Expert found a 1-Click RCE in the TikTok App for Android 이집트의 보안 연구원인 Sayed Abdelhafiz가 틱톡 안드로이드 애플리케이션에서 연계 시 원격 코드 실행으로 이어질 수 있는 다수의 취약점을 발견했습니다. Abdelhafiz는 아래와 같이 밝혔습니다. “틱톡 안드로이드 애플리케이션을 테스트하던 중 여러 위험한 공격 벡터를 통해 연계 시 원격 코드 실행으로 이어질 수 있는 취약점을 다수 발견했습니다.” 발견된 취약점 목록은 아래와 같습니다. - TikTok WebView의 범용 XSS - AddWikiActivity의 또 다른 XSS - 임의 컴포넌트 시작 - Zip Slip 취약점 - TmaTestActivity - 원격 코드 실행(RCE) 해당..

국내외 보안동향 2021. 3. 19. 14:08

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 인도에서 문자를 통한 악성 앱 공격이 화제가 됐었습니다. 이는 악성 앱 자체나 공격 방법이 화젯거리 라기 보다 인도 정부의 반중 정서에 따라 중국의 유명 SNS 앱인 Tiktok을 인도에서 사용 금지하는 시점에 Tiktok을 사칭한 공격이었기 때문입니다. 특히 Tiktok은 전체 사용자의 50% 이상이 인도 사용자일 정도로 인도에서의 인기는 대단합니다. 공격자는 이런 이슈에 편승하여 Tiktok 앱으로 사칭한 악성 앱을 유포하였습니다. 이렇게 유포된 악성 앱은 의외로 별다른 악성 행위를 하지는 않으며 단지 광고 노출을 통해 금전적인 수익을 노린 것으로 추측됩니다. [그림] 악성 앱이 보낸 문자 Trojan.Android.Agent는 ..

악성코드 분석 리포트 2020. 8. 19. 09:00

2019년 2월 27일, 미국연방통상위원회(FTC)는 '어린이 온라인 프라이버시 보호법'(COPPA) 을 위반하고, 부모의 동의 없이 13세 이하 어린이들의 이름, 이메일 및 기타 개인정보들을 수집하였다는 이유로 해외버전 TikTok에 과징금을 부과하였습니다. FTC의 TikTok에 대한 조사는 이미 오래전부터 시작되었습니다. TikTok의 원조인 Musical.ly는, Tiktok 보다 더 일찍 해외시장에 진출하였습니다. FTC가 공개한 내용에 따르면, Musical.ly 서비스에 가입하려면 사용자 이메일, 전화번호, 아이디, 이름 및 성 등의 개인정보들을 제공해야 하며, 이러한 정보들을 제공해야만 다른 사용자들의 동영상에 좋아요를 누르거나 메세지를 보내는 등이 가능해 진다고 밝혔습니다. 사용자의 정보..

국내외 보안동향 2019. 2. 28. 15:40