서와 같이 나타나게 된다.

사용자 삽입 이미지

다운로드된 보안 패치의 설치가 완료하게 되면 아래 이미지와 같이 업데이트 성공을 알려주며 시스템을 재시작 하도록 권유하고 있다.

사용자 삽입 이미지

어도비에서 개발한 아크로뱃, 리더 그리고 플래쉬 플레이어에서 발견되는 보안 취약점들을 악용한 보안 위협 형태들이 지속적으로 발견되고 증가하는 상황임으로 주기적으로 어도비에서 배포하는 보안 패치를 설치하는 것이 중요하다.
크리에이티브 커먼즈 라이센스
Creative Commons License
Writer profile
AhnLab ASEC님의 글입니다.

2011/04/19 12:30 2011/04/19 12:30
, , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Trackback(1) : Comment(0)
Trackback Address :: http://blog.ahnlab.com/asec/trackback/522
[로그인][오픈아이디란?]
Name
Password
Homepage

Secret
< PREV |  1  |  2  |  3  |  4  |  5  |  ...  8  |  NEXT >