Redirect to SMB 취약점 발견
최근 모든 버전의 Windows뿐만 아니라, Adobe, Apple, Box, Oracle, Symantec 등 30여 개의 제품에 영향을 끼칠 수 있는 Redirect to SMB 취약점이 발견되었습니다. 이 취약점을 이용하면 공격자들이 중간자 공격으로 정식 웹 서버와 사용자의 통신을 하이재킹하여 사용자의 계정, 비밀번호, 도매인, 해싱 된 패스워드 등의 정보를 탈취할 수 있습니다.
취약점 개요
이번 취약점은 지난 1997년 Aaron Spangler이 발견한 SMB 취약점을 악용한 것으로, “Redirect to SMB”라고 불리고 있습니다. 사용자의 클릭 한 번이면 해당 취약점을 이용하여 사용자의 계정, 비밀번호, 도매인, 해싱된 패스워드 등을 탈취할 수 있습니다.
※ SMB란?
Server Message Block의 약자로, 윈도우 환경에서 사용되는 파일이나 디렉터리, 주변장치 공유 프로토콜을 의미합니다.
공격 방법
우선, 공격자는 감염된 웹 서버를 방문하는 사용자 또는 공격하고자 하는 사용자의 트래픽에 중간자 공격을 진행해야 합니다.
방법 1.
채팅 프로그램에서 이미지의 URL를 받으면 사용자는 해당 이미지 미리보기를 시도합니다. 이 공격은 이러한 사용자의 특징을 이용한 것입니다.
1) 공격자는 file://로 시작하며, 악의적인 SMB 서버에 위치한 이미지 파일의 URL을 사용자에게 보냅니다.
2) 해당 URL을 받은 채팅 프로그램은 해당 이미지를 불러오기 위한 시도를 합니다.
3) 사용자는 아무것도 모른 채 자동으로 악의적인 SMB 서버로 접속됩니다. 이후 사용자의 계정정보들이 유출되는 것입니다.
방법 2.
HTTP를 통한 Redirect
1) 우선 클라이언트를 file:// URL로 리다이렉트 시키기 위해 모든 요청을 단순히 HTTP 302로 응답하는 HTTP서버를 구축합니다.
2) 클라이언트가 file:// URL을 요청하면 서버에서는 HTTP 302로 응답합니다.
3) 클라이언트는 자동으로 HTTP 302에 포함된 주소, 즉 악의적인 SMB 서버로 접속합니다.
* HTTP에서 302란 상태코드로써 redirection을 의미합니다. 웹사이트 접속 시, 해당 웹사이트가 다른 주소의 서버에 있으므로 서버에서 자동으로 웹사이트가 있는 서버로 redirection 시켜주는 것입니다.
방법 3.
임의의 Windows어플리케이션을 이용한 “MITM공격”
1) 윈도우에는 어플리케이션의 업데이트 등을 위해 백그라운드 접속을 허용하는 API 함수들이 있습니다.
2) 해당 함수들을 이용하면 사용자가 아무것도 클릭하지 않은 상황에서도 공격을 당할 수 있습니다.
[해외보안동향] 파일이 없는 멀웨어 발견 (2) | 2015.04.23 |
---|---|
HTTP.sys 원격 코드실행 취약점 (CVE-2015-1635, MS15-034) 주의! (0) | 2015.04.17 |
[해외보안동향] 워드프레스 WP-Super-Cache 플러그인에서 심각한 취약점 발견 (0) | 2015.04.15 |
[해외보안동향] 악성코드를 숨긴 가짜 게임 데모판 주의! (0) | 2015.04.13 |
[해외보안동향] 크롬 브라우저의 충돌을 일으키는 AwSnap 버그 발견 (2) | 2015.04.09 |
댓글 영역