안녕하세요? 이스트시큐리티 시큐리티대응센터(ESRC) 입니다.최근 비트코인 등과 관련된 내용으로 악성파일이 여럿 유포된 정황이 포착되어 이용자 분들의 주의를 당부드립니다. 악성파일은 이메일에 첨부되어 특정인을 대상으로 한 이른바 스피어피싱(Spear Phishing) 공격 기법이 사용되었습니다. 공격에는 DOCX 문서와 HWP 문서 등에 삽입된 EPS(Encapsulated PostScript) 개체의 보안취약점을 이용하고 있습니다. 첫번째로 DOCX 악성문서를 악용한 사례입니다. [그림 1] 악성 DOCX 문서가 실행된 후 보여지는 화면 DOCX 악성 문서의 word/media 하위 경로에 'image1.eps' 파일이 포함되어 있습니다. EPS(Encapsulated PostScript)는 Adobe..

악성코드 분석 리포트 2017. 7. 3. 22:18

WordPress Plugin Used by 300,000+ Sites Found Vulnerable to SQL Injection Attack 최근 30만 이상의 웹사이트에서 사용되고 있는 WP Statistics 플러그인에서 SQL 인젝션 취약점이 발견되었습니다. WP Statistics 플러그인은 사이트 관리자가 홈페이지 방문자수, 페이지 통계 등 사이트 이용자 수와 관련된 자세한 정보를 얻을 수 있도록 도와주는 플러그인입니다. 이번에 발견된 취약점은 사용자의 계정을 가진 공격자가 원격에서 웹사이트의 DB를 접근하고 탈취할 수 있도록 허용하는 SQL취약점입니다. WP Statistics의 SQL 인젝션 취약점은 wp_statistics_searchengine_query()를 포함한 다수의 함수에 존..

국내외 보안동향 2017. 7. 3. 17:38

2017년 5월 19일, ADLab은 Linux 커널 취약점 “Phoenix Talon”을 발견하였으며, 취약점 번호는 CVE-2017-8890、CVE-2017-9075、CVE-2017-9076、CVE-2017-9077로 명명되었습니다. 해당 취약점을 악용하면 원격에서 DoS 공격을 발생시킬 수 있을 뿐만 아니라, 공격조건이 맞으면 원격코드실행공격도 가능합니다. 해당 취약점은 Linux 4.11-rc8버전에서 처음 발견되었으며, 후에 Linux 4.11 stable 버전에서도 동일한 문제가 발견되었습니다. 해당 취약점은 이미 11년 동안 존재한 것으로 확인되었습니다. 영향받는 버전 Linux kernel 2.5.69 ~Linux kernel 4.11 커널 영행받는 오픈소스 버전 Red Hat Enterp..

국내외 보안동향 2017. 7. 3. 13:51

SSL precertificate 이란 CT (Certificate Transparency)의 일부분으로 사용되는 특수한 SSL 인증서입니다. SSL Pre-Certificate와 일반 SSL 인증서와 다른점은, SSL Pre-Certificate는 서버인증 혹은 HTTPS등에 사용되지 않는다는 점입니다. SSL precertificate의 목적은 인증서가 인증서에 직접 삽입되도록 기록하는 것입니다. 즉, precertificate은 정식 인증서 전에 존재하며, 일반 사용자들에게도 거의 노출되지 않습니다. 그렇기 때문에 일반사용자들은 SSL precertificate을 받아도 이 존재자체를 모르는 경우가 많습니다. SSL precertificate은 CT RFC중 정의되어 있습니다. SSL precert..

국내외 보안동향 2017. 7. 3. 10:49

최근 MS오피스 문서가 첨부된 이메일을 통해 Karo 랜섬웨어가 유포되고 있습니다. 초기 공격자는 피해자들에게 수천달러가 청구되었다며 첨부파일을 열도록 유도합니다. 공격자는 기업과 관련된 잘 알려진 이메일 서비스 이용 / 제목과 인사말에 수신자의 이름 넣기 / 큰 금액이지만 비현실적이지는 않은 금액 청구를 통해 사용자의 즉각적인 행동 유도하며 의심을 최소화 합니다. 첨부파일 Karo 이메일에 첨부된 오피스 문서 페이로드는 패스워드로 보호되고 있습니다. 악성 스팸에서 흔한일은 아니지만, 올해 초 몇몇 TrickBot 캠페인에도 패스워드로 보호된 오피스 문서를 이용한적이 있었습니다. 패스워드를 통해 보호하면 백신의 탐지를 보다 쉽게 우회할 수는 있을지 모르겠지만 널리 확산되지 못하기 때문에 감염율이 낮아집니..

국내외 보안동향 2017. 6. 30. 18:36

Your Linux Machine Can Be Hacked Remotely With Just A Malicious DNS Response 리눅스의 Init 프로세스 및 Systemd 프로세스에서 DNS 응답을 통해 원격으로 버퍼 오버플로우를 발생시켜 해커들이 타겟 머신에서 악성 코드를 실행할 수 있도록 허용하는 치명적인 취약점이 발견 되었습니다. 이 취약점은 CVE-2017-9445로 등록 되었으며, 로컬 프로그램들에 네트워크 명 resolution을 제공하는 ‘systemd-resolved’ DNS 응답 핸들러 컴포넌트의 ‘dns_packet_new’ 함수에 존재합니다. 보안 권고문에 따르면, 시스템이 공격자가 제어하는 DNS 서비스에서 호스트명을 검색하려고 시도할 때 특별히 제작 된 악성 DNS 응답..

국내외 보안동향 2017. 6. 30. 15:43

[6월 다섯째주] 알약 스미싱 알림 본 포스트는 알약 안드로이드 사용자 분들이 '신고하기' 기능을 통해 알약으로 신고해 주신 스미싱 내역 중 '특이 문자'와 '다수 문자'를 자체 수집, 집계하여 제공해 드리는 정보성 포스트입니다. 1. 특이 문자 No.문자 내용 1 [Web발신] 혼례참석해주셔서고맙습니다 혼례식포토보내드립니다 항상건강하세요^^2 [Web발신] 저희새인생의시작에귀한발걸음해주셔서감사합니다 포토보내드립니다 2. 다수 문자 No.문자 내용 1 저희두사람사랑의결실을이루려합니다 일시:7월3일 장소:뉴메리 2 [Web발신] 대한통운 미확인 물품이 존재합니다 확인 부탁드립니다 출처 : 알약 안드로이드기간 : 2017년 6월 24일 ~ 6월 30일

안전한 PC&모바일 세상/스미싱 알림 2017. 6. 30. 09:21

SharePoint에서 XSS 취약점(CVE-2017-8514)이 발견되었습니다. 이 취약점은 패키지 버전 및 온라인 버전에 모두 존재하며, 현재는 모두 패치가 완료되었습니다. PoC는 다음과 같습니다. http|https://?FollowSite=0&SiteName='-confirm(document.domain)-' 독일의 레드먼드매거진에 따르면, SharePoint와 OneDrive는 7.5만명이 넘는 고객이 사용중에 있으며, 1.6억명의 고객을 확보하고 있다고 합니다. SharePoint의 핵심기능은 바로 공유 기능인데, SharePoint가 제공하는 "Follow" 기능을 이용하여 손쉽게 다양한 정보들에 대한 업데이트 내역 확인이 가능합니다. 이때 SharePoint는 다음과 같은 POST req..

국내외 보안동향 2017. 6. 29. 15:50