Bad Rabbit Ransomware Outbreak Also Used NSA Exploit 러시아와 우크라이나를 큰 혼란에 빠지게 한 Bad Rabbit 랜섬웨어 사건이 발생한지 이틀 후, 보안 연구원들은 계속해서 해당 멀웨어에 대해 연구를 진행하고 있습니다. 초기에는 SMB 프로토콜을 사용하는 커스텀 스캐닝 매커니즘을 사용해 초기 피해자로부터 근처 컴퓨터로 배포되는 것으로 추측 되었으나, 금일 새로이 발표 된 보고서에 의하면 Bad Rabbit은 배포 프로세스를 강화하기 위해 수정 된 버전의 NSA 익스플로잇을 이용한 것으로 나타났습니다. NSA가 개발하고 온라인에 유출 된 사이버 무기를 글로벌 랜섬웨어가 악용한 것은 올해만 세 번째입니다. WannaCry가 NSA 사이버 무기를 사용한 첫 번째 랜..

국내외 보안동향 2017. 10. 27. 16:06

최근 RiskSense 보안연구원은 20년동안 존재하던 Windows SMB 취약점을 발견하였으며, 이를 SMBloris라 명명하였습니다. Slowloris와 SMBloris는 서버를 무력화 시킬 수 있으나, 다른점은 SMBloris는 Web서버만을 타겟으로 하고 있다는 점입니다. 이번 SMBloris 취약점은 WannaCry가 사용했던 SMB 취약점을 분석하는 과정에서를 발견하였습니다. 이 취약점을 악용하면, 공격자는 20줄의 파이선 코드와 라즈베리파이를 이용하여 원격에서 윈도우 서버를 무력화 시킬 수 있습니다. 하지만 MS는 해당 취약점에 대하여 수정하지 않겠다고 밝혔습니다. 해당 공격은 서버의 가용한 메모리를 모두 할당하며, OS는 오랜 시간동안 메모리 목록에서 할당되지 않은 메모리를 찾습니다. 이..

국내외 보안동향 2017. 8. 3. 17:30

WannaCry Inspires Banking Trojan to Add Self-Spreading Ability 보안연구원들은 최근 랜섬웨어를 전 세계로 효과적으로 유포하기 위하여, 뱅킹 트로이목마에 웜과 유사한 기능 추가를 시도중인 사이버 범죄자 그룹을 발견하였습니다. “1000029” (v24)로 알려진 크리덴셜을 훔치는 TrickBot 뱅킹 악성코드의 새로운 변종이, WannaCry와 Petya 랜섬웨어가 악용한 Windows Server Message Block(SMB)를 사용하는 것으로 나타났습니다. TrickBot은 작년부터 전 세계의 금융 기관들을 노린 뱅킹 악성코드입니다. (▶자세히 보기) 이 트로이목마는 보통 이름 없는 “국제 금융 기관”의 인보이스로 위장한 이메일 첨부파일을 통해 확산됩..

국내외 보안동향 2017. 8. 3. 15:03

안녕하세요. 이스트시큐리티입니다. SMB 취약점(MS17-010)을 이용한 PETYA 랜섬웨어가 유포되고 있습니다. 해당 취약점은 지난 5월, 전 세계적으로 큰 이슈가 되었던 워너크라이(WannaCry) 랜섬웨어가 이용한 것과 동일합니다. 이번 Petya 랜섬웨어의 유포경로는 MeDoc이라는 SW 업데이트를 통한 것으로 추정되고 있습니다. MeDoc은 우크라이나 기업과 기관에서 주로 쓰이는 세무관련 회계프로그램으로, MeDoc 홈페이지에는 자신들의 서버가 공격을 당하고 있다는 공지글이 업로드 되었습니다(현재는 삭제됨). 또한 CVE-2017-0199취약점이 포함된 doc 파일이 첨부된 이메일로도 유포 되고 있는 것으로 추정됩니다. 현재까지 Petya랜섬웨어의 피해가 가장 심각한 국가는 우크라이나, 러시아..

국내외 보안동향 2017. 6. 28. 02:07

최근 호주 카메라 운영사인 Redflex를 통해 55개의 신호 위반 카메라 및 속도 위반 카메라들이 WannaCry랜섬웨어에 감염되었습니다. WannaCry는 중요한 파일들을 암호화하고 돈을 요구한 것으로 나타났습니다. 관계자들은 “이 바이러스의 확산을 막는 시스템 패치가 완료 되었다. 카메라들에서 WannaCry를 제거하는 작업을 진행 중이다. 나머지 웹사이트들은 수일 이내에 수정 될 것이다.”고 밝혔습니다. 호주 당국은 이러한 감염이 ‘인재’라기 보다는 타겟형 사이버 공격의 결과라 생각한다며, WannaCry가 USB 드라이브를 통해 감염 된 것으로 추측 된다고 밝혔습니다. 경찰은 “카메라에서 소프트웨어 바이러스가 발견되긴 했지만, 카메라의 시스템은 손상 되지 않았다. 우리는 카메라가 감염된 시간에 ..

국내외 보안동향 2017. 6. 23. 15:42

A wormable code-execution bug has lurked in Samba for 7 years. Patch now! Samba 네트워킹 유틸리티의 관리자들이 심각한 패치가 널리 설치 될 때까지 사용자들에게 심각한 위협을 초래할 수 있는 코드 실행 취약점을 패치 했습니다. 7년동안 존재해온 결점인 CVE-2017-7494는 몇 가지 조건만 충족 된다면 단 코드 한줄로도 악성 코드를 실행시키는데 악용될 수 있습니다. 공격이 발생하려면 다음과 같은 조건이 충족되어야 합니다. 1) 외부 인터넷에서 접근 가능한 445번 포트를 통해 파일 및 프린터 공유 2) 공유파일에 쓰기권한 허용 3) 이러한 파일들의 경로가 추측 가능한 서버를 사용하는 취약한 컴퓨터 위 조건들이 충족될 경우, 공격자들은 원격에..

국내외 보안동향 2017. 6. 14. 13:29

웜으로 둔갑 가능한 코드 실행 버그, 7년 동안 Samba에 존재했던 것으로 밝혀져 A wormable code-execution bug has lurked in Samba for 7 years. Patch now! Samba 네트워킹 유틸리티의 관리자들이 심각한 패치가 널리 설치될 때까지 사용자들에게 심각한 위협을 초래할 수 있는 코드 실행 취약점을 패치했습니다. 7년 동안 존재해 온 결점인 CVE-2017-7494는 몇 가지 조건만 충족된다면 코드 한 줄로도 악성 코드를 실행시키는데 악용될 수 있는 것으로 확인되었습니다. 요구사항에는- 인터넷에서 접근이 가능한 포트 445를 통해 파일 및 프린터를 공유하고- 공유 파일에 쓰기 권한이 있도록 구성하고- 이러한 파일들의 경로에 알려진/추측 가능한 서버를 ..

국내외 보안동향 2017. 5. 25. 13:54

SMB 취약점의 위협은 아직 끝나지 않았다 WannaCry 랜섬웨어 사태 이후, 보안연구원들은 많은 해커들이 Windows SMB 취약점(CVE-2017-0143)을 악용해 공격을 시도한다는 사실을 발견했습니다. 뿐만 아니라 Eternalblue SMB취약점(MS17-010)은 이미 Metasploit에도 추가되어 많은 보안연구원과 해커들이 더 쉽게 해당 취약점을 사용할 수 있게 되었습니다. WannaCry와 같은 전세계적인 공격 이외에도, 많은 해커조직과 범죄조직에서 Eternalblue 취약점을 악용하여 크고 작은 공격을 진행하고 있습니다. 이에 이스트시큐리티는 Eternalblue 취약점을 악용한 공격들을 정리해 보았습니다. . 1) EternalRocks 웜 5월 17일, 보안연구원은 SMB 취약..

국내외 보안동향 2017. 5. 24. 10:24