소프트레터

카스퍼스키, 플래시 취약점악용 차단 기술특허 발표

비트펀 — Tue, 9 Aug 2016 14:50:01 +0900

카스퍼스키가 최근 어도비플래시를 중심으로 한 취약점악용을 막을 수 있는 기술특허를 확보했다. 어도비플래시는 2015년 가장 많이 악용되는 프로그램으로 선정되는 등 사이버보안 측면에서 위험한 프로그램으로 악명이 높다. 자바, 어도비리더, 마이크로소프트 오피스 및 실버라이트 등 다른 프로그램도 취약점악용이 많지만 플래시의 경우 널리 사용되고 취약점의 영향이 중대할 뿐 아니라 사용자의 의한 업데이트가 소극적이라는 점으로 인해 압도적으로 높은 위험성을 가지고 있다.

컴퓨터를 감염시키는 과정은 크게 두 가지가 있다. 먼저 사용자의 직접적인 행동이 개입되는 과정으로 실행파일 다운로드 및 실행, 악성매크로가 포함된 문서 열기, 악성링크 클릭 등이 있다. 한편 범죄자 측에서 운영체제나 프로그램 등의 취약점을 발견하고 악용하는 방식의 경우에는 별도로 사용자의 행동이 요구되지 않는다. 예를 들어 웹브라우저에 취약점이 있다면 악성웹페이지를 열기만 해도 해킹이 가능해진다. 컴퓨터를 감염시키기 가장 쉬운 경로는 인터넷이며 따라서 웹사이트를 통한 취약점악용이 특히 인기를 끌도 있다. 이 경우 취약점악용은 웹브라우저에 국한되지 않으며 웹사이트 멀티미디어 재생에 필요한 자바 또는 어도비플래시 구성요소도 취약점악용의 대상이 되기도 한다.

플래시 영상을 프로그램으로 열리는 파일이 아닌 프로그램 자체로 이해될 수 있다. 플래시 영상은 웹사이트의 다른 컨텐츠와 합께 다운로드되지만 어도비플래시 구성요소를 통해 독자적으로 실행된다. 이 때 어도비플래시는 안전을 위해 자체적인 가상환경에서 이들 프로그램을 실행하며 이를 통해 인터넷에서 받은 코드가 컴퓨터에서 어떤 행동을 개시하려고 해도 파일이나 문서 또는 중요 운영체제 구성요소에 접근할 수 없다.

그러나 이는 이론적으로만 타당하며 실제로는 플래시 취약점악용을 통해 플래시의 가상화 보안대책도 우회될 수 있다. 아울러 플래시 가상환경은 그 속성상 공격자의 의도를 시스템으로부터 숨길 수 있는 수단이 되기도 한다. 특히 해커가 피해자별로 고유한 파일이름을 지정하여 제각기 다른 악성코드 파일을 생성할 수도 있다. 이는 대규모 파일목록에 의존하여 맬웨어를 탐지하는 기존 안티바이러스에게 문제가 된다. 수백만에 달하는 취약점악용은 그 기본적인 방식은 똑같지만 보안솔루션 입장에서는 모두 다르게 인식되기 때문이다. 또한 어도비플래시 프로그램은 프로그래밍 언어 3종으로 제작될 수 있으며 이로 인해 정상적인 플래시 컨텐츠로부터 악성컨텐츠를 탐지해 내는 과정이 더욱 복잡해질 수 있다.

결국 파일이름 표시의 문제도 있고 가상환경을 통해서도 안전을 담보할 수 없기 때문에 보안커뮤니티에서는 근본적 문제해결에 대한 논의가 한동안 정체된 상태였다. 관건은 악성코드를 실행하기 전에 그 속성을 파악하는 방법이다. 이론적으로는 어도비플래시에 코드를 전달하기 전에 별도로 가상환경을 구동할 수도 있으나 이 방법은 상시로 사용하기에는 자원도 많이 소요되고 너무 복잡하다.

카스퍼스키 연구진 Anton Ivanov와 Alexander Liskin이 고안한 신기술은 의심코드에 대한 에뮬레이션을 토대로 하고 있으며 작은 차이점을 가진 유사 오브젝트 다수를 훨씬 빠르게 분석할 수 있다. 연구진은 가상스택머신(virtual stack machine) 접근방식을 채택하여 코드를 직접 실행하지 않고도 그에 대한 정보를 수집할 수 있는 방식을 구현했다.

악성 플래시 오브젝트는 굳이 실행되지 않더라도 본래 속성을 밝혀낼 수 있다. 카스퍼스키 신기술을 적용한다면 맬웨어 제작자가 개별 코드에 변경을 가했다 해도 원래 기획된 악성코드의 속성을 파헤칠 수 있다. 결국 플래시 취약점악용을 파악할 경우 이와 동일한 수법을 사용하는 모든 맬웨어를 자동 차단할 수 있다. 이 신기술을 카스퍼스키 솔루션에 적용한 결과 이들 위협에 대한 탐지율이 두 배 가까이 상승했다. 이 정도의 탐지율 상승은 다른 안티바이러스에서는 목격하기 힘든 수준이다.

https://usblog.kaspersky.com/flash-exploit-patent/7483/

Marvin the Robot, Disarming Flash exploits, 8. 4. 2016.

번역⋅요약: madfox

참고링크

엔드포인트 솔루션을 활용하여 랜섬웨어의 위협으로부터 기업 데이터 보호하기

비트펀 — Tue, 9 Aug 2016 14:21:49 +0900

게시일: 2016-08-02 l 작성자: Trend Micro

트렌드마이크로에서 제안하는 다층보안설계 중 엔드포인트 솔루션에 대해 설명하고자 합니다.

이 블로그는 네 파트로 이루어진 시리즈의 두 번째 파트로써, 랜섬웨어가 어떤 기술을 활용하여 엔드유저와 기업에 영향을 미치는 지에 대하여 설명합니다. 위협을 최소화하기 위한 다층보안 설계는 게이트웨이 보안 및 엔드포인트, 네트워크, 그리고 서버에 각각 알맞은 보안을 도입해야 한다는 것을 의미합니다.

게이트웨이 보안을 다룬 트렌드마이크로의 블로그를 보시려면, 하단을 클릭하세요:

Know the different ransomware arrival tactics, and how to stop them in the gateway (영문)

FBI는 2016년 랜섬웨어 피해가 자그마치 10억 달러 이상 될 것이라 추정했습니다. 랜섬웨어 비즈니스는 급속히 팽창하고 있으며, 사이버 범죄자들은 피해자의 비즈니스 형태 및 규모와 상관없이 끊임없는 공격을 가하고 있습니다.

일반적으로 중소기업에서는 체계적인 보안 솔루션을 유지할 비용적 여유가 없기 때문에 랜섬웨어 보안 등에 큰 투자를 하고 있지 않습니다. 조사에 따르면, 미국 중소기업의 약 65%는 랜섬웨어에 대비한 보안 솔루션을 도입하지 않은 것으로 밝혀졌습니다. 또한, 다층보안설계에 따른 보안 시스템을 구축하고 있다고 하더라도, 파트너사, 벤더, 직원 등의 신뢰할 만한 출처로부터 오는 위협으로 인해 기업 네트워크가 침해 당할 위험이 있습니다. 이러한 상황을 살펴보았을 때, 동작 모니터링과 애플리케이션 컨트롤 기능이 가능한 엔드포인트 솔루션은 기업 랜섬웨어 방어의 최전방이라고 할 수 있습니다.

그림1. 랜섬웨어 공격 종류와 전용 솔루션

동작 모니터링 기능의 이해

트렌드마이크로 오피스스캔 및 Worry-Free 비즈니스 시큐리티와 같은 솔루션에서 제공하는 동작 모니터링 기능은 “이례적”이거나 정상적이지 않은 시스템의 동작 또는 변경을 추적하고 차단합니다. 해당 기능은 암호화, 작업 변경, 파일 드롭, C&C서버 커뮤니케이션 등에 기반하여 랜섬웨어와 크립토랜섬웨어 변종의 알려진 또는 알려지지 않은 공격의 실행을 차단할 수 있습니다. 또한 정보 탈취 랜섬웨어인 RAA 랜섬웨어와 MIRCOP 변종을 차단할 수 있습니다. 동작 모니터링 툴은 시스템 내 저장된 특정 파일을 암호화 하려는 모든 프로그램을 종료시킬 수 있습니다. 실행되는 프로그램이 화이트 리스트에 포함되지 않거나, 랜섬웨어 공격과 관련된 것으로 판정되면, 해당 프로세스의 실행을 즉시 중지합니다.

그림 2. 랜섬웨어가 암호화하는 파일 종류가 나열된 스크린샷

이메일 스캐너를 우회하기 위해 스크립트로 디자인된 Locky, TeslaCrypt 4.0(탐지명 CRYPTESLA), CryptoWall 3.0(탐지명 CRYPTWALL)r과 같은 랜섬웨어 또한 동작 모니터링으로 탐지가 가능합니다. 당사의 동작 모니터링 기술은 VBScript를 사용하는 랜섬웨어(Cerber 및 Locky 변종)와 Jscript 랜섬웨어(RAA)를 탐지 및 차단합니다.

섀도우 복사본을 삭제하는 랜섬웨어 그룹도 존재하는데, 이러한 행동이 특정 OS에서는 일반적인 프로세스로 분류되기 때문에 곧바로 차단되지 않는 경우도 있습니다. 하지만 동작 모니터링 기술로 랜섬웨어 감염의 가능성이 있다고 판단할 수 있습니다.

랜섬웨어 변종 중에는 정식 프로그램, 서비스, 프레임워크 등을 악용하여 시스템이 악성코드를 감치 및 제거하는 것을 우회하기도 한다. 예시로, PowerWare는 윈도우 PowerShell을 악용한다. 동작 모니터링 툴은 정식 프로그램, 서비스, 프레임워크가 악성으로 활용되거나, 정식 프로그램이 암호화에 이용될 경우와 같은 특정 이벤트를 감시하고 방지할 수 있습니다.

그림 3. PowerShell을 악용하는 PowerWare 코드

일반 사용자들의 경우, 랜섬웨어 악성코드가 일반적인 정식 프로그램에 의해 실행될 경우 크게 주의 깊게 살펴보지 않을 수도 있습니다. 하지만, 동작 모니터링 툴이 있다면, 랜섬웨어의 침투 경로와 후킹 등과 같은 행위를 저지하고 차단할 수 있습니다.

애플리케이션 컨트롤 기능의 이해

동작 모니터링 이외에 엔드포인트 솔루션에서 실행할 수 있는 좋은 대응 기능은 바로 애플리케이션 컨트롤 입니다. 화이트 리스팅(White Listing)이라고도 알려진 해당 기능은, 랜섬웨어의 실행을 방지하여 백업 파괴 등의 더 큰 피해를 방지할 수 있는 기능입니다. 애플리케이션 컨트롤은 비악성 경로, 파일, 프로세스만이 시스템에서 실행하도록 합니다.

그림 4. 트렌드마이크로의 애플리케이션 컨트롤이 JIGSAW 실행 방지

IT 관리자들은 애플리케이션 컨트롤을 통해 시스템에서 실행할 수 있는 프로그램, 파일, 프로세스를 결정할 수 있습니다. 엔드포인트에서 카테고리, 벤더, 앱, 또는 기타 역학적 평가 가치들로 목록을 만들 수 있습니다. 앱이 허용될 경우, 해당 앱의 업그레이드 버전 또는 업데이트 버전도 사용할 수 있습니다. IT 관리자는 시스템 파일, 데스트탑 앱, 모바일 앱 등의 안전 앱 디폴트 목록을 사용할 수 있다.

앱을 화이트 리스팅 하는 것 이외에도 애플리케이션 컨트롤은 특정 파일 경로에서 프로그램, 파일, 프로세스가 실행하는 것을 방지합니다. IT 관리자들은 특정 디렉토리에 관한 블로킹 룰(Blocking Rule)을 생성할 수 있습니다. 랜섬웨어 변종 중에는 일반적으로 %Temp% 또는 %User Temp% 디렉토리에 복사본을 다운로드 합니다. 해당 경로는 일반적으로 대다수의 악성코드가 사용하는 것입니다. JIGSAW와 같은 랜섬웨어는 %Application Data% 과 %AppDataLocal%의 파일 경로를 사용합니다. IT 관리자들은 특정 변종이 일반적으로 사용하는 경로를 알아내서, 해당에 대한 블로킹 룰을 생성할 수 있습니다.

그림 5. 트렌드마이크로 애플리케이션 컨트롤이 차단할 수 있는 특정 경로

트렌드마이크로의 대책

랜섬웨어가 시스템에 침투할 수 있는 방법은 무궁무진하기 때문에, 조직에서는 다층의 방어막으로 엔드포인트, 네트워크와 서버를 지켜야 합니다. 동작 모니터링과 애플리케이션 컨트롤은 랜섬웨어가 게이트웨이를 통과했을 때를 대비한 부가적인 방어막입니다. 위협이 엔드포인트까지 도달하여 기업의 중요 데이터를 포함한 기업 파일을 암호화하기 시작하면 복구가 어렵습니다. 랜섬웨어가 섀도우 복사본을 삭제하거나 암호화보다 더 악의적인 행동을 하게 된다면, 기업 입장에서는 돈을 내고 복구하는 방법 밖엔는 없습니다.

트렌드마이크로 Deep Discovery Email Inspector는 랜섬웨어가 포함된 스피어피싱 이메일을 탐지하여 사용자 수신함에 도달하기 전 사전에 예방할 수 있습니다. 맞춤형 샌드박스 기술로 악성 마크로를 사용하는 랜섬웨어 또한 발견이 가능합니다.

네트워크 보호를 위한 트렌드마이크로 Deep Discovery Inspector는 맞춤형 샌드박스를 이용하여 네트웨크 레벨에서 랜섬웨어를 발견합니다. 이 솔루션은 암호화 행위, 백업 자료의 변경 및 다량의 파일 변경 등을 탐지합니다. 또한 스크립트 애뮬레이션 (script emulation), 제로 데이 공격, 랜섬웨어에 흔히 발견되는 비밀번호가 설정된 악성파일 등을 찾아낼 수 있습니다. 트렌드마이크로 Deep Security는 랜섬웨어가 익스플로잇 킷을 악용하여 시스템과 서버의 취약점을 통한 침투를 방지하여 물리/가상/클라우드 형태로 존재하는 기업 서버에 접근하는 것을 방지합니다.

중소기업의 경우, 트렌드마이크로 Worry-Free 비즈니스 시큐리티 프로그램을 활용하여 랜섬웨어의 탐지 및 차단을 위한 동작 모니터링과 웹 평판 기술을 제공합니다.

트렌드마이크로에서 제공하는 무료 툴인, 트렌드마이크로 화면잠금형 랜섬웨어 툴과 크립토 랜섬웨어 툴을 활용하여 랜섬웨어 감염의 피해를 복구할 수 있습니다.

원문: How Endpoint Solutions Can Protect Businesses Against Ransomware

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

엔드포인트 솔루션을 활용하여 랜섬웨어의 위협으로부터 기업 데이터 보호하기

https://www.trendmicro.co.kr/kr/blog/how-endpoint-solutions-can-protect-businesses-against-ransomware/index.html

참고링크

https://nakedsecurity.sophos.com/2016/08/03/beware-of-ransomware-hiding-in-shortcuts/

바로가기로 위장하는 랜섬웨어

비트펀 — Mon, 8 Aug 2016 13:58:28 +0900

랜섬웨어는 컴퓨터를 감염시키는 즉시 파일을 암호화시키고 천연덕스럽게 복호화툴 구매를 제안한다. 만약 최근에 백업을 해 뒀다면 돈을 낼 필요가 없겠지만 백업이 없는 상태고 데이터를 복구해야 한다면 돈을 낼 수밖에 없다. 물론 맬웨어 제작자의 실수로 인해 복호화 전문가들이 무료 복호화방법을 찾아내는 경우도 있긴 하지만 이는 지극히 드문 경우다.

랜섬웨어는 주로 이메일 첨부물의 형태로 배포되는데 최근 사례를 표시한 위 그림을 보면 랜섬웨어 제작자들은 DOCX 워드파일이나 JS 자바스크립트파일의 형태로 만든 악성파일을 zip 압축파일에 넣는 방법을 즐겨 사용함을 알 수 있다. 사실 이렇게 압축할 필요 없이 직접 워드문서 또는 자바스크립트를 첨부할 수도 있으며 이 경우 악성코드 실행에 필요한 클릭 과정이 줄어들기도 한다. 하지만 악성코드를 압축파일에 넣는 방법은 세 가지 목적이 있다. 우선 zip과 같은 압축파일은 자바스크립트 파일과는 달리 이메일 첨부물로 흔히 볼 수 있어서 눈에 띄는 인상을 피할 수 있다. 그리고 압축파일의 경우 악성코드 실행에 필요한 클릭 수가 늘어나기 때문에 대부분의 기업이 zip 첨부물에 대해서는 개별 파일에 비해서는 다소 관대하게 대하는 경향이 있다. 아울러 압축파일을 여는 과정은 사용자가 악성코드에 실제 접근할 때 시각적으로 이메일프로그램가 분리되는 효과도 있다.

압축파일을 열면 윈도우 탐색창이 뜨면서 비정상적인 이메일 첨부물이 아닌 믿을 수 있는 일반적인 파일이 들어 있다는 인상을 심어주게 된다. 랜섬웨어는 exe 파일, 엑셀 스프레드시트, PDF, batch 파일 등 다양한 형태로 배포될 수 있지만 최근에는 주로 워드 문서파일과 자바스크립트파일의 형태로 퍼지고 있다. 대부분의 워드문서는 단순 텍스트나 이미지만 있으므로 안전하지만 매크로나 내장된 프로그램 명령어를 담고 있을 수도 있으며 이 경우 랜섬웨어와 같은 맬웨어를 다운받아 설치할 수 있다. 한편 자바스크립트파일은 아이콘 모양이 종이처럼 생겨서 무해한 텍스트파일로 보이지만 사실은 보통의 exe 파일이 수행 가능한 작업을 모두 할 수 있는 프로그램이다.

최근 이들 두 유형 외에 LNK 파일이 새로운 배포유형으로 떠오르고 있다. LNK는 Shell Link Binary 파일인데 일반적인 사용자에게는 바로가기(shortcut)로 잘 알려져 있으며 다른 파일로 위장이 용이하기 때문에 맬웨어제작자들이 종종 사용해 왔다.

위 그림을 보면 왼쪽은 MyDoc.pdf 파일이고 오른쪽은 모양은 같지만 오른쪽 하단 화살표를 보면 링크나 바로가기임을 알 수 있다. 물론 해당 파일을 명령 프롬프트를 통해 조회하거나 마우스 우클릭으로 속성을 조회하면 상세정보를 볼 수 있다. 위 그림을 보면 탐색창 설정을 통해 파일 확장자를 보이도록 했음을 알 수 있지만 LNK 파일의 경우 바로가기 대상이 되는 파일의 이름만 보이며 자체적인 파일이름 및 확장자는 표시하지 않는다.

LNK 파일은 또한 위 그림과 같이 파일이름을 변경하고 아이콘까지 다르게 지정할 수 있으며 명령을 실행하도록 할 수도 있다. 위 LNK 파일은 INVOICE.pdf.lnk로 cmd.exe를 통해 명령 프롬프트를 실행하여 s.js라는 자바스크립트파일을 생성 및 실행하도록 설정된 상태다. 이 파일은 PDF와 아무 관련이 없는데도 INVOICE.pdf라는 PDF파일로 표시되며 클릭하면 명령 프롬프트를 통해 생성된 s.js 파일을 실행하여 Wscript.Echo() 함수를 통해 메시지를 띄우게 된다.

이렇게 보면 오늘날 워드문서파일 및 자바스크립트파일에 대한 경각심이 높아진 상태에서 사이버범죄자 측이 LNK 파일을 악용하리라는 점을 짐작할 수 있다. 위 내용처럼 LNK 파일은 파일 확장자를 표시하는 설정을 따르지 않으며 실제 행동과 일치하지 않는 아이콘을 부여받을 수 있기 때문에 아주 매력적인 기만수단이 될 수 있다.

위에서 확인한 각 이메일은 위 INVOICE.pdf의 경우과 유사한 수법을 사용하는 LNK 파일을 첨부물로 가지고 있다.

LNK 감염은 랜섬웨어 외에도 다양한 악성코드를 배포할 수 있으며 피해자별로 운영체제 버전, 시간대, 지리적 위치 등에 따라 제각각 다른 악성코드를 퍼뜨릴 수 있다.

랜섬웨어 등 악성코드 방지요령

1.윈도우에서 파일 확장자가 보이도록 설정한다. 물론 이 방법은 LNK 파일에 대해서는

소용이 없지만 적어도 이를 제외한 모든 파일의 확장자를 보여준다는 면에서 보안향상에 도움이 된다.

2. 요청하지 않은 첨부물을 주의한다.

3. 실시간 안티바이러스 및 웹필터링 솔루션을 사용하고 업데이트를 최신으로 유지한다.

4. 이메일에 첨부된 LNK 파일은 열지 않는다.

5. 이메일첨부물로 허용되는 파일 목록을 확인한다. 시스템관리자 대부분은 exe 파일이나 미디어파일 등 잘 알려진 파일유형 첨부물을 이메일 유입단계에서 차단한다. LNK 파일의 경우처럼 사이버범죄자 측에서 행동양상을 바꿀 경우 해당 차단목록을 확인하고 필요한 경우 목록을 갱신할 필요가 있다.

Paul Ducklin, Beware of ransomware hiding in shortcuts, 8. 3. 2016.

번역⋅요약: madfox

참고링크

뱅킹 트로이목마로 이중인증 무력화

비트펀 — Mon, 8 Aug 2016 13:03:05 +0900

문자메시지를 통한 이중인증은 은행들이 많이 사용하는 방식이다. 이중인증은 물론 암호만 확인하는 방식보다는 안전하지만 결코 무적은 아니며 보안전문가 그리고 맬웨어제작자들은 10년 전 이중인증이 널리 채택되기 시작할 당시에 이미 이를 어떻게 속일 수 있는지 간파해 냈다. 그렇기 때문에 트로이목마 제작자들은 일회용 문자메시지 인증을 어렵지 않게 뚫을 수 있으며 그 과정은 다음과 같다.

1. 사용자가 스마트폰에서 정상적인 뱅킹 앱을 실행한다.

2. 트로이목마가 뱅킹 앱을 탐지하고 해당 앱의 인터페이스를 복사하여 자신을 위장한다. 이 경우 가짜 화면과 원래 화면과 동일하게 보인다.

3. 사용자가 가짜 앱에 로그인 아이디와 비밀번호를 입력한다.

4. 트로이목마가 범죄자 측에 로그인 정보를 전송하면 범죄자가 이 정보를 이용하여 사용자의 뱅킹 앱에 접속한다.

5. 범죄자가 자신의 계좌로 돈을 이체하는 과정을 개시한다.

6. 원래 사용자의 스마트폰에 일회용 인증번호가 문자메시지로 전송된다.

7. 트로이목마가 문자메시지에서 비밀번호를 추출하여 범죄자 측에 전송한다.

8. 트로이목마는 해당 문자메시지를 사용자가 확인하지 못하도록 한다. 따라서 원래 사용자는 실제로 계좌이체내역을 확인하기 전까지는 트로이목마의 해킹과정을 알지 못한다.

9. 범죄자는 전송받은 인증번호를 통해 이체를 완료하고 돈을 챙긴다.

오늘날의 뱅킹 트로이목마라면 하나같이 문자메시지 이중인증을 속일 수 있다는 말은 결코 과장이 아니다. 사실 맬웨어제작자들은 은행들이 이중인증과 같은 방어대책을 채택하는 데 적응하는 것일 뿐이다.

사실 위와 같은 해킹이 가능한 악성앱은 결코 적지 않다. 카스퍼스키 연구진은 최근 몇 개월에 걸쳐 3종의 맬웨어에 대한 상세 소개글을 작성한 바 있으며 이를 간략히 요약하면 다음과 같다.

1. Asacub: 본래 스파이앱이었으나 트로이목마로 개량된 후 모바일뱅킹에서 돈을 빼돌릴 수 있다.

2. Acecard: 30종에 달하는 뱅킹앱 인터페이스를 복제할 수 있는 강력한 트로이목마로 현재 모바일맬웨어는 Acecard의 방식을 따르는 추세에 있다. 예전 트로이목마가 하나의 정해진 은행이나 결제서비스를 표적으로 삼았다면 오늘날의 트로이목마는 여러 앱을 동시에 위조할 수 있다.

3. Banloader: 브라질에서 만들어진 트로이목마로 컴퓨터와 스마트폰에서 동시에 실행될 수 있다.

결국 오늘날의 뱅킹트로이목마를 막기에 이중인증은 역부족이다. 이는 사실 몇 년 전부터 이미 존재했던 문제며 앞으로도 이 상황이 변하지는 않을 것으로 보인다. 그렇기 때문에 추가적인 보안대책이 필요하다. 우선 공식 채널을 통해서만 앱을 설치하도록 해야 하지만 구글 플레이스토어나 애플 앱스토어에 트로이목마가 침투한 사례가 있기 때문에 이 방법도 완전히 신뢰할 수는 없다. 따라서 카스퍼스키 솔루션과 같은 우수한 모바일 안티바이러스를 설치하여 사용할 필요가 있다.

https://usblog.kaspersky.com/banking-trojans-bypass-2fa/6849/

Alex Drozhzhin, How banking Trojans bypass two-factor authentication, 3. 11. 2016.

번역⋅요약: madfox

참고링크

Acecard 안드로이드 트로이목마

비트펀 — Fri, 5 Aug 2016 15:31:58 +0900

오늘날 맬웨어의 진화과정에는 일정한 패턴이 있다고 여겨진다. 우선 기본적인 기능만 있고 악성활동은 거의 없이 조용히 작동하는 맬웨어가 주로 트로이목마의 형태로 등장한다. 이 초기 악성코드는 배포되고 얼마 지나지 않아 여러 안티바이러스 업체에게 포착되긴 하지만 아직까지는 별다른 주목을 받지 못하는 잠재적 악성코드에 불과할 뿐이다.

시간이 지나고 나면 해당 트로이목마는 추가 기능을 갖추고 본격적인 위해를 가할 수 있게 되며 마지막 단계에서는 대규모 공격이 개시됨에 따라 수천 대의 기기가 감염되고 트로이목마가 본래 기획된 행동을 개시한다. 얼마나 큰 피해가 야기되는지는 트로이목마의 구체적인 유형에 따라 달라지는데 이는 수백 달러에 달하는 돈을 뜯어내는 랜섬웨어가 될 수도 있고 신용카드라든지 스파이툴을 통해 개인정보를 탈취하는 뱅킹트로이목마(banking trojan)가 될 수도 있다.

Asacub는 위와 같은 단계별 진화과정을 단적으로 보여주는 사례로 처음에는 단순한 피싱프로그램이었지만 이후 강력한 기능을 갖춘 뱅킹트로이목마로 진화했다. 이러한 Asacub보다 더욱 흉악하다고 할 수 있는 악성코드가 바로 Acecard다. Acecard 안드로이드 뱅킹트로이목마 계열 악성코드로 다른 뱅킹트로이목마와 마찬가지로 모바일 금융어플리케이션의 인터페이스에 자체 피싱 입력창을 덮어씌움으로써 사용자로 하여금 카드정보를 입력하도록 유도한다. 사용자가 입력완료 등의 기능을 실행하면 입력된 데이터가 탈취되며 악성코드 제작자 측에서는 카드에서 자기네 계좌로 돈을 빼돌리거나 해당 개인정보를 제3자에게 매각할 수 있다.

Acecard가 특히 돋보이는 이유는 우선 일반적인 뱅킹트로이목마가 고작 몇몇 뱅킹 어플리케이션만 복제 가능한 데 비해 30종에 달하는 은행 및 결제서비스를 복제할 수 있다는 점에 있다. 특히 중앙 서버로부터 별도의 명령을 부여받으면 사실상 모든 종류의 어플리케이션을 복제할 수 있기 때문에 실제로 공격대상이 되는 앱은 훨씬 많아질 수 있다. 아울러 Acecard의 복제대상이 뱅킹어플리케이션에 국한되지 않는다는 점도 위험하다. Acecard는 페이스북, 트위터, 인스타그램 등 모바일 소셜네트워크앱 그리고 왓스앱, 스카이프 등 메신저를 복제할 수 있고 페이팔과 구글 지메일 계정까지 흉내낼 수 있으며 특히 구글플레이스토어와 구글플레이뮤직에 대해서까지 피싱창을 구현할 수 있다.

Acecard는 일반적인 이메일 스팸으로도 배포되지만 플래시 등 유용한 유틸리티로 위장할 수도 있다. 참고로 안드로이드용 플래시는 2012년 이미 지원이 중단됐기 때문에 현재 정식으로 서비스가 제공되는 안드로이드 플래시 플레이어는 존재하지 않는다. 또한 구글플레이스토어를 통해 Acecard를 다운받는 트로이목마도 발견됐다. Acecard는 2014년 2월 처음 발견될 당시만 해도 특별한 악성행동을 보이진 않았지만 1년 반이 지나면서 신기능이 추가됨에 따라 실질적인 위협으로 거듭났다. 카스퍼스키 연구진은 Acecard 변종을 10종 넘게 발견했으며 각 버전은 더욱 강력한 기능을 갖춰 나가고 있다. 특히 카스퍼스키 선임맬웨어분석가 Roman Unuchek은 최근 변종을 두고 "현존 최악의 위협"으로까지 평가했다. Acecard의 본격적인 공격은 2015년 5월 시작됐으며 9월에 이르기까지 6천 명이 넘는 사용자가 공격에 노출됐다. Acecard는 호주에서 뱅킹 사이버공격이 급증한 원인이며 러시아, 독일, 오스트리아, 프랑스에서도 피해사례가 속출했다. Acecard 배후세력은 러시아어 구사자로 추정된다.

모바일 랜섬웨어 방지요령

1. 구글플레이와 같은 공식 채널을 통해서만 어플리케이션 설치. 안드로이드 보안설정을 통해 알지 못하는 출처를 통한 앱 설치를 차단해야 한다.

2. 펌웨어와 어플리케이션을 주기적으로 업데이트한다. 앱의 경우 자동 업데이트가 가능하지만 시스템은 수동으로 업데이트를 직접 해야 한다.

3. 강력한 보안솔루션 사용. 맬웨어는 구글플레이와 같은 공식채널에도 잠입할 수 있으며 미식별 취약점을 파고드는 취약점악용도 가능하기 때문에 별도의 보안솔루션이 필요하다.

https://usblog.kaspersky.com/acecard-android-trojan/6745/

John Snow, Android trump card: Acecard, 2. 22. 2016.

번역: madfox

참고링크

Satana 랜섬웨어 소개

비트펀 — Fri, 5 Aug 2016 15:15:54 +0900

러시아어권에서 만들어졌다고 추정되는 Satana 랜섬웨어는 두 가지 기능을 가지고 있다. 우선 윈도우 마스터부트레코드(master boot record, MBR) 파일을 암호화시켜 운영체제 부팅을 차단해 버린다. 이와 비슷하게 MBR에 관여하는 트로이목마로 Petya 랜섬웨어가 잘 알려져 있다. Satana는 MBR에 자체 코드를 주입한다는 점에서는 Petya와 유사하지만 MBR 자체를 암호화한다는 점에서 마스타파일테이블(master file tablem MFT)을 암호화하는 Petya와 다르다. 또한 Petya가 컴퓨터 파일 암호화를 위해 Mischa라는 별도의 트로이목마를 동반하는 데 비해 Satana의 경우 이 작업도 자체적으로 수행할 수 있다.

MBR이란 하드드라이브의 일부분으로 다양한 디스크 파티션에서 사용되는 파일시스템 정보를 보관하며 어떤 파티션에 운영체제가 보관되는지에 대한 정보도 가지고 있다. MBR이 변질되거나 암호화될 경우 컴퓨터는 어떤 파티션에 운영체제가 들어 있는지를 알 수 없다. 운영체제를 찾을 수 없는 컴퓨터는 부팅되지 못한다. Satana와 같은 랜섬웨어의 배후세력은 이를 이용하여 랜섬웨어에 부팅차단 기능을 더했다. MBR을 날려 버리고 이를 금전지급요구로 대체한 다음 원래 MBR은 암호화시키고 다른 위치로 옮겨 버리는 것이다. Satana는 MBR 복호화 및 암호화된 파일에 대한 복호화키 제공의 대가로 0.5비트코인(약 340달러)을 요구한다. Satana 제작자에 따르면 금전이 지급되고 나면 운영체제 접근이 복구되고 이전 상태로 복원이 이루어진다고 한다.

Satana는 모든 드라이브 및 네트워크인스턴스를 검사하여 .bak, .doc, .jpg, .jpe, .txt, .tex, .dbf, .db, .xls, .cry, .xml, .vsd, .pdf, .csv, .bmp, .tif, .1cd, .tax, .gif, .gbr, .png, .mdb, .mdf, .sdf, .dwg, .dxf, .dgn, .stl, .gho, .v2i, .3ds, .ma, .ppt, .acc, .vpd, .odt, .ods, .rar, .zip, .7z, .cpp, .pas, .asm 파일을 조사한 후 해당 파일을 암호화한다. 또한 이메일주소와 밑줄 3자를 파일이름 앞에 추가한다(예: test.jpg → Sarah_G@ausi.com___test.jpt). 피해자는 이 이메일주소로 메일을 보내 결제방법을 받고 결제 이후 복호화키를 받을 수 있다. 조사 결과 6종의 이메일주사가 확인됐다.

다행히도 Satana에 의한 차단은 부분적으로 피할 수 있으며 일정 조건 하에 MBR 복구가 가능하다. Windows Club 블로그에는 윈도우 운영체제 복구기능을 통해 MBR을 복구할 수 있는 방법이 나와 있다. 하지만 이는 명령프롬프트와 bootrec.exe 유틸리티 사용에 익숙한 사용자를 위한 방법이며 일반사용자가 시도하기에는 다소 어려운 부분이 있다. 다만 윈도우 부팅차단이 해제된다 해도 파일 암호화에 대해서는 아직 별도의 복호화방법이 없는 상태다.

현재 Satana는 배포된 지 얼마 지나지 않았으며 코드 자체에도 몇몇 약점이 있지만 시간이 지날수록 개선되어 아주 심각한 위협이 될 가능성이 높다.

https://usblog.kaspersky.com/satana-ransomware/7389/

Valeria Titova, Satana: Ransomware from hell, 7. 11. 2016.

번역: madfox

참고링크

악성코드에 의한 하드웨어 손상가능성

비트펀 — Thu, 4 Aug 2016 16:29:49 +0900

바이러스 등 악성코드가 컴퓨터 하드웨어에 물리적인 손상을 가할 수 있는가. 이는 정보보안 분야에서 가장 널리 퍼진 동시에 터무니없다고 여겨지는 미신으로 이러한 이중적 속성으로 인해 오래도록 지속되고 있다. 20세기 후반에는 바이러스로 인해 CRT 모니터에 잘못된 신호가 전송되어 컴퓨터의 하드웨어가 구성요소가 타 버렸다든지 또는 맬웨어로 인해 하드디스크 드라이브가 격하게 진동하여 드라이브가 결국 파괴됐다든지 아니면 플로피 드라이브에 오버클럭이 걸려 과열이 발생했다든지 하는 식의 이야기가 퍼졌던 적이 있다. 이런 미신들은 안티바이러스 업체들에 의해 해체됐다. 물론 이들 중 몇몇의 경우 이론적으로는 나름 일리가 없진 않으나 컴퓨터에 내장된 보호기능으로 인해 이러한 사고는 발생할 여지가 없다.

하지만 하드웨어를 물리적으로 손상시키는 경우에 준하는 사례도 없진 않으며 그 사례로 1999년의 이른바 체르노빌 악성코드로 알려진 Win95.CIH 바이러스를 생각할 수 있다. Win95.CIH는 수천 대의 기기를 감염시켰으며 하드드라이브와 마더보드 BIOS 칩의 데이터를 손상시켰으며 이에 따라 일부 감염 기기들은 부팅 프로그램 손상으로 인해 작동 자체가 불가능해졌다. 이는 결국 BIOS 칩을 교체하고 데이터를 다시 입력해야 하는 결과로 이어지기도 했다. 사실 이 사례는 컴퓨터에 대한 물리적 타격은 아니다. 이러한 감염이 발생한 경우 마더보드는 몇 차례 조작을 가하고 나면 다시 사용 가능한 상태로 되돌릴 수 있다. 물론 이 문제는 가정에서 간단히 해결할 수 있는 수준은 아니며 별도의 특수 장비를 필요로 한다. 그렇지만 오늘날에는 문제가 훨씬 복잡한데 그 이유는 다음과 같다.

우선 오늘날 모든 독립 하드웨어는 재작성 가능한 마이크로프로그램과 함께 제작되며 이러한 프로그램은 둘 이상인 경우도 있다. 이들 마이크로프로그램은 수 년에 걸쳐 진화하여 오늘날에는 상당히 복잡한 소프트웨어가 됐으며 이는 결과적으로 공격가능성을 발생시켰다. 이 때 공격이 성공한다면 그 결과는 복구 불가능한 경우도 있다. 카스퍼스키 연구진은 Equation 사이버스파이 캠페인을 분석하는 과정에서 다양한 하드드라이브 모델의 마이크로프로그램 코드에 주입된 스파이웨어 모듈을 조사한 바 있다. 이들 맬웨어는 감염대상 디스크를 완전히 장악하는 데 사용됐으며 포맷으로도 제거 불가능했다.

실제로 펌웨어는 일반적인 툴로는 변경이 어려우며 그 자체로 업데이트하는 속성을 가지고 있다. 펌웨어를 본래 위치에서 변경시키려면 상당한 노력이 필요하다. 물론 특수 장비가 구비된 상태라면 어떤 마이크로프로그램이든 변경할 수 있지만 실제로는 이 정도 수준으로 드라이브라면 비용 측면에서 그냥 폐기하는 게 합리적이다. 이를 과연 물리적 피해로 볼 수 있을지에 대해서는 논란이 있을 수 있지만 하드웨어기반 취약점에 대한 사례가 계속하여 발생하고 있음은 분명하다.

그리고 '컴퓨터'의 정의 자체도 이제는 애매해졌다. 예컨대 현대 자동차는 어떤 면에서는 컴퓨터에 해당하며 본질적으로 바퀴 달린 커넥티드 컴퓨터라고 할 수 있다. 따라서 원격 해킹이나 침투에 노출될 수 있으며 실제로 Cherokee Jeep 차량에 대한 원격 해킹과정을 공개 시연된 바 있다. 물론 이 해킹에 어떤 바이러스가 사용되지는 않았으나 이는 자동차가 도로를 벗어나도록 하는 해킹 공격도 가능함을 의미한다. 이 또한 어떻게 보면 물리적 타격이라고 할 수 있겠다.

결국 바이러스가 컴퓨터 하드웨어를 물리적으로 손상시킬 수 있는지에 대한 대답은 '그렇다'라고 할 수 있겠으나 이는 '손상', '바이러스', '컴퓨터' 등의 용어를 어떻게 정의하느냐에 따라 달라지는 문제라고 할 수 있겠다.

https://usblog.kaspersky.com/fact-or-fiction-virus-damaging-hardware/5976/

Vladislav Biryukov, Fact or Fiction: can a virus actually damage PC hardware?, 9. 15. 2015.

번역⋅요약: madfox

참고링크

https://blog.vipreantivirus.com/security-news-room/dont-let-pokemon-scammers-say-gotcha-expense/

포켓몬고 관련 사이버공격 방지요령

비트펀 — Thu, 4 Aug 2016 13:33:37 +0900

포켓몬고의 인기는 가히 경이로운 수준이다. 포켓몬고는 미국 앱스토어 무료앱 1위를 차지하고있으며 안드로이드 기준으로 유명 소개팅앱 Tinder보다 2배 많이 설치됐다. 일부 조사에 따르면 포켓몬고 일일 사용자수는 트위터와 비슷한 수준이라고 한다. 포켓몬고의 선풍적인 인기는 사이버범죄에도 영향을 끼쳤으며 얼마 지나지 않아 다양한 범죄수법이 개발됐다.

1. 포켓몬고 개발사 Niantic은 앱 자체는 무료 제공하지만 사용자가 PokeCoin이라는 가상통화를 구매하도록 하여 수익을 올린다. PokeCoin은 희귀 포켓몬을 부화시킬 수 있는 알이나 포켓몬을 유혹할 수 있는 아이템 등을 구매하는 데 쓰인다. 사이버범죄자들은 PokeCoin을 제공하는 설문조사를 만들어냈다. 사용자가 설문조사 사이트를 클릭하면 포켓몬고 사용자이름과 원하는 코인의 금액을 입력하고 인증절차를 거치게 되는데 이 과정이 완료되도 PokeCoin은 제공되지 않으며 대신 범죄자 측에서 수익을 올릴 수 있는 불량 프로그램에 가입되게 된다.

2. 포켓몬고는 아직 몇몇 국가에서만 제공되기 때문에 수많은 사람들이 인터넷을 통한 다운로드를 시도하고 있으며 이로 인해 사이버범죄자의 표적이 되고 있다. 인터넷에서 다운받은 가짜 포켓몬고 앱은 실제 앱과 똑같이 생겼지만 사실은 범죄자 측에서 사용자 휴대전화에 접근할 수 있도록 하는 맬웨어다.

3. 가짜 이메일을 포켓몬고 사용자에게 전송하여 24시간 내에 13달러짜리 포켓몬고 유료버전에 등록하지 않으면 계정이 정지된다는 허위정보를 제공하여 돈을 뜯어낸다. 이메일 내용은 다음과 같다. 포켓몬고에 대한 폭발적인 반응으로 인해 서버 증설이 필요하여 향후 계정에 대한 무료서비스를 지속할 수 없게 됐습니다. 24시간 내 유료버전으로 업그레이드하지 않을 경우 계정이 정지됩니다. 한편 이메일에 첨부된 링크는 사용자의 이메일 비밀번호와 신용카드 계좌정보를 탈취하도록 설계된 제3자 서버로 연결된다.

포켓몬고 사기방지요령

• 포켓몬고를 인터넷에서 다운받지 말 것

• 포켓몬고 계정에 대해 강력한 비밀번호 사용

• 스마트폰 펌웨어 최신여부 확인

• 포켓몬/Pokemon이라는 단어가 들어간 이메일은 열지 말 것

VIPRE Security News, Don’t Let Pokémon Scammers Say ‘Gotcha’ at Your Expense, 8. 2. 2016.

번역: madfox

참고링크

랜섬웨어의 역사

비트펀 — Wed, 3 Aug 2016 14:26:55 +0900

근래 사이버보안에서 화제가 되고 있는 랜섬웨어는 전염병 수준으로 창궐하고 있으며 금방 사라지기 어려운 위협이다. 랜섬웨어의 역사는 크게 데이터 암호화 전후로 나눌 수 있다. 오늘날에는 데이터를 암호화하는 유형인 cryptor가 주류를 이루고 있지만 이에 앞서 먼저 등장한 건 blocker 랜섬웨어였다. blocker 랜섬웨어는 운영체제나 브라우저 접근을 차단하고 이를 복구하는 대가로 돈을 요구한다. 당시 금전지급은 주로 기부 등에 사용되는 문자메시지 코드나 전자지갑을 통한 송금 등으로 이루어졌다. 보안전문가와 수사기관 측에서는 이러한 지급과정에 착안하여 공격자를 적발해 냈다. 전자결제 관련 규제가 진화함에 따라 위험부담 가중으로 랜섬웨어의 수익성도 떨어졌으며 용의자 적발 또한 늘어났다.

그러나 최근 몇 년 동안 비트코인이 급부상하고 사이버범죄의 주목을 받기 시작하면서 상황은 달라졌다. 비트코인은 전자자산이자 추적이나 규제가 불가능한 결제시스템으로 범죄자에게는 아주 매력적인 수단이다. 또한 랜섬웨어의 방식 자체도 브라우저나 운영체제 접근을 차단하는 대신 데이터를 암호화하는 방향으로 바뀌었다. 운영체제는 사용할 수 없게 돼도 다시 설치하면 그만이지만 개인 파일은 고유한 내용을 가지고 있기 때문에 대체 불가능하다. 공격자는 이를 악용하여 거액의 합의금을 요구할 수 있으며 개인에 대해서는 수백 달러 그리고 기업에 대해서는 수천 달러에 달하는 돈을 뜯어낼 수 있게 됐다. 이러한 랜섬웨서 세대교체는 오래 걸리지 않았으며 2015년 말 랜섬웨어 공격 건수는 눈덩이처럼 불어났다.

카스퍼스키 측 분석에 따르면 랜섬웨어 공격은 2014-2015년 13만 건에서 2015-2016년 72만 건으로 1년 새 무려 5배나 증가했다. 랜섬웨어 공격이 가장 많이 발생하는 국가는 러시아, 카자흐스탄, 이탈리아, 독일, 베트남, 알제리, 브라질, 우크라이나, 미국이다. 하지만 동구권이나 동남아 그리고 남미 등지의 랜섬웨어는 비교적 구형이고 위험성도 떨어지는 blocker 랜섬웨어 비중이 크다. 반면 미국은 cryptor 랜섬웨어 공격이 전체의 40%에 달하며 이탈리아와 독일의 경우 사실상 cryptor가 랜섬웨어와 동의어로 취급될 정도다.

2015-2016년 대세인 랜섬웨어 트로이목마는Teslacrypt, CTB-Locker, Scatter, Cryakl이다. 특히 Teslacrypt의 경우 전체 공격의 절반 가까이를 차지하며 이들 4개 랜섬웨어는 전체 랜섬웨어의 80%에 달한다. TeslaCrypt와 Cryakl의 경우 카스퍼스키 솔루션으로 복호화 가능하다.

랜섬웨어는 초기에는 주로 개인 사용자를 노렸으나 암호화 랜섬웨어가 대세가 된 이후로는 기업에 대한 공격이 늘어났다는 사실도 주목할 만하다. 기업사용자에 대한 공격은 2014-2015년 6.8%에서 2015-2016년 13.13%로 증가했다.

랜섬웨어 피해방지요령

1. 주기적으로 백업

2. 카스퍼스키 솔루션 등 강력한 보안솔루션 사용

https://usblog.kaspersky.com/ransomware-blocker-to-cryptor/7327/

3. 주기적으로 소프트웨어 업데이트

4. 최신 보안소식 확인

5. 랜섬웨어 감염이 발생해도 섣불리 돈을 먼저 지불하지 않고 아래와 같은 방법을 시도한다.

(1) blocker 랜섬웨어의 경우 카스퍼스키 WindowsUnlocker 툴 사용

(2) cryptor 랜섬웨어의 경우 NoRansom.kaspersky.com 통해 해당 랜섬웨어에 대한 복호화가 가능한지 확인

Alex Drozhzhin, Ransomware’s history and evolution in facts and figures, 6. 22. 2016.

번역⋅요약: madfox

참고링크

https://usblog.kaspersky.com/invisible-skimmer-at-atm/7151/

ATM Infector 해킹사례 소개

비트펀 — Wed, 3 Aug 2016 14:21:07 +0900

ATM 염탐(skimming)이란 ATM에 각종 장치를 설치하여 카드정보를 탈취하는 범죄수법을 의미한다. 이를 방지하기 위해서는 ATM에 어떤 수상한 물체가 부착되지 않았는지 확인해야 한다. 그런데 이제는 맨눈으로 전혀 알아볼 수 없는 수법을 통한 ATM 정보탈취가 가능해지고 있다.

카스퍼스키 글로벌 연구분석팀과 해킹테스트팀이 최근 ATM Infector라는 사이버범죄그룹의 사례를 통해 밝혀낸 내용에 따르면 ATM에 별도의 기기를 부착하지 않고 ATM 자체를 정보탈취수단으로 탈바꿈시킬 수 있다. Skimer라는 이름의 맬웨어를 ATM에 심으면 ATM 자체 카드판독기와 핀 패드를 통해 은행카드정보를 탈취할 수 있게 된다. 이 경우 카드판독기와 핀 패드를 제어하는 데서 나아가 현금지급장치까지 제어할 수 있으며 따라서 카드정보 탈취에 그치지 않고 실제로 현금을 인출하기까지 할 수 있다. 이는 일종의 이중수법으로 현금 인출의 경우 쉽게 의심을 사고 자칫 대규모 수사로 이어질 수 있기 때문에 평소에는 맬웨어만 조용히 작동시키면서 카드정보를 탈취하고 현금 인출은 향후 선택방안으로 남겨 두는 것이다.

ATM 보안은 물리적 측면에서는 상당히 강력하지만 사이버공간에서는 취약점이 적지 않다. 이번 사례의 경우 ATM 감염은 물리적 접속 또는 은행 내부네트워크를 통해 이루어졌다. Skimer 맬웨어가 ATM에 설치되고 컴퓨터 부분을 감염시키면 공격자가 ATM을 제어할 수 있게 되며 기기 자체를 정보탈취수단으로 사용할 수 있다. Skimer 맬웨어는 공격자가 기기를 제어하기 전까지 정숙 상태를 유지한다. 공격자가 맬웨어를 다시 작동시키려면 마그네틱 부위에 정해진 정보가 기록된 카드를 사용하고 Skmier는 이 정보를 읽어들여 하드코딩된 명령을 실행하거나 카드가 작동시킨 메뉴를 통해 명령에 응답하게 된다. 공격자가 카드를 꺼내고 나서 60초 내에 핀 패드를 통해 정해진 키를 입력하면 화면에 Skimer의 그래픽인터페이스를 표시할 수 있다. 이를 통해 공격자는 21종의 명령을 실행할 수 있으며 그 내용은 다음과 같다.

• 현금인출(카드별 금액 지정)

• 카드정보 수집

• 자체 삭제

• 삽입카드에 내장된 최신코드 통한 자체 업데이트

• 카드 및 핀 데이터를 삽입카드에 파일로 저장

• 수집된 카드정보를 ATM 영수증에 출력

방지요령

카스퍼스키 연구진은 위 맬웨어의 활동을 적발하기 위해 은행들이 내부 시스템에서 어떤 파일을 검색해야 되는지에 대한 정보를 제공했다. https://securelist.com/blog/research/74772/atm-infector/

한편 ATM Infector 활동경과에 대한 상세정보는 수사기관, CERT, 금융기관, 카스퍼스키 고객진에 대해 비공개로 제공됐다.

ATM Infector는 ATM의 컴퓨터를 직접 검사해 보기 전에는 감염 여부를 전혀 알 수 없다는 점에서 일반인이 보기에도 섬뜩한 면이 있다. 은행은 대체로 PUN 입력내역으로 정상적인 카드소유자의 거래실행이 입증된다고 보고 핀 입력이 잘못된 경우에도 이를 고객 잘못으로 판단하는 경향이 있으며 이 경우 은행의 판단결과를 뒤집기는 어려우며 돈을 돌려받을 가능성도 높지 않다. 결국 ATM Infector의 피해를 완전히 막기는 어렵지만 다음 요령을 통해 적어도 피애금액을 크게 줄일 수는 있다.

1. 감염된 ATM을 완벽히 식별해 낼 순 없지만 적어도 ATM 사용 위치를 고려할 수는 있다. 은행지점에 위치한 ATM의 경우 감염이 어렵고 은행 기술팀에 의한 조사빈도도 높기 때문에 상대적으로 안전하다고 할 수 있다.

2. 카드 입출금내역을 주기적으로 확인하는 게 좋으며 SMS 알림이 가장 좋은 방법이다.

3. 실행한 적 없는 거래내역이 확인된다면 이를 은행에 알리고 해당 카드를 즉시 정지시켜야 한다. 대응이 신속할수록 피해액을 최대한 줄일 수 있다.

Alex Drozhzhin, Invisible skimmers at the ATMs, 5. 17. 2016.

번역⋅요약: madfox

참고링크

https://usblog.kaspersky.com/7-reasons-why-its-oh-so-easy-for-bad-guys-to-hack-an-atm/6711/

ATM 해킹취약성 분석

비트펀 — Wed, 3 Aug 2016 14:16:48 +0900

현금자동지급기(automated teller machine, ATM)는 줄곧 범죄자들의 공격대상이었으며 이제는 옛날처럼 폭약이나 절삭기를 사용하는 방법이 아닌 해킹의 표적이 되고 있다. 카스퍼스키 해킹테스트 전문가 Olga Kochetova는 2016 SAS 컨퍼런스에서 'Malware and non-malware ways for ATM jackpotting'이라는 발표를 통해 ATM의 해킹 취약성을 설명했으며 그 내용은 다음과 같다.

1. ATM은 기본적으로 컴퓨터에 해당하며 산업용 컨트롤러 등 각종 하위시스템을 포함하기는 하지만 중앙시스템은 일반적으로 볼 수 있는 PC로 구성된다.

2. 이러한 중앙 PC는 윈도XP와 같은 구형 운영체제를 사용할 가능성이 대단히 높다. 윈도XP는 마이크로소프트 지원이 중단된 상태기 때문에 지원종료 이후 발견되는 취약점은 향후 영구히 보완될 수 없는 제로데이 취약점이 되며 이러한 취약점은 상당히 많을 수 있다.

3. ATM 시스템을 구동하는 소프트웨어에도 취약점이 다수 존재할 가능성이 높다. 이러한 취약 소프트웨어는 9000여 종의 버그가 있다고 알려진 구형 플래시 플레이어에소부터 원격지원 툴까지 아주 다양하다.

4. ATM 제조자 측에서는 ATM이 언제나 정상적인 여건에서 작동되며 달리 돌발상황은 없다고 가정하는 경향이 있다. 따라서 소프트웨어 무결성 제어, 안티바이러스 솔루션, 현금지급명령을 내리는 어플리케이션에 대한 인증 등 보안대책도 전무하다.

5. ATM의 현금보관 및 현금지급 부분에 대해서는 안전에 많은 주의가 기울여지는 반면 컴퓨터 부분은 어렵지 않게 접근 가능하다. 컴퓨터 부분 외벽 재질은 플라스틱이나 얇은 금속이 고작이며 잠금장치 또한 안전을 담보하기에는 너무 단순하다. ATM 제조자는 돈이 들어있지 않다면 크게 안전하지 않아도 된다는 식으로 생각하는 경향이 있다.

6. ATM의 각 모듈은 COM 및 USB 포트와 같은 표준 인터페이스로 연결돼 있다. 그런데 이들 인터페이스는 외부에서 접속 가능한 경우도 있으며 그렇지 않다 해도 위에서 언급한 물리적 보안의 허술함을 잊어서는 안 된다.

7, ATM은 작동원리상 반드시 네트워크에 연결돼 있어야 하며 인터넷이라는 가장 값싼 통신수단이 존재하기 때문에 ATM은 인터넷을 통해 프로세스 센터와 연결된다. 실제로 Shodan 검색엔진을 사용하면 인터넷을 통해 ATM에 접속할 수 있다.

이상의 문제를 고려한다면 ATM 범죄기회는 아주 다양하게 창출될 수 있다. 예를 들어 맬웨어를 ATM 시스템에 설치하여 돈을 빼돌릴 수 있으며 실제로 ATM에 특화된 트로이목마 사례가 종종 등장한다. 카스퍼스키는 2014년 Tyupkin이라는된이름의 ATM 악성코드를 포착한 바 있다.

ATM에서 카드 없이 현금을 인출하는 장면 https://www.youtube.com/watch?v=QZvdPM_h2o8

한편 ATM의 USB 포트에 연결 가능한 하드웨어를 사용하는 방법도 있다. 위 발표에서 Olga Kochetova와 Alexey Osipov는 와이파이 어댑터와 배터리가 부착된 싱글보드 컴퓨터 라즈베리파이(Raspberry Pi)를 통해 ATM 해킹과정을 시연했다. 인터넷을 통한 공격은 더욱 치명적일 수 있다. 해커가 가짜 프로세스센터를 구현하거나 원래 프로세스센터를 해킹한다면 물리적 접근 없이 수많은 ATM을 해킹할 수 있다. Carbanak 그룹의 10억 달러 해킹사례를 보면 은행 네트워크의 중요 PC를 장악하여 ATM으로 직접 명령을 전송할 수 있었다.

라즈베리파이 통한 ATM 해킹 https://www.youtube.com/watch?v=ksEmXuV324I

따라서 은행과 ATM 제조자는 금융 기기의 보안에 더욱 주의를 기울여야 한다. 소프트웨어와 하드웨어 양 측면에서 보안조치를 재검토하고 네트워크 인프라의 보안을 강화하는 등의 조치가 필요하다. 또한 위협에 대한 신속한 대응 그리고 수사기관 및 보안업체와 긴밀히 협조도 중요하다.

Alex Drozhzhin, 7 reasons why it’s oh so easy for bad guys to hack an ATM, 2. 17. 2016.

번역⋅요약: madfox

참고링크

Ded Cryptor 랜섬웨어 소개

비트펀 — Tue, 2 Aug 2016 16:04:43 +0900

최근 영어권과 러시아권에서 발견된 Ded Cryptor라는 랜섬웨어 트로이목마는 2비트코인(1300달러)이라는 거액을 요구하며 아직 복호화 솔루션도 존재하지 않는 상태다. Ded Cryptor에 감염된 컴퓨터의 배경화면은 아래와 같이 산타클로스와 함께 금전요구가 나오는 그림으로 바뀐다.

Ded Cryptor 랜섬웨어의 배경에는 사실 상당히 복잡한 이야기가 얽혀 있다. 터키 보안전문가 Utku Sen은 랜섬웨어를 제작하고 해당 코드를 개발자 협업채널인 GitHub에 공개했다. 이는 사이버공격자가 해당 코드를 토대로 악성코드를 직접 제작하도록 유도하고 미리 심어둔 백도어를 통해 이들의 행동양상을 이해하려는 전략이었다. Sen은 이보다 앞서 교육 및 연구 목적으로 Hidden Tear라는 이름의 랜섬웨어 프로젝트도 진행하고 있었다. 그는 이후 오프라인에서도 작동 가능한 신종 랜섬웨어를 개발했으며 이를 토대로 EDA2라는 강력한 랜섬웨어가 만들어졌다. EDA2는 Hidden Tear에 비해 개선된 비대칭 암호화방식을 채택했으며 C&C 서버와 통신하면서 서버에 전송하는 키를 암호화시킨다. 피해자에게는 아래와 같이 엽기적인 사진을 보여주기도 한다.

EDA2 소스코드 또한 GitHub에 공개됐으며 이는 많은 주목과 비판을 불러들였다. 실제로 이 소스코드는 랜섬웨어 공격에 악용될 수 있었으며 Sen 또한 이를 이해하고 있었다. 그는 자신이 공개한 랜섬웨어에 미리 백도어를 삽입해 뒀으며이를 통해 복호화 키를 수집할 수 있었다. 랜섬웨어가 작동할 경우 해당 C&C 서버의 URL을 알아내고 복호화키를 추출하여 이를 피해자에게 배포하는 과정을 염두에 두고 있었던 것이다. 그런데 이를 위해서는 피해자 측에서 먼저 Sen의 존재를 알아야 하는데 사실 실제 피해자의 대부분은 그의 존재를 전혀 모르는 상태였으며 따라서 복호화키 배포에 시간이 걸린다는 점이 이 방식의 약점이었다.

Hidden Tear 및 EDA2를 응용한 랜섬웨어는 오래지 않아 등장했으며 Hidden Tear의 경우 위에서 소개한 방식대로 복호화키가 피해자들에게 배포될 수 있었다. 하지만 EDA2를 응용한 Magic 랜섬웨어의 경우 공격자 측에서 무료 호스트를 통해 C&C 서버를 운용했으며 호스트 측에서는 악성활동에 대한 신고에 대응하여 별도의 조치 없이 해당 사이버공격자의 계정과 파일을 삭제해 버렸기 때문에 본래 예정됐던 백도어를 통한 복호화키 추출이 불가능해졌다. Magic 랜섬웨어 제작자들은 여기에서 나아가 Sen과 접촉했으며 이들의 대화는 오랜 논란으로 이어졌다. Magic 제작자 측에서는 Sen이 EDA2 소소코드를 공개도메인에서 삭제하고 3비트코인을 지불한다면 자기네 복호화키를 공개하겠다는 제안을 내놨다. 이 과정에서 기존 피해자에 대한 금전요구는 없던 일이 된다는 합의도 도출됐다. 결국 Sen은 EDA2와 Hidden Tear의 소소코드를 GitHub에서 삭제했지만 이미 너무 늦은 상황이었다. 2015년 2월 2일 카스퍼스키 전문가 Jornt van der Wiel은 SecureList에 게재한 글을 통해 Hidden Tear 및 EDA2 기반 암호화툴이 24개에 달한다고 밝혔으며 이 수는 이후 계속 늘어났다.

Ded Cryptor는 바로 이 EDA2 소소코드를 기반으로 제작됐으며 다만 공격자 측 보안과 익명성 강화를 위해 Tor 네트워크를 통해 C&C 서버가 운용되며 tor2web 서비스를 통해 서버와의 통신이 이루어진다. Ded Cryptor 제작과정에서 프록시서버 코드는 다른 GitHub 개발자로부터 전달됐으며 암호화키 요청 코드는 제3자 개발자가 작성하는 등 여러 출처로부터 덕지덕지 만들어진 느낌이 강하다. Ded Cryptor는 서버와 직접 통신하지 않고 감염시킨 컴퓨터에 프록시 서버를 설정하고 이를 통해 서버와 통신한다는 점이 특이하다.

Ded Cryptor 제작자는 Magic 랜섬웨어와 마찬가지로 러시아어 사용자로 추정된다. 우선 금전지급 요구가 영어 및 러시아어로만 돼 있다. 그리고 카스퍼스키 선임맬웨어분석가 Fedor Sinitsyn의 분석 결과 C:\Users\sergey\Desktop

\доделать\eda2-master\eda2\eda2\bin\Release\Output\TrojanSkan.pdb 라는 파일경로가 발견되기도 했다. Ded Cryptor 배포경로에 대해서는 별로 알려진 내용이 없으며 다만 카스퍼스키에 다르면 러시아에서 가장 많이 발견되고 중국 독일, 베트남, 인도 등에서도 발견빈도가 높다고 한다.

Ded Cryptor는 앞서 언급했듯 현재로써는 복호화 수단이 존재하지 않으며 다만 운영체제에서 사전에 생성한 숨은 사본이 있을 경우에만 복구가능성이 있기 때문에 예방이 정말 중요하다. 카스퍼스키 솔루션의 경우 Hidden Tear 및 EDA2 기반 트로이목마를 탐지할 수 있고 Trojan-Ransom.MSIL.Tear를 탐지할 경우 이를 사용자에게 알리며 또한 랜섬웨어 작동을 차단하고 암호화를 방지할 수 있다.

https://usblog.kaspersky.com/ded-cryptor-ransomware/7379/

John Snow, Ded Cryptor: Greedy ransomware with open-source roots, 7. 8. 2016.

번역⋅요약: madfox

참고링크

모바일 랜섬웨어

비트펀 — Tue, 2 Aug 2016 14:44:17 +0900

랜섬웨어는 데스크탑 컴퓨터 외에 모바일 기기에서도 발견되며 발견빈도 또한 증가추세에 있다. 랜섬웨어의 유형으로는 데이터를 암호화시키고 복구대가로 돈을 요구하는 cryptolocker 랜섬웨어 그리고 운영체제나 브라우저 등 어플리케이션 접근을 차단하고 차단해제에 대해 돈을 요구하는 blocker 랜섬웨어가 있다. 현재 데스크탑 플랫폼에서는 blocker 랜섬웨어는 비교적 소수에 그치는 반면 금전갈취에 더욱 효율적이라고 알려진 cryptolocker 랜섬웨어가 많이 퍼지고 있는 상황이다.

반면 모바일 플랫폼의 경우 안드로이드 운영체제와 앱이 클라우드 백업을 동반하며 따라서 데이터 암호화에 따른 이득이 그만큼 적기 때문에 안드로이드 cryptolocker 랜섬웨어는 거의 전무하다시피 하고 blocker 랜섬웨어가 훨씬 널리 사용된다. 모바일 기기에서 blocker 랜섬웨어는 모든 앱의 인터페이스를 자체적으로 조작하여 피해자가 사용 가능한 어플리케이션이 없게 만들어 버린다. PC의 경우 blocker 랜섬웨어가 있다면 하드드라이브를 분리하여 다른 컴퓨터에 연결한 다음 blocker 파일을 제거해 버리면 그만이다. 하지만 휴대전화의 경우 기본 저장공간이 마더보드에 부착돼 있기 때문에 컴퓨터처럼 쉽게 분리할 수는 없다. blocker 랜섬웨어가 전체의 99%를 차지하는 건 바로 이 때문이다.

주요 모바일 랜섬웨어

2014-2015년 모바일 랜섬웨어 주요 4종은 Svpeng, Pletor, Small, Fusob였다. 오늘날 Pletor 랜섬웨어는 정체된 상태며 해당 제작자들은 새로 선보인 Acecard 트로이목마에 집중하고 있는 상황이다. Svpeng 또한 현재는 주춤한 상태로 해당 제작자들은 금융 트로이목마에 집중하고 있다. 이에 따라 2015-2016년에는 Small 그리고 Fusob 랜섬웨어가 전체의 93%를 차지하고 있다.

Fusob와 Small은 관계당국의 서명과 피해자의 과실 주장을 조작한 화면을 표시하고 피해자가 돈을 지불하지 않으면 형사사건으로 입건된다고 협박하는 등 공통점도 많다. 하지만 차이점이 더욱 극명한데 예를 들어 결제 방식을 보면 Fusob은 iTunes 기프트카드 결제를 요구하며 Small의 경우 Kiwi 결제시스템이나 MoneyPak xpress Packet voucher 결제옵션을 제시한다. 양자 모두 러시아어권 제작자에 의해 만들어졌으나 기획방향은 상당히 다른데 그 구체적인 내용은 다음과 같다.

Fusob은 피해자 기기의 언어를 조사하여 구소련 연방에서 사용됐던 언어에 해당하면 아무런 행동도 하지 않는 반면 다른 언어에 해당할 경우 NSA임을 자처하며 100~200달러 가량의 돈을 요구한다. Fusob 피해자의 주요 거주지는 독일이며(41%) 영국과 미국이 각각 14.5%와 11.4%로 2위와 3위를 차지하고 있다.

Small의 경우 반대로 Fusob가 기피하는 러시아, 카자흐스탄, 우크라이나에서 99% 가까이 발견된다. Small 랜섬웨어는 정부에서 발행한 듯 보이는 안내문에 결제안내, 협박, 700~3500루블(10~50달러) 금전요구 등의 내용을 담고 있다. 영문 버전의 경우 화면 모양이 약간 다르고 FBI를 사칭하면서 300달러 가량을 요구한다. 이 외에 cryptolocker 유형으로 기본 버전과 동일하지만 SD 카드 파일도 암호화하는 변종이 있고 금전탈취, 데이터탈취, 기기잠금 등 여러 기능을 가진 트로이목마 변종도 있다.

모바일 랜섬웨어 향후 전망

모바일 맬웨어는 처음 등장할 때만 해도 큰 관심을 받지 않았지만 오늘날 엄청난 기세로 성장하고 있으며 모바일공격은 2014년에 비해 4배 가까이 증가했다. 모바일 랜섬웨어 피해자 또한 2.04%에서 4.63%로 두 배가 늘었다. 2015년 모바일 랜섬웨어의 최대 표적은 미국이었으며 당시 모바일 피해자 10명 중 1명은 모바일 랜섬웨어에 노출됐다. 오늘날 이 비중은 대폭 늘어서 독일과 캐나다의 경우 10명 중 2명, 영국과 미국 그리고 카자흐스탄은 7명 중 1명, 이탈리아와 네덜란드의 경우 10명 중 1명이 모바일 랜섬웨어를 접했다고 한다. 앞으로도 특히 랜섬웨어를 중심으로 모바일 맬웨어가 더욱 기승을 부릴 전망이다.

모바일 랜섬웨어 방지요령

1. 구글플레이와 같은 공식 채널을 통해서만 어플리케이션 설치. 안드로이드 보안설정을 통해 알지 못하는 출처를 통한 앱 설치를 차단해야 한다.

2. 펌웨어와 어플리케이션을 주기적으로 업데이트한다. 앱의 경우 자동 업데이트가 가능하지만 시스템은 수동으로 업데이트를 직접 해야 한다.

https://usblog.kaspersky.com/mobile-ransomware-2016/7346/

John Snow, Ransomware on mobile devices: knock-knock-block, 6. 29. 2016.

번역⋅요약: madfox

참고링크

Shade 랜섬웨어 복호화툴 배포

비트펀 — Tue, 2 Aug 2016 13:44:23 +0900

Shade는 2015년 초 등장한 랜섬웨어며 주로 악성스팸이나 취약점악용(exploit kit)을 통해 배포된다. 취약점악용의 경우 피해자가 감염된 웹사이트를 방문하기만 하면 되고 별도로 어떤 파일을 여는 과정이 불필요하기 때문에 특히 위험하다.

Shade가 피해자 시스템 침입에 성공하면 중앙(C&C) 서버로부터 암호화키를 받으며 서버 사용이 불가능할 경우에 대비하여 자체 암호화키도 예비로 보유하고 있다. 이는 랜섬웨어가 일단 침투하고 나면 피해자 컴퓨터에서 인터넷 연결을 끊는다 해도 예정대로 작동할 수 있음을 의미한다. Shade가 암호화할 수 있는 파일유형은 MS오피스 문서, 이미지, 압축파일 등 150종이 넘으며 암호화 과정에서 파일 이름 뒤에 .xtbl 또는 .ytbl 확장자를 추가한다. 암호화가 완료되면 아래와 같이 금전지급 요구가 화면에 표시된다. 한편 Shade는 암호화를 끝내고 나서도 다른 맬웨어를 다운받는 등 지속적으로 활동한다

카스퍼스키는 네덜란드경찰, 유로폴, 인텔시큐리티(Intel Security)와 연합하여 랜섬외어 복호화툴을 모으고 배포할 목적으로 NoMoreRansom.org라는 웹사이트를 개설했다. 이번에 사이트 개설과 함께 Shade 랜섬웨어 복호화툴이 추가됐으며 사용방법은 다음과 같다.

1. NoMoreRansom.org 방문

2. 인텔시큐리티 또는 카스퍼스키 측 다운로드 링크 선택 (이하 내용은 카스퍼스키 복호화툴 기준으로 작성)

3. ShadeDecryptor.zip 압축 풀고 ShadeDecryptor.exe 실행

4. 실행창에서 Change parameters 클릭

5. 암호화파일을 스캔할 드라이브 선택

6. Delete crypted files after decryption은 복호화가 끝나고 나서 암호화된 파일을 자동 삭제하는 옵션이지만 파일이 완전히 복구됐는지 확신할 수 없다면 이 옵션은 권장하지 않는다.

7. OK를 선택하여 실행창으로 돌아오고 Start scan 클릭

8. Specify the path to one of encrypted files 창에서 암호화된 파일 하나를 선택하고 Open 클릭

9. 만약 피해자의 ID를 자동 탐지할 수 없다는 메시지가 뜬다면 금전지급요구와 피해자 ID가 기재된 readme.txt로 파일경로를 지정하면 된다.

https://usblog.kaspersky.com/shade-decryptor/7441/

Alex Drozhzhin, No More Ransom, 7. 25. 2016.

번역⋅요약: madfox

참고링크

https://usblog.kaspersky.com/cerber-multipurpose-malware/7201/

다목적 랜섬웨어 등장

비트펀 — Mon, 1 Aug 2016 14:16:18 +0900

랜섬웨어는 이제 빠른 배포에 그치지 않고 암호화 외에 추가기능까지 생겨나고 있다. 2016년 2월 최초 발견된 Cerber 랜섬웨어는 처음 알려질 당시만 해도 피해자에게 돈을 요구하는 메시지를 음성으로 전달하는 등 음산한 면도 있었으나 기본적으로는 파일복구를 대가로 돈을 요구하는 단순한 구조를 가지고 있었다. 그러나 오늘날 Cerber 최신버전은 피해자 컴퓨터의 파일을 암호화시키는 데서 나아가 그 컴퓨터를 봇넷에 연결된 좀비PC로 만들어 버리기까지 한다. Cerber가 이메일첨부물을 통해 배포되고 실행되면 우선 파일을 암호화시키고 해당 파일의 복구 대가로 돈을 요구한다. 그런데 Cerber는 여기에서 그치지 않고 인터넷 연결을 제어하며 이렇게 되면 피해자 컴퓨터는 분산서비스공격(distributed denial of service, DDoS)이나 스팸전송 등에 활용되는 좀비PC가 된다. 이는 근래 맬웨어가 다목적으로 여러 악성코드를 가지고 있는 경향을 반영하는 사례다.

사실 여러 악성코드를 담은 랜섬웨어는 Cerber 이전에도 목격된 바 있다. Petya 랜섬웨어의 경우 피해자 컴퓨터의 하드드라이브 전체를 암호화하는 데 필요한 승인을 얻기 위해 Mischa 악성코드를 동반한다. CryptXXX 랜섬웨어의 경우 기본적인 암호화 외에 피해자의 개인정보와 비트코인을 훔칠 수 있는 기능까지 가지고 있다.

이렇게 여러 기능을 보유한 랜섬웨어는 기존의 단순한 랜섬웨어에 비해 훨씬 큰 피해를 야기할 수 있으며 따라서 예방의 중요성 또한 더욱 커진다. 사실 Cerber와 같은 랜섬웨어는 감염시 영향은 치명적이지만 충분히 예방할 수 있다. 이메일 주의, 주기적 백업, 운영체제 및 어플리케이션 패치 최신으로 유지, 강력한 보안솔루션 사용 등의 수칙을 따름으로써 랜섬웨어 감염을 예방하고 설령 감염이 발생할지라도 그 피해를 최소화할 수 있다. Kaspersky Lab 보안솔루션은 Cerber 랜섬웨어를 Trojan-Ransom.Win32.Zerber라는 이름으로 탐지해 낼 수 있다.

<참고: 카스퍼스키 안티바이러스 상세정보>

Sarah Pike, Multipurpose malware: Sometimes Trojans come in threes, 5. 27. 2016.

번역⋅요약: madfox

참고링크

https://blog.vipreantivirus.com/featured-article/vipre-earns-highest-rating-av-comparativesagain/

바이퍼 솔루션, AV-Comparatives 최신테스트에서 최우수등급 획득

비트펀 — Mon, 1 Aug 2016 13:24:57 +0900

바이퍼(VIPRE) 안티바이러스가 AV-Comparatives 테스트에서

차단율 100%에 오인탐지 0건을 달성하여 다시금 최고점을 획득했다.

ThreatTrack이 선보이는 강력한 안티바이러스 소프트웨어 바이퍼는 최근 실시된 AV-Comparatives 실제보호성능(Real-World Protection) 테스트에서 차단율 100%에 오인탐지 0건을 기록했으며 최고등급인 Advanced+ 등급을 부여받았다. 지난 2개월 동안 차단율 100%에 오인탐지 0건을 기록한 안티바이러스로는 바이퍼가 유일하다. AV-Comparatives 2016년도 상반기 안티바이러스 소프트웨어 성능평가결과는 다음 링크 참조.

ThreatTrack 제품담당수석 Usman Choudhary는 다음과 같이 설명한다. "ThreatTrack은 2016년 초 신형 바이퍼 안티맬웨어 엔진을 선보인 이후 고객에게 업계 최고의 보안서비스를 제공해 왔다. 이번 AV-Comparavies 테스트 결과는 개인사용자, 기업, 정부기관, 교육기관 등 모든 바이퍼 고객에게 우수하고 안정적인 바이퍼의 성능을 잘 보여준다." 이번 AV-Comparatives 테스트를 통해 ThreatTrack의 안티바이러스 소프트웨어와 엔드포인트 보안솔루션은 동종 최고의 수준임이 입증됐다.

<참고: 바이퍼 안티바이러스 상세정보>

VIPRE Security News, VIPRE Earns the Highest Rating From AV-Comparatives…Again!, 7. 28. 2016.

번역: madfox

참고링크

https://nakedsecurity.sophos.com/2016/07/28/chimera-ransomware-keys-leaked-by-rival-malware-developers/

Chimera 랜섬웨어 복호화키 경쟁세력에 의해 유출

비트펀 — Fri, 29 Jul 2016 16:40:32 +0900

Petya 및 Mischa 랜섬웨어 제작자들이 '업계 경쟁세력'에게 일격을 날렸다. 우선 이른바 랜섬웨어서비스(Ransomware-as-a-Service, RaaS)라는 방식으로 랜섬웨어 변종을 대량 배포함으로써 일반인도 범죄의지만 있다면 랜섬웨어로 사이버공격을 행할 수 있는 발판을 마련했다.

참고: http://www.securityweek.com/petya-mischa-ransomware-now-available-service

그리고 Chimera 랜섬웨어에 감염된 시스템에 적용될 수 있다고 주장하면서 3500개의 RSA 개인키를 배포했으며 이는 라이벌 세력인 Chimera 랜섬웨어의 활동을 방해하려는 의도로 보인다. 해당 키는 Pastebin에 게재됐으며 게시글에서는 이를 통해 복호화툴을 만드는 데 도움이 될 수 있다고 밝히고 있다.

참고: http://pastebin.com/7HrZCsmT

Mischa 제작자들이 작성한 내용은 다음과 같다. "2016년 초 우리는 Chimera 랜섬웨어 개발과정에 상당부분이 접근할 수 있었으며 이에 따라 Chimera를 우리 프로젝트에 포함시켰다. 아울러 Chimera에 대한 복호화키 3500개를 공개 배포한다."

해당 복호화키가 실제로 Chimera 랜섬웨어로 암호화된 파일을 복호화할 수 있는지 판별하고 이를 통해 복호화 프로그램이 제작돠려면 시간이 거릴 수밖에 없지만 적어도 가능성은 생겼으므로 Chimera 랜섬웨어 피해자는 섣불리 파일을 삭제하지 말고 기다리는 것도 방법이 될 수 있겠다. 하지만 앞서 언급한 RaaS를 통해 참여자에게 랜섬웨어를 배포하여 수익을 챙길 수 있는 기회를 주는 방식이 출현했으며 상당기간 널리 퍼지리라 예상되므로 결코 주의를 늦출 수는 없다.

컴퓨터기술포럼 BleepingComputer.com 설립자 Lawrence Abrams는 "이번 일을 계기로 Petya 및 Mischa 랜섬웨어의 배포가 더욱 활발하게 일어날 가능성이 높다."는 의견을 피력했다.

Lisa Vaas, Chimera ransomware keys leaked by rival malware developers, 7. 28. 2016.

번역⋅요약: madfox

참고링크

http://www.howtogeek.com/118145/vpn-vs.-ssh-tunnel-which-is-more-secure/

VPN과 SSH 터널 비교

비트펀 — Thu, 28 Jul 2016 16:53:08 +0900

VPN과 SSH 터널은 암호화된 접속을 통해 네트워크 트래픽을 안전하게 전송하는 방식으로 부분적으로 유사하기도 하지만 작동방식 등이 근본적으로 다르다. 양자가 가진 차이를 이해할 수 있다면 어떤 방식을 선택할지 판단하는 데 도움이 될 수 있다.

VPN

VPN(virtual private network)이란 '가상 사설 네트워크'로 해석되며 그 명칭에서 알 수 있듯 본래 인터넷과 같은 공개 네트워크를 경유하여 사설 네트워크에 접속하는 데 사용된다. 파일공유지점, 네트워크프린터 등이 연결된 일반적인 사무실 네트워크를 가정해 보면 경우에 따라서는 직원이 사무실 외 공간에서 이 네트워크에 접속해야 하는 일이 생길 수 있다. 하지만 사무실 네트워크는 회사의 중요 자원으로 공개된 공간인 인터넷에 노출되지 않는다. 이 경우 그 회사는 VPN 서버를 설정하여 직원으로 하여금 그 VPN을 통해 외부에서도 사무실 네트워크에 접속하도록 할 수 있다. 접속이 완료된 클라이언트는그 사무실 네트워크에 실제 물리적으로 연결된 것과 동일하게 인식돼 파일공유 등 네트워크자원에 접근할 수 있게 된다. VPN 클라이언트가 인터넷을 통해 서버와 통신하는 접속은 암호화돼 있으며 따라서 그 VPN을 설정한 회사의 경쟁업체 등이 서버와 클라이언트 사이에서 웹브라우징 트래픽 등 접속데이터를 가로채는(snoop) 것을 방지할 수 있다.

VPN은 이러한 특성으로 인해 공용 와이파이 네트워크 등에서 접속내역을 노출시키지 않을 수 있는 방법이 된다. 또한 트래픽의 발신지점이 실제 클라이언트가 아닌 해당 VPN 서버라고 인식되는 점을 이용하여 지역적으로 제한이 걸린 서비스에 접근하거나 웹에 대한 검열을 회피할 수 있는 방법이 되기도 한다.

VPN은 어플리케이션 계층보다는 운영체제 계층에 가깝게 작동한다. VPN 연결이 생성되면 개별 설정에 따라 달라질 수 있으나 기본적으로 운영체제에서 모든 어플리케이션의 네트워크 트래픽을 그 VPN으로 경유시킬 수 있다.

SSH 터널

SSH란 secure shell의 약자로 본래는 네트워크 트래픽을 경유시키는 기능에 국한되지 않고 원격단말세션(remote terminal session)을 안전하게 사용하는 등의 목적으로 사용된다. SSH는 VPN과 마찬가지로 강력한 암호화로 보호되며 이를 활용하여 SSH 클라이언트를 SOCKS 프록시처럼 작동하도록 한 다음 웹브라우저 등 어플리케이션이 그 프록시를 경유하도록 설정할 수 있다. 이 경우 해당 트래픽은 SOCKS 프록시로 들어간 다음 SSH 클라이언트 측에서 이를 SSH 접속을 통해 전송하는데 이를 SSH 터널 혹은 SSH 터널링이라 한다. 웹서버 측에서 해당 트래픽의 발신지를 SSH 서버로 인식하고 접속이 암호화된다는 면에서 이는 VPN과 유사하기도 하다.

다만 운영체제 수준에서 모든 트래픽을 경유시키는 VPN과 달리 SSH의 경우 개별 어플리케이션이 프록시를 통과하도록 설정해야 한다. VPN이 운영체제 측에서 사용자가 원격네트워크에 있는 것으로 인식하도록 하여 윈도 네트워크 파일공유 접속을 용이하게 하는 반면 SSH 터널은 파일공유 접근이 훨씬 어렵다는 점도 다르다.

VPN과 SSH 터널의 보안 비교

회사 입장에서는 시스템의 전체 네트워크 트래픽을 경유시키는 VPN이 보다 더 안전한 방식이라고 할 수 있지만 단순히 카페나 공항 같은 공개 와이파이 등을 통해 인터넷을 사용할 때 접속을 암호화하고자 하는 목적이라면 VPN과 SSH 모두 강력한 암호화를 제공하기 때문에 별 차이가 없다.

한편 VPN은 사용 자체는 간편하지만 서버 설정이 다소 복잡하며 반대로 SSH 터널은 사용이 까다로운 반면 서버 설정은 오히려 쉬운 편이다. 만약 사용자가 별도 설정 없이 SSH 서버에 접속할 수 있는 상태라면 이를 그대로 사용하는 것이 VPN 서버를 설정하여 사용하는 방법보다 훨씬 간편하다. 이 때문에 SSH 터널은 돈이 모자랄 때 사용하는 VPN 대용수단으로 인식되기도 한다.

Chris Hoffman, VPN vs. SSH Tunnel: Which Is More Secure?, 7. 5. 2012.

번역⋅요약: madfox

참고링크

http://www.howtogeek.com/185526/is-it-really-possible-for-most-enthusiasts-to-hack-wi-fi-networks/

와이파이 네트워크 해킹난이도

비트펀 — Wed, 27 Jul 2016 15:57:00 +0900

질문

어떤 컴퓨터 전문가에 따르면 전문가 아닌 사람들도 인터넷에 올라온 가이드 그리고 특수 소프트웨어(Kali Linux 등)만 가지고 가정용 라우터의 보안을 뚫을 수 있다고 한다. 네트워크 및 라우터 비밀번호가 잘 갖춰지고 네트워크가 숨김상태로 돼 있으며 MAC 필터링이 적용된 경우 이러한 보안대책이 어떻게 뚫릴 수 있는지 궁금하다. 그리고 만약 이러한 가정이 사실이라면 가정용 네트워크의 보안을 개선할 수 있는 조치는 무엇인가.

답변 1

우선 와이파이 비밀번호와 관련하여 와이파이 암호화에는 WEP, WPA, WPA2라는 표준이 있다. WEP의 경우 이미 취약하다는 점이 밝혀졌기 때문에 해당 표준을 채택했다면 비밀번호 자체가 잘 짜여 있어도 어렵지 않게 뚫릴 수 있다. WPA, WPA2 표준은 해킹이 훨씬 어렵지만 WPS(wireless protected setup) 관련 보안문제가 있을 수 있으며 또한 이들 표준을 따르는 경우에도 브루트포스(brute force: 비밀번호를 일일이 찾아나가는 과정) 수법으로 비밀번호를 뚫는 게 가능하다. 예를 들어 Moxy Marlispike라는 유명 해커는 클라우드컴퓨팅을 이용한 브루트포스 해킹 서비스를 30달러 가격에 제공한다고 하며 다만 언제나 성공이 보장되지는 않는다고 한다.

한편 라우터 비밀번호의 경우 와이파이 측에서 라이터를 통해 데이터를 전송하는 것을 방지할 수는 없기 때문에 의미가 없다. 네트워크 숨김(hidden network)이란 허황된 발상에 불과하다. 어떤 네트워크가 웹사이트 목록에서 나타지지 않게 할 수는 있지만 클라이언트가 와이파이 라우터에 자신의 존재를알리기 때문에 네트워크가 숨김 상태로라 해도 결국은 발견될 수밖에 없다. MAC 필터링 또한 대부분의 화이파이 기기가 기존 MAC 주소를 복사하여 MAC 필터링을 통과하도록 프로그래밍될 수 있기 때문에 실질적인 대책이 되지 못한다.

만약 와이파이 네트워크의 보안을 제대로 강화하고자 한다면 네트워크 자체는 운반경로으로만 판단하고 해당 경로를 통과하는 모든 데이터를 암호화 및 필터링하는 방법이 있다. 구체적으로는 라우터가 지정된 VPN 서버로만 접속하도록 하고 각 클라이언트가 해당 VPN에 대해 인증을 거치도록 할 수 있다. 이 경우 와이파이 보안이 뚫려도 VPN 보안대책이 건재하므로 데이터침탈은 훨씬 어려워진다. 이는 일반인이 사용하기에는 약간 과도한 면이 있지만 기업환경에서는 흔하게 채택하는 방식이다.

와이파이 자체를 버리고 유선으로만 네트워크를 사용하면 가정용 네트워크 보안을 보다 간단하게 개선할 수 있지만 이 방법은 휴대폰이나 태블릿을 사용하는 경우에는 실용적이지 못하다. 라우터의 신호강도를 줄임으로써 위협을 제거하지는 못해도 감소시킬 수는 있다. 또한 방이나 가택에 알루미늄 막 등을 씌워서 주파수 유출을 줄이는 방법도 있지만 이 방법 또한 휴대폰 사용에 방해가 된다. 한편 일부 라우터의 경우 네트워크를 경유하는 모든 패킷을 기록하도록 할 수 있다. 다양한 인터페이스에서 바이트 용량 기준으로만 이상징후를 모니터링해도 상당히 좋은 보안대책이 된다.

네트워크 보안은 복잡한 분야지만 기본적으로는 보안대책이 다층적으로 마련되어 일부 대책이 무너져도 전체 보안을 유지할 수 있게 된다. 어떤 시스템이든 충분한 시간, 자원, 지식만 있으면 뚫릴 수 있으며 따라서 보안에서 '해킹이 가능한가'라는 질문은 의미가 없고 '해킹에 시간이 얼마나 소요되는가'가 중요한 문제가 된다. 그런 면에서 본다면 WPS 표준과 우수한 비밀번호는 일반인에 의한 해킹을 저지할 수 있는 정도의 수준이라고 하겠다. 결국 관심을 가져야 할 주안점은 '해킹의 가능성'이 아니라 '해킹에 시간을 소요할 만한 가치를 줄이는 방법' 혹은 '네트워크가 침탈된 경우의 실질적인 비용'이 돼야 한다.

답변 2

네트워크 숨김, 즉 SSID 숨김은 보안대책으로는 의미가 없다. SSID 중계가 없는 경우에도 사용자 네트워크 자신의 존재를 알리며 다만 여기에 SSID를 포함시키지 않을 뿐이기 때문에 기본적으로 윈도8 네트워크 목록에 잡히게 된다. MAC 필터링 또한 WEP 해킹 등을 늦출 수는 있지만 기본적으로 정상적인 MAC 주소를 복제할 수 있기 때문에 실질적인 대책이 될 수 있다.

와이파이 암호화 측면에서 우선 WEP 표준은 비밀번호 수준에 관계없이 누구나 소프트웨어를 다운로드하여 해킹할 수 있을 정도로 취약하다. WPA의 경우 조금 낫긴 하지만 이 역시 툴을 제대로 사용한다면 해킹이 어렵지 않다. WPA2 표준에 AES 암호화가 조합된다면 상당히 안전한 편이며 우수한 비밀번호를 사용한다면 이를 단시간에 뚫기는 어렵다. 다만 이는 어디까지나 해킹의 비용이 높다는 의미일 뿐이며 충분한 시간과 자원이 주어진다면 WPA2라고 해서 영구적인 안전을 보장할 수는 없다. 한편 WPS는 불필요하며 해롭기만 하므로 어떤 암호화표준을 사용하든 해제해야 한다.

보안의 실질적인 쟁점은 '해킹가능성' 자체보다는 '일정한 역량을 가졌을 때 해킹에 얼마나 소요되는가'에 있다. 이와 관련하여 보안대책을 여러 겹으로 구비하는 다층보안은 상당히 중요한 대책이 된다. 보안이 요구되는 통신내용의 경우 AES와 같은 강력한 암호화 알고리즘을 따르며 TLS나 PKI와 같은 보안대책을 동반하게 된다. 이메일이라든지 기밀정보를 수반하는 웹트래픽이 암호화되도록 하고 파일 또는 프린터 공유를 할 경우에는 우선 적절한 인증체계를 마련해야 한다.

Akemi Iwaya, Is it Really Possible for Most Enthusiasts to Hack Wi-Fi Networks?, 3. 25. 2014.

번역⋅요약: madfox

참고링크

https://blog.threattrack.com/ransomware-packed-into-wsf-spam/

WSF 기반 Zepto 랜섬웨어

비트펀 — Wed, 27 Jul 2016 14:39:50 +0900

ThreatTrack 연구진은 최근 Zepto 랜섬웨어 배포수단으로 윈도스크립트파일(WSF, windows scripting file) 압축파일을 첨부한 스팸이 다량 유포되는 현상을 포착했다. 이 수법은 기존에 흔히 쓰인 자바스크립트나 매크로문서 스팸에서 바뀐 것이다. 아래는 이러한 종류의 소셜엔지니어링(social engineering) 수법을 보여주는 실제 이메일이다.

ThreatAnalyzer 분석

위 스팸메일의 WSF를 추출하여 ThreatAnalyzer 맬웨어분석 샌드박스를 통해 분석한 결과는 다음과 같다.

WSF에서 문제되는 부분은 스크립트며 따라서 WScript.exe의 요청트리(call tree)가 판단의 주안점이 됐다.

변경된 파일의 수가 많다는 점은 해당 스크립트가 바이러스나 랜섬웨어일 가능성이 높음을 의미한다.

분석결과 두 장의 스크린샷이 잡혔다.

한편 MODIFED FILES 항목을 펼친 결과는 다음과 같다.

감염된 파일에는 .zepto라는 확장자가 붙게 된다. 위 스크린샷과 파일변경내용으로 볼 때 본 샘플은 Zepto 랜섬웨어의 변종이라고 할 수 있다.

WSF 스크립트 행동양상

C:\Windows\System32\WScript.exe (3388)를 선택하면 WSF 자체의 행동결과를 확인할 수 있다.

WSF는 우선 두 개의 파일(UL43Fok40ii, UL43Fok40ii.exe)을 생성하고 mercumaya.net에 대한 HTTP 접속을 개시했다.

아래는 UL43Fok40ii 바이너리 표시다.

아래는 UL43Fok40ii.exe로 PE 파일형식으로 돼 있다.

이들 두 파일을 비교해 보면 각각 용량이 208008바이트와 208004바이트로 그 차이가 4바이트에 불과한데 이를 통해 .exe 확장자가 없는 파일은 복호화를 거쳐 PE 실행파일로 만들어졌다는 추측이 가능하다.

이후 WSF스크립트가 전달인자(arguement) 321을 통해 PE 실행파일을 구동했다.

호스트 주소에 com.my라는 접미어가 들어간다는 사실로 볼 때 서버 위치는 말레이시아로 추정된다.

HTTP 헤더를 봐도 컨텐츠 용량이 208008바이트임을 볼 수 있으며 이는 앞서 본 암호화된 파일의 용량과 동일하다.

WScript.exe가 실행하 WSF 파일은 Windows PE 파일을 다운받아 복호화한 다음 실행시켰다.

다운로드 PE 실행파일

이제 UL43Fok40ii.exe에 대해 살펴본다. 아래 그림에서 판단할 수 있는정보는 다음과 같다.

• 우크라이나에 위치한 일부 정보 게시

• 수백 개의 파일에 접근

• 기본브라우저 실행(본 분석의 경우 크롬)

• cmd.exe가 포함된 파일 삭제

• 공유폴더 접속

• 파일이 암호화된 모든 폴더에 대해 _HELP_instructions.html 안내문을 생성

• 쓰레드 10개 생성

우크라이나 사이트에 게시된 데이터는 암호화돼있는데 파일 암호화에 필요한 id와 키를 포함하고 있다 추정된다.

ThreatAnayzer 분석결과를 통해 1차(raw) 데이터는 16진법 표시로 볼 수 있다. 1차 데이터를 부분적으로 변환한 결과는 다음과 같다.

아울러 여러 파일의 이름이 변경됐다. 파일이 암호화되는 과정에서 GUID filename을 통해 암호화된 파일 명칭의 접미부분에 .zepto를 붙게 된다.

파일검색을 보면 드라이브 루트 디렉토리로 들어가기에 앞서 연락처 파일를 먼저 노리게 된다.

아래는_HELP_instructions.bmp 파일의 컨텐츠를 보여주는 스크린샷이다.

본 맬웨어 샘플은 구동 중인 실행파일을 Temp 폴더의 파일로 옮기려 한다.

기본브라우저로 설정된 크롬을 통해 바탕화면에 생성된 _HELP_instructions.html이 열린다.

또한 Temp 폴더의 맬웨어 사본이 삭제되는데 이는 사후정리 과정의 하나로 생각된다.

_HELP_instructions.html을 브라우저에서 열면 아래와 같이 나타난다.

Chrome.exe 하부의 프로세스요청트리는 Zepto 악성코드와는 별개로 브라우저에 의해서만 개시됐을 가능성이 높다.

랜섬웨어 방지

오늘날 Zepto와 같은 랜섬웨어의 배후세력은 기업과 정부기관을 침투하기 위해 다양한 방법을 공격적으로 모색하고 있으며 본 사례는 랜섬웨어에 흔히 쓰이는 자바스크립트나 오피스 매크로에서 벗어나 WSF 첨부물을 필터링하지 않는 이메일 게이트웨이 통과를 시도했던 경우에 해당한다.

랜섬웨어와 같은 정교한 위협의 피해를 막기 위해서는 VIPRE Endpoint Security와 같은 지능형 엔드포인트 보안솔루션, ThreatAnalyzer와 같은 맬웨어행동분석툴, ThreatSecure와 같은 사이버공격 방어솔루션 등의 솔루션이 필요하며 중요 데이터를 주기적으로 백업해야 한다.

<참고: ThreatAnalyzer 맬웨어분석 샌드박스>

<참고: VIPRE 엔드포인트 보안솔루션>

ThreatTrack Security Labs, Zepto Ransomware Packed into WSF Spam, 7. 25. 2016.

번역: madfox

참고링크

랜섬웨어가 ‘먹히는’ 이유 제2탄: 침투 전략

비트펀 — Wed, 27 Jul 2016 13:46:04 +0900

게시일: 2016-07-05 l 작성자: Trend Micro

2016년 상반기는 ‘랜섬웨어의 대활약’ 이라고 요약할 수 있습니다. 온라인 뱅킹 해킹도구 등과 같은 기타 사이버 범죄와 달리, 랜섬웨어는 고급 기술을 보유하고 있지 않아도 쉽게 돈을 벌 수 있는 멀웨어입니다. 따라서 2014년과 2015년 확인된 랜섬웨어가 총 49개였던 것과 비교하여 2016년 6월 말 현재, 이미 50개 이상의 새로운 랜섬웨어 그룹이 확인되고 있습니다.

랜섬웨어의 암호화 기술 뒤에 숨겨진 전략을 살펴보는 것 이외에, 침입 전략을 살펴보는 것 또한 중요합니다. 랜섬웨어의 전형적인 침입 전략은 (1) 스팸메일, (2) 변조된 웹사이트 또는 익스플로잇 킷이 포함된 악성 웹사이트 입니다. 위 두 가지 방법은 간단하지만 매우 효과적입니다.

트렌드마이크로에서는 대다수의 랜섬웨어가 네트워크 진입로에서 웹사이트 및 이메일 필터링을 통해 차단될 수 있다는 것을 분석하였습니다. 실제 2016년 1월부터 5월까지 당사에서는 6,600만 이상의 랜섬웨어 관련 스팸메일 및 악성 웹사이트를 차단했습니다. 따라서, 본 게시글에서는 랜섬웨어의 침입 전략과 그 대응법에 대해 확인해보고자 합니다.

침입 전략 1 : 스팸메일

스팸메일을 통한 랜섬웨어 유포 전략과 스팸 필터링 우회 기술에 대해 살펴보고자 합니다. 일반적으로 랜섬웨어 유포에 이용되는 스팸메일은 매크로(macro), 자바스크립트(Javascript) 등의 실행형 첨부파일이 포함되어 있으며, 이러한 첨부파일은 랜섬웨어 본체를 다운로드 하는 역할을 합니다.

예를 들어, 랜섬웨어 CRYLOCK / CRILOCK / CRITOLOCK (CryptoLocker) 는 이메일에 악성 파일을 첨부하며(대부분의 경우 ‘UPATRE’의 변종), 실행 시 ZBOT(ZeuS)를 다운로드하는 역할을 합니다. 이 멀웨어는 사용자의 PC에 CryptoLocker를 다운로드하여 실행합니다.

하지만, 공격은 여기서 멈추지 않습니다. 일부 랜섬웨어는 매크로 공격 방식을 추가하여, 샌드박스 기술을 우회합니다. 사용자가 악성 문서파일에 내포된 매크로 실행을 선택하도록 유도하기 위해, 사용자를 속이기 위한 사회 공학기법이 중요한 역할을 합니다.

Locky 랜섬웨어는 악성 매크로 첨부파일을 이용하는 대표적인 예입니다. 매크로에 존재하는 폼 개체(Form Object)를 이용하여 악성코드를 은폐합니다. 해당 랜섬웨어는 2015년 2월에 미국 캘리포니아 할리우드 장로 병원(Hollywood Presbyterian Medical Center) 를 공격한 바 있습니다. 2016년 5월 말부터 6월 초 모습을 감춘 Locky 랜섬웨어는 최근 활동을 재개하고 있는 것으로 확인되었습니다.

그림1. Locky 랜섬웨어를 유포하는 스팸메일

또한 당사에서는 XORBAT, ZIPPY, CRYPTESLA (TeslaCrypt) 4.0버전, CRYPTWALL (CryptoWall) 3.0버전, LOCKY 변종 등을 자동으로 다운로드 하는 자바스크립트 첨부파일 사례도 확인하였습니다. 사이버 범죄자는 Locky,CERBER와 같은 랜섬웨어를 확산하기 위해 VBScript와 같은 스크립팅 언어도 이용하고 있습니다. 스크립트 언어를 첨부 파일로 사용할 경우, 탐지가 불가능하게 되는 경우가 있기 때문입니다.

그림 2. CryptoWall 3.0 자바스크립트 파일

이메일 제목

랜섬웨어를 유포하는 이메일의 제목은 굉장히 평범합니다. 당사에서 확인한 이메일 제목은 ‘이력서’, ‘청구서’, ‘배송 정보’, ‘계정 동결’ 등이었으며, 해당 메일은 공식 기관의 이메일을 표방하여 제작되었습니다.

그림 3. TorrentLocker 유포 메일

그림 4. TorrentLocker 스팸메일의 예

호주와 유럽에서 유행한 CRYPTLOCK (TorrentLocker)의 스팸메일 활동은 주목할 만 합니다. 전형적인 영어 제목이 아닌, 특정 국가의 언어와 기관 이름을 사용합니다. 예를 들어, 호주를 대상으로 하는 경우 호주연방경찰과 호주우편공사 등 현지 기관의 메일로 위장합니다.

이러한 랜섬웨어의 스팸메일 캠페인에서 주목할 것은, 무작위로 전송하는 것이 아닌 특정 언어의 이메일을 해당 지역 사용자에게만 발송한다는 것입니다. 예를 들어, 이탈리아어로 된 스팸메일은 이탈리아의 사용자에게만 전송되었습니다.

메일 발송 타이밍

사이버 범죄자는 조직이나 기업에 스팸메일을 보낼 때 효과적인 타이밍을 노립니다. 예를 들어, CryptoWall은 사용자의 사서함에 오전 5시~9시(동부표준시) 사이에 도착하며, TorrentLocker는 대상 국가의 업무시간에 맞추어 주중 오후 1시~오후 7시경 발송됩니다. 또한, 한번에 다량의 스팸메일을 보내는 것이 아닌, 시간 별 발송량을 조절하여 최대의 효과를 노립니다. 따라서, 기존 스팸메일 탐지 방법으로 검출되지 않는 것입니다.

침입 전략 #2: 악성 웹사이트

랜섬웨어는 악성 URL 또는 변조된 웹사이트에 숨어 활동하기도 합니다. 웹 서버를 공격하여 사용자를 악성 웹사이트로 유도하는 경우도 있습니다. 웹사이트 변조는 웹 차단 기술을 우회하는 효과적인 방법입니다.

일례로, 2015년 12월 사이버 범죄자는 영국의 주요 신문사인 The Independent 의 블로그를 변조하여 TeslaCrypt 2.0을 확산시켰습니다. 문제의 블로그에 접속한 모든 사용자들은 여러 웹페이지를 거쳐 앵글러 익스플로잇 킷(Angler Exploit Kit)를 호스팅하는 사이트로 연결되었습니다. 만일 사용자의 PC가 특정 어도비 플래시 플레이어 취약점(CVE-2015-7645)을 가지고 있는 경우, 곧바로 랜섬웨어가 감염되었습니다.

웹사이트를 해킹하는 것 이외에도 사이버 범죄자들은 악성 파일을 호스트하기 위해 다양한 정식 서비스를 이용합니다. PETYA 랜섬웨어는 클라우드 스토리지 서비스인 Dropbox를 이용하여 랜섬웨어를 유포하였습니다. 구직 메일로 위장한 스팸메일을 전송하여, 첨부된 문서를 클릭하면 Dropbox에 저장된 악성 프로그램이 다운로드되어 랜섬웨어가 감염되는 것입니다.

웹 차단 우회 방법

TorrentLocker는 랜딩 페이지와 드라이브 바이 다운로드에 의한 악성 파일 다운로드와 같은 탐지 및 차단을 우회하기 위해 CAPTCHA 코드의 인증 시스템을 사용하였습니다. 이 외에도 DNS 레코드에 대한 TTL(Time to Live)를 단기간으로 설정하여, 도메인이 약 1시간 정도의 짧은 시간 동안에 활성화되기 때문에, 관련 URL 차단과 추적이 어렵습니다.

익스플로잇 킷에 의한 확산

악성 광고를 통한 익스플로잇 킷에 의한 랜섬웨어 확산도 발견되고 있습니다. 취약점 업데이트가 미비한 PC가 악성 광고를 통해 악성 웹사이트를 접속한 경우 랜섬웨어 또는 기타 악성 프로그램에 감염될 수 있습니다.

하단의 표는 다양한 익스플로잇 킷에 의해 확산되는 랜섬웨어 그룹의 목록입니다.

익스플로잇 키트	확산되는 랜섬웨어 (2015)	확산되는 랜섬웨어 (2016)
Angler Exploit Kit	CryptoWall, TeslaCrypt, CryptoLocker	CryptoWall, TeslaCrypt, CryptoLocker, CryptXXX
Neutrino Exploit Kit	CryptoWall, TeslaCrypt	CryptoWall, TeslaCrypt, Cerber, CryptXXX
Magnitude Exploit Kit	CryptoWall	CryptoWall, Cerber
Rig Exploit Kit	CryptoWall, TeslaCrypt	Ransom_GOOPIC
Nuclear Exploit Kit	CryptoWall, TeslaCrypt, CTB-Locker, Troldesh	TeslaCrypt, Locky
Sundown Exploit Kit		CryptoShocker
Hunter Exploit Kit		Locky
Fiesta Exploit Kit	TeslaCrypt

앵글러 익스플로잇 킷은 TeslaCrypt를 유포하기 위해 사용되었지만, TeslaCrypt 개발자가 2015년 4월 활동을 중지한 뒤에는 CryptXXX의 확산에 이용되었습니다.

사이버 범죄자들은 또 다른 익스플로잇 킷인 뉴트리노(Neutrino EK), 리그(Rig EK)등을 이용하고 있습니다. CryptXXX를 유포하는 뉴트리노와 Locky를 유포하는 뉴클리어(Nuclear EK)가 각각 확산 중에 있습니다.

운영 체제를 최신 상태로 유지하는 것은 익스플로잇 킷 및 부정 광고를 통한 악성 프로그램 다운로드 방지를 위한 보호 조치입니다. 웹 검증 및 취약점 대책을 이용하여 악성 URL을 차단하는 것은 효과적인 보안 조치입니다.

트렌드마이크로의 대책

랜섬웨어에 의한 피해를 방지하지 위해 네트워크 진입로를 보호하는 것은 매우 중요합니다. 랜섬웨어가 엔드포인트까지 침투할 경우, 파일 또는 시스템 복구가 어렵습니다. 네트워크로 연결된 PC 또는 서버까지 감염이 확산될 경우, 복구는 더욱 어려워집니다. 이러한 랜섬웨어의 특성을 고려하였을 때, 기존 보안 대책으로는 충분하지 않습니다. 기업을 위한 다층 보안 설계를 권장합니다.

트렌드마이크로의 Deep Discovery Email Inspector는 이메일로 들어오는 랜섬웨어가 사용자에게 도달하지 못하도록 방어합니다. 오피스스캔은 동작 모니터링, 애플리케이션 관리, 취약점 보호 등의 기능을 통해 엔드포인트를 보호합니다. Deep Discovery Inspector는 네트워크 상에서 랜섬웨어를 감지하며, Deep Security는 물리적, 가상, 클라우드 서버를 보호하는 역할을 합니다.

중소기업용 Worry-Free 비즈니스 시큐리티는 클라우드 기반 이메일 게이트웨이 보안인 이메일 보안 호스팅을 제공합니다. 또한 동작 모니터링, 실시간 웹 검증을 통해 엔드포인트에 도달하는 랜섬웨어를 탐지하고 차단합니다. 개인용 클라이언트 종합 보안 제품 맥시멈 시큐리티 역시 랜섬웨어가 무단으로 데이터를 암호화하거나 변경하려는 움직임을 감지하고 차단하는 기능을 가지고 있습니다.

최근 트렌드마이크로에서 발표한 무료 툴인 트렌드마이크로 화면 잠금 랜섬웨어 도구는 화면잠금 랜섬웨어를 감지하여 제거합니다. 또한 트렌드마이크로 크립토 랜섬웨어 파일 복호화 툴은 피해자가 돈을 지불하거나 복호화 키를 사용하지 않아도 특정 종류 및 버전의 크립토 랜섬웨어를 복호화 할 수 있는 도구 입니다.

원문: Why Ransomware Works: Arrival Tactics

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

랜섬웨어가 ‘먹히는’ 이유 제2탄: 침투 전략

https://www.trendmicro.co.kr/kr/blog/ransomware-arrival-methods/index.html

참고링크

랜섬웨어가 ‘먹히는’ 이유: 암호화 기술 뒤에 숨겨진 전략

비트펀 — Tue, 26 Jul 2016 15:15:56 +0900

랜섬웨어가 ‘먹히는’ 이유: 암호화 기술 뒤에 숨겨진 전략

게시일: 2016-06-17 l 작성자: Trend Micro

기업은 어떻게 랜섬웨어 공격에 대응할 수 있을까요? 최근 여러 기관에서 랜섬웨어 공격에 대비하여 비트코인을 사들이고 있다는 연구가 있었습니다. 공격 받을 시 빠른 시간 내 중요한 파일을 복구하기 위한 대응책입니다. 하지만 돈을 지불하는 것이 파일 복구를 보장하지 않는 것은 물론이고, 추가적인 랜섬웨어 공격으로 이어질 수 있습니다. 그럼에도 불구하고 랜섬웨어 공격으로 인한 기업 손실과 명예 실추로 인해 추가적인 불이익을 예상한다면, 기업의 이러한 대처를 비난할 수는 없습니다.

지속적인 랜섬웨어의 공격

랜섬웨어 피해자가 되지 않기 위해, 이 멀웨어가 어떻게, 그리고 왜 공격을 하는지 이해하는 것이 중요합니다. 물론, 사회공학적 기법과 상용 등급 암호화는 랜섬웨어 공격의 중요한 요소입니다. 하지만 최근 유행하는 랜섬웨어들은 다른 멀웨어의 수법을 차용하여, 복호화를 어렵게 만들고 있습니다.

예를 들어보겠습니다. A 회사에서 ‘파일과 중요 데이터가 모두 암호화 되었으니, 되찾고 싶다면 돈을 지불하라’는 메시지를 수신했습니다. IT 운영자는 즉시 감염된 시스템의 네트워크를 차단하고 분리했습니다. 그 후, 감염된 컴퓨터를 치료하여 파일 복구를 시도합니다. 하지만 이 때 여러 문제점이 발생합니다.

일례로 랜섬웨어가 일반적으로 사용하는 기법 중 하나는 섀도우 복사본을 삭제하는 것입니다. 하단의 커맨드 중 하나를 사용하여 이를 실행합니다.

vssadmin.exe Delete Shadows/All/Quiet
WMIC.exe shadowcopy delete/nointeractive

섀도우 복사본을 삭제함으로써, 사용자가 파일을 복구할 수 없도록 백업 파일을 삭제하게 되는 것입니다.CRYPWALL, Locky, CERBER, CRYPTESLA와 같은 변종 랜섬웨어에서 이와 같은 기능을 사용하고 있습니다. 부팅 변경, 감염 확산, 백신 우회 등과 같은 기법도 널리 활용되고 있습니다.

부팅 변경

마스터 부트 레코드(MBR)의 재작성 또는 삭제로 인해 시스템 부팅이 불가능해집니다. 이를 우회하기 위해 안전모드 부팅을 시도하는 것도 무용지물입니다. PETYA 는 이러한 공격 수법을 가진 대표적인 랜섬웨어입니다.

감염 확산

랜섬웨어에 의해 감염된 1개의 시스템 복구도 어렵지만, 이동식 드라이브와 네트워크를 통해 감염이 확산된다면 또 다른 중요 데이터가 암호화 될 위험에 놓이게 됩니다. 해당 공격 수법을 사용하는 랜섬웨어는Zcryptor(ZCRYPT crypto-ransomware)는 이동식 드라이브와 네트워크의 공유폴더까지 확산하여 감염시킵니다.

백신 우회

워치독 프로세스(Watchdog process)는 멀웨어의 새로운 인스턴스를 부활시키기 위해 svchost.exe로 명명된 regsvr32.exe 또는 rundll32.exe을 복사합니다. 하나의 프로세스가 암호화를 실행하면, 나머지 하나의 프로세스는 워치독으로 활동합니다. 랜섬웨어가 탐지를 우회하기 위해 고용하는 또 다른 기술은, 해당 환경이 VMWare 환경인지 확인하는 것입니다.

그림 1. CryptXXX 감염 프로세스 트리, 워치독 프로세스 포함

VIRLOCK 은 다형성 암호 기법을 가진 랜섬웨어로서, 감염이 실행될 때마다 코드를 변경해 보안 소프트웨어에서 탐지가 매우 어렵습니다. 하단 그림에서와 같이 감염 파일에 무작위 가비지 코드와 API 콜을 삽입하기도 합니다.

그림 2. VIRLOCK의 탐지 우회 기술 코드 정보

또 다른 공격 수법

랜섬웨어의 지속적인 공격에서 주목할 만한 기술은 네트워크 드라이브의 데이터를 암호화하고, 이와 더불어 SMB(Server Message Block)를 공유하여 발견되는 모든 파일을 암호화 하는 것입니다. 2015년 등장한 CryptoFortress는 위와 같은 수법을 사용합니다. CRYPWALL 3버전과 4버전 또한 마찬가지로, 연결된 모든 드라이브로 확산하여 데이터를 암호화 합니다.

또 다른 변종인 PowerWare와 POSHCODER는 윈도우 PowerShell 기능을 악용합니다. CryptoLocker 공격에서는 C&C 서버 연결을 위한 DGA(Domain Generation Algorithm)도 처음 발견되었습니다. CryptXXX의 경우, 피해자의 정보를 탈취하여 지하시장에서 판매합니다.

랜섬웨어 공격자가 취약점을 이용하여 위협을 확산시킬 경우, 감염 피해 복구는 더욱 어려워집니다. SAMSAM은 Jexboss 익스플로잇을 악용하여 네트워크를 통해 취약한 서버에 침투하여 랜섬웨어 공격을 실행하였습니다.

다층 보안 설계

파일 암호화로부터 초래되는 불편함, 파일 복구 시도의 실패, 잠재적인 추가 피해로 인해 몇몇 기관들에서는 랜섬을 지불하는 것을 택하고 있습니다. 하지만 이것은 매우 위험한 결정이라고 할 수 있습니다. 한 번 랜섬을 지불할 경우, 돈을 지불하는 피해자로 인식되어 더 많은 랜섬웨어 공격의 대상이 될 수 있습니다.

랜섬웨어를 이해하는 것은 기업의 IT환경을 보호하기 위한 중요한 시작입니다. 파일을 백업하는 것은 보안의 가장 기초이지만, 그것만으로 끝나는 것이 아닙니다. 백업을 찾아내어 삭제하는 변종들이 계속 새롭게 등장하고 있기 때문입니다. 기업에서는 다층 보안 설계를 구축해야 합니다.

트렌드마이크로는 대기업, 중소기업 및 개인 사용자가 크립토 랜섬웨어의 피해를 최소화할 수 있는 대응책을 제공합니다.

중소기업용 Worry-Free 비즈니스 시큐리티는 클라우드 기반 이메일 게이트웨이 보안인 이메일 보안 호스팅을 제공합니다. 또한 동작 모니터링, 실시간 웹 검증을 통해 엔드포인트에 도달하는 랜섬웨어를 탐지하고 차단합니다.

개인용 클라이언트 종합 보안 제품 맥시멈 시큐리티 역시 랜섬웨어가 무단으로 데이터를 암호화하거나 변경하려는 움직임을 감지하고 차단하는 기능을 가지고 있습니다.

원문: Why Ransomware Works: Tactics and Routines Beyond Encryption

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

랜섬웨어가 ‘먹히는’ 이유: 암호화 기술 뒤에 숨겨진 전략

https://www.trendmicro.co.kr/kr/blog/why-ransomware-works-tactics-beyond-encryption/index.html

참고링크

http://www.gfi.com/blog/wp-content/uploads/2016/07/GFI_Software_Ransomware_Infographic_final_1.jpg

랜섬웨어 예방 및 피해방지 수칙

비트펀 — Mon, 25 Jul 2016 16:41:02 +0900

근래 수많은 회사들을 공격한 랜섬웨어는 현존하는 중대한 위협이다. 랜섬웨어를 방지할 수 있는 가장 효과적인 방법은 바로 교육이며 이에 따라 본 인포그래픽은 기업에서 랜섬웨어 방지를 위해 따라야 할 실천수칙을 정리했다. 인포그래픽은 예방을 위한 대책 및 조언 외에 랜섬웨어가 실제 침투한 경우에 대비한 방안도 제시하고 있다.

- 인포그래픽 본문 -

랜섬웨어란 강력한 암호화키로 사용자 파일을 암호화시킨 다음 복호화의 대가로 돈을 요구하는 악성코드다. 랜섬웨어는 주로 이메일 첨부물이나 악성웹사이트 링크를 통해 배포되며 피해방지를 위해서는 예방이 최선책이다.

1. 주기적으로 데이터 백업: 주기적으로 백업이 된 상태라면 랜섬웨어에 감염된 파일을 신속히 되찾을 수 있다. 백업도 감염되는 사태를 방지하기 위해서는 해당 백업을 읽기전용으로 설정하고 오프라인 또는 클라우드로 백업을 격리시켜야 한다.

2. 주기적으로 소프트웨어 패치: 운영체제, 브라우저, 어플리케이션, 네트워크기기의 패치를 최신으로 유지한다면 악성코드에 대한 취약점을 줄이고 랜섬웨어의 일반적 감염경로를 차단할 수 있다.

3. 의심 트래픽 모니터링 및 차단: 침임 탐지⋅방지 시스템(IDS⋅IPS)을 통해 의심스러운 트래픽을 모니터링하고 필요한 경우 사용자에게 알리거나 지정된 조치를 즉각 실행하도록 할 수 있다. 의심 트래픽 차단을 통해 감염확산을 막고 데이터피해 확대를 방지할 수 있다.

4. 인터넷 다운로드파일 검사: 웹모니터링 솔루션을 통해 인터넷에서 다운받은 파일을 검사하고 사용자의 악성웹사이트 접근을 방지할 수 있다. 이 경우 피싱이메일이 필터링을 통과하고 사용자가 링크를 클릭하는 경우에도 악성웹사이트 접속이나 감염된 파일 다운로드를 차단할 수 있다.

<참고: GFI WebMonitor 웹모니터링솔루션>

5. 이메일첨부물 검사: 이메일보안 솔루션을 통해 첨부물을 검사하거나 특정한 파일유형에 해당하는 첨부물을 차단하고 여기에 안티바이러스 솔루션을 통한 엔드포인트 실시간 모니터링을 병행한다면 랜섬웨어를 더욱 효과적으로 방지할 수 있다.

<참고: GFI MailEssential 이메일보안솔루션>

6. 의심 실행파일 구동 차단: 윈도 소프트웨어제한정책(Windows Software Restriction Policy)이나 IPS 소프트웨어를 통해 '%userprofile%\AppData', '%ProgramData%', '%Temp%' 등 랜섬웨어가 사용한다고 알려진 폴더에서 실행파일이 구동되지 못하도록 할 수 있다.

7. "알려진 파일유형 확장자 숨김(Hide extensions for known file types)" 해제: 랜섬웨어는 잘 알려진 파일유형으로 위장을 시도한다. 악성파일이 PDF 문서로 위장할 경우 "’Invoice.pdf.exe"와 같은 이름을 사용하게 되는데 이 경우 파일확장자가 숨겨진다면 사용자 측에서 해당 파일을 식별해내기 어려워진다.

8. 마이크로소프트 오피스제품군 보안설정 강화: 최근 발견된 랜섬웨어들은 감염된 마이크로소프트 워드 문서를 통해 정상적인 인보이스로 위장한 다음 악성코드를 다운받아 구동시킨다. 그룹정책을 통해 마이크로소프트 오피스 어플리케이션의 매크로 작동을 차단함으로써 감염가능성을 줄일 수 있다.

9. 사용자권한 제한: 사용자가 필요한 만큼만 권한을 가지고 로그인하도록 하면 맬웨어 감염의 피해를 줄일 수 있고 랜섬웨어가 네트워크 전체로 번지는 사태를 방지할 수 있다.

10. 사용자교육 실시: 상당수 보안위협대책의 마지막 축은 사용자 측에 있다. 랜섬웨어는 부주의한 사용자가 요청한 바 없는 이메일 첨부물을 열거나 악성링크를 클릭하는 등 직접 감염된 파일을 다운받고 실행하는 행동을 하지 않기만 해도 랜섬웨어의 위협을 크게 줄일 수 있다.

전송자를 알지 못하는 경우 이메일첨부을 열거나 링크를 클릭하지 않도록 한다.
예정에 없는 이메일의 경우 도메인 철자오류나 제목 및/또는 본문 형식오류 여부를 확인한다.
의심 파일이나 이메일은 즉시 관계 인력이나 부서에 연락하도록 한다.

GFI Software, 10 ways to prevent ransomware headaches [infographic], 7. 21. 2016.

번역: madfox

참고링크

https://blog.avast.com/the-evolution-of-the-retefe-banking-trojan

Retefe 트로이목마 소개

비트펀 — Mon, 25 Jul 2016 14:11:10 +0900

Retefe 트로이목마는 금융고객의 계정 등 개인정보를 탈취하는 악성코드며 주로 악성 자바스크립트가 문서파일을 첨부물로 하는 피싱 이메일을 통해 배포된다. Retefe는 스웨덴, 스위스, 일본 등지에서 발견된 바 있으며 최근에는 영국의 Smile 은행을 목표로 공격을 실행했다.

이번 사례를 보면 감염경로, 악성인증서 설치과정 등 기본적인 부분은 크게 바뀌지 않았다. 악성 자바스크립트가 실행되면 우선 웹브라우저 프로세스 종료를 시도한다. 그리고 허위 인증서를 설치한 다음 프록시 자동설정 URL을 변경한다. 스크립트는 Dean Edwards 패커를 통해 난독화돼 있다.

다만 Smile 사례에서 새로운 점이 있다면 악성 구성요소가 하나 추가됐다는 사실이다. 원래 자바스크립트에 포함됐던 파웨쉘 스크립트는 2종으로 허위인증서 설치과정에서 나타나는 확인창에서 "OK"를 클릭하는 ConfirmCert 그리고 허위인증서를 파이어폭스 브라우저에 추가하는 AddCertFF가 있다. 이번에 새로 추가된 InstallTP 스크립트는 Task Scheduler Wrapper, 토르(Tor) 클라이언트, Proxifier를 다운받아 설치한다.

우선 Task Scheduler Managed Wrapper는 Codeplex를 통해 다운로드되며 "New-Object Microsoft.Win32.TaskScheduler.TaskService"라는 오브젝트를 사용할 수 있도록 하는데 이는 맬웨어의 작동을 지속시키는 역할을 한다. 작업관리자에 "AdobeFlashPlayerUpdate" 및 "GoogleUpdate Task" 작업이 추가되어 30분마다 실행되며 토르와 Proxifier도 실행한다. 사용자가 이를 중지시킨다 해도 30분 내에 다시 시작된다.

토르 클라이언트는 악성코드가 .onion 도메인에 직접 연결할 수 있도록 하며 이를 통해 AutoConfigURL에 포함된 .onion 도메인에 직접 연결이 가능하다. 토르 클라이언트는 콘솔 어플리케이션으로 본래 정상적으로 실행되면 사용자가 창을 볼 수 있다. 하지만 Retefe에 감염된 기기에서는 창이 숨겨지는데 이는 nCmdShow 값이 SW_HIDE로 설정된 상태에서 ShowWindow가 요청되기 때문이다.

Proxifier는 프록시서버 경유를 지원하지 않는 네트워크 어플리케이션이 SOCKS 또는 HTTPS 프록시 및 체인을 통해 작동할 수 있도록 한다. Proxifier는 9050번 포트를 통해 로컬호스트에서 구동하는 토르 프록시로 모든 트래픽을 경유시킨다. Proxifer는 프록시를 경유하여 접속될 대상과 직접 접속될 대상을 지정할 수 있다.아래 그림을 보면 api.ipify.org를 방문할 경우 직접접속에 해당되어 IP주소가 변경되지 않음을 볼 수 있는데 설정파일을 보면 공격자 측에서 Proxifier를 해킹하여 변조한 버전을 쓰고 있음을 알 수 있다.

프록시 설정의 경우 영국 IP주소를 가진 시스템에 대해서만 적용되며 이는 이전 Retefe 버전과 비슷하다. 만약 감염된 기기에서 예전에 접속했던 은행이나 새로 추가된 은행에 접속할 경우 해당 트래픽은 악성 프록시로 이전된다. 아래 그림에서 볼 수 있듯 해당 프록시는 토르 네트워크에 숨겨져 있다.

사용자가 표적 웹사이트를 방문하면 해당 사이트에 대한 인증서는 허위 인증서로 교체되며 공격자는 이를 통해 감염을 숨기고 사용자의 로그인 정보를 훔칠 수 있다. 아래 그림을 보면 본 사례에서 Retefe가 추가한 가짜 Smile 은행 웹사이트를 볼 수 있다. 이렇게 허위의 HTTPS 인증서를 통해 사용자를 안심시킨다는 점이 Retefe 트로이목마의 가장 큰 위험이라고 할 수 있다.

Retefe 트로이목마 SHA 해시값은 다음과 같다.

03E6A87CC90BD5A8B2EB2E4B6C3D8201B8DC7E7A89FF8A6AA05E9539146FD1AF

347701FAF633D1EDAAA630BA1D3652F13D6097C3855B91C14551390F4C56096F

3944686BEDEA78C498BFCF0431DE509EE118C0CC95DA07402B12E4C954F1A125

6308623E0CF994FC14F8F483A840E0E28428D510CDFC4F07992E40B3F2C77FF4

6B1869D8C1BB898BAC91220823AE80D770D9591DA60EE919FCA0A588D994DFA6

821EBC34F86BFF680E4AACEA40FDACECB3B45B3BE9D231EF9AC261FA2FDC7549

C6E0FC6B084443A0B5D18778F93EE9EBFB7758435BAEEF284F2835552DD641EB

CE549E89D46BD5657809A129C9C02BAEE934F91888A18928F387942F156429EC

CE55C12B504DFF52867F59FAD40C3EED4A4D0CA10A33B3FF3E3BE1039F86B67E

D1C0661E19AB3EDEA209EEFEAC38904FC0D5264F065EB9E769598A55DB938908

Jaromír Hořejší, The evolution of the Retefe banking Trojan, 7. 18. 2016.

번역⋅요약: madfox

참고링크

http://www.coinspeaker.com/2016/07/20/arm-symantec-develop-open-interoperable-standard-internet-things/

ARM 등 IT업체, 사물인터넷 보안표준 개발작업 착수

비트펀 — Mon, 25 Jul 2016 14:01:35 +0900

사진: http://blog.beautheme.com/top-10-internet-of-things-iot-programming-languages/

ARM 칩은 퀄컴, 삼성, 미디어텍 등 다양한 모바일어플리케이션

프로세서 제조업체들이 사용하고 있으며 안드로이드기기 스냅드래곤 프로세서 외에

애플 아이폰의 A형 프로세서에도 사용되고 있다.

사물인터넷 시스템이 널리 퍼지고 있지만 전자상거래 표준에 따라 관리될 수 있는 보안대책이 없는 커넥티드 기기들이 위험에 노출돼 있다는 점은 부인할 수 없다. 이에 기술전문가들이 보안문제 해결에 앞장서고 있으며 ARM, Intercede, Solacia, Symantec 등 업체들이 보안프로토콜 OTrP(Open Trust Protocol) 공동개발에 나섰다. 이들 업체는 스마트폰·태블릿 등 시장에 대량 배포된 기기에서 사용되는 대규모 금융 및 비밀정보 어플리케이션을 통해 검증된 기술을 활용하여 안전한 아키텍쳐와 신뢰 가능한 코드관리를 융합하고자 한다.

ARM 보안시스템부문 부사장 Marc Canel은 다음과 같이 설명한다. "인터넷으로 연결된 세상에서는 모든 기기와 서비스공급자 사이에 신뢰를 구축하는 일이 아주 중요하다. 시스템운영자는 시스템이 상호작용하는 기기를 신뢰할 수 있어야 하며 OTrP는 간결한 방식으로 이를 달성할 수 있다. OTrP의 전자상거래 신뢰 아키텍쳐와 상위 프로토콜은 현존하는 모든 플랫폼과 쉽게 연동될 수 있다." 한편 OTrP 공동협정에 참여한 업체로는 앞서 소개한 회사 외에 Beanpod, Sequitur Labs, Sprint, Thundersoft, Trustkernel, Verimatrix 등이 있다.

Symantec은 보안강화의 중요성을 강조하며 2015년 매일 1백만건의 인터넷 공격이 실행됐다는 점을 상기시켰다. 커넥티드 기기는 공격평면을 넓힌다는 면에서 보안문제를 더욱 확대시킬 여지를 안고 있다. 분석회사 가트너에 따르면 모든 커넥티드 제품 제조과정의 최우선 과업은 보안에 있다고 한다.

BusinessWire에는 IETF 웹사이트를 통해 시험평가가 가능한 OTrP 초기모델에 대한 상세내용을 제공하고 있다. OTrP는 상위 관리 프로토콜로 ARM® TrustZone® 기반 Trusted Execution Environments 등 모바일컴퓨팅기기에 대한 사이버공격을 방지하기 위해 개발된 보안솔루션과 연동된다.

Digital Trust Specialists CEO Richard PArris는 다음과 같이 설명한다. "IETF를 통한 OTrP 공개평가과정은 개발자 그룹부터 모바일 및 IoT 커넥티드 기기 서비스에 이르기까지 전 방면에서 전자적 신뢰를 달성하기 위해 중요한 단계다. 네트워크운영자와 앱개발자는 호환성, 정책, 비용 측면에서 하드웨어 보안모듈과 암호화키 공급자를 선정하는 데 필요한 통제력을 확보할 수 있으며 동시에 다양한 기기 간에 공통된 관리플랫폼을 유지할 수 있다."

Symantec 사물인터넷보안 부문 선임이사 Brian Witten의 설명은 다음과 같다. "신기술 등장으로 인해 보안위험이 증대됐다. 사물인터넷과 스마트모바일기술은 다양한 방면으로 응용되고 있으며 기기상 암호화키를 보호하기 위해 설계된 하드웨어기반 보안 적용을 간소화 및 활성화하기 위해 개방형 프로토콜을 개발하는 일이 중요하다."

OTrP를 통해 기존 전자상거래 보안아키텍쳐를 재활용함으로써 중앙 데이터베이스 없이도 소프트웨어 신뢰성을 관리할 수 있는 다중호환 표준의 구축이 한층 가까워졌다.

Tatsiana Yablonskaya, ARM and Symantec Develop Open Interoperable Standard for Internet of Things, 7. 20. 2016.

번역: madfox

참고링크

FLocker 랜섬웨어, 스마트TV를 노리다

비트펀 — Mon, 25 Jul 2016 13:53:40 +0900

게시일: 2016-06-15 l 작성자: Echo Duan (Mobile Threat Response Engineer)

하나의 플랫폼으로 여러 스마트 디바이스를 사용할 수 있는 것은 삶에 편리성을 가져다 줍니다. 하지만 이 경우, 멀웨어가 1대의 디바이스에 침투하면, 동일한 플랫폼을 공유하는 다른 디바이스도 감염되기 쉽습니다. 최근 유행하는 “FLocker” 랜섬웨어가 이와 같은 경우입니다. 해당 랜섬웨어는 안드로이드 운영체제의 모바일 디바이스를 공격하는 화면잠금형 랜섬웨어이지만, 안드로이드 스마트TV도 감염시킬 수 있습니다.

그림 1. TV 랜섬웨어 화면

2015년 5월, FLocker 랜섬웨어(ANDROIDOS_FLOCKER.A로 명명, Frantic Locker의 줄임말)가 처음 발견된 시기부터 트렌드마이크로 클라우드 보안센터에서는 약 7,000여종의 FLocker 변종이 수집되었습니다. 해당 랜섬웨어의 개발자는 탐지를 우회하고 암호화 기능을 향상하기 위해 지속적으로 멀웨어를 재작성하고 있는 것으로 보여집니다. 지난 몇 달 동안 새로운 FLocker 변종의 출현이 급증과 급감을 반복하였으며, 최근 2016년 4월에 약 1,200개의 변종이 확인되었습니다.

가장 최근 버전의 FLocker는 폴리스 트로이목사(Police Trojan)로서 미국 사이버경찰(US Cyber Police) 또는 다른 법률 기관으로 위장하여, 피해자가 범하지 않은 혐의를 제기합니다. 화면잠금이 완료되면 미화 200달러 상당의 아이튠즈 기프트카드를 벌금으로 지불할 것을 요구하는 화면을 띄우게 됩니다. 트렌드마이크로의 분석에 따르면 모바일 기기를 감염시키는 변종과 스마트TV를 감염시키는 변종에는 큰 차이점이 없습니다. 하단은 당사의 FLocker 루틴에 대한 분석입니다.

FLocker는 정적분석을 우회하기 위해 [asset] 폴더 내부의 raw 파일에 코드를 숨깁니다. 해당 코드는 정상적인 파일로 보이는 “form.html” 파일을 생성합니다.

그림 2. FLocker 정적분석 우회 기능

이렇게 함으로써, “classes.dex” 코드에서 악성행위가 발견되지 않기 때문에 정적분석을 우회할 수 있게 됩니다. “form.html”은 멀웨어가 동작할 때 암호 해제되어 악성코드를 실행합니다.

그림 3. Classes.dex코드(위)와 from.html 코드 암호 해제(아래)

FLocker가 처음 실행될 때 감염된 디바이스가 다음의 동부 유럽 국가에 위치해 있는지 확인합니다: 카자흐스탄, 아제르바이잔, 불가리아, 조지아, 헝가리, 우크라이나, 러시아, 아르메니아, 벨라루스. 만약 디바이스가 앞서 언급된 국가 중 하나에 위치해 있는 것으로 확인될 경우, 멀웨어가 자동으로 비활성화 됩니다.

FLocker는 디바이스에 침투한 후 30분 동안 아무 활동을 하지 않으며, 30분이 지난 후에 디바이스 관리자 권한을 즉시 요청하는 백그라운드 서비스를 실행합니다. 당사는 이러한 행위를 동적 샌드박스 탐지를 우회하기 위한 기술로 파악하고 있습니다. 만약 사용자가 관리자 권한 부여를 거부할 경우, 시스템 업데이트처럼 위조하여 화면을 멈춥니다.

그림 4. 일부 국가에서 공격이 실행되지 않는 FLocker

FLocker는 백그라운드에서 C&C서버로 연결되어 명령을 내려받습니다. 이 때 C&C에서 misspelled.apk라는 새로운 페이로드를 전달하고, 자바스크립트 인터페이스의 랜섬 HTML(“form.html”)이 활성화 됩니다. 해당 HTML 페이지는 APK 설치를 시작할 수 있는 기능이 있으며, 자바스크립트 인터페이스를 활용하여 감염된 피해자의 디바이스로 사진을 촬영하여 랜섬 페이지에 표출시킵니다.

랜섬 웹페이지는 감염된 디바이스에 맞추어 해상도를 변경하는 것으로 확인되었습니다.

그림 5. FLocker 랜섬 페이지 캡처 화면

화면은 잠금되었지만, 멀웨어는 C&C 서버와 통신하며 디바이스 정보, 전화번호, 연락처, 현위치 등과 같은 정보를 탈취합니다. 이러한 데이터는 하드코딩 AES 키로 암호화 되어 base 64로 인코딩됩니다.

그림 6. C&C 서버로 전달되는 정보

이러한 랜섬웨어는 스팸 문자메시지 또는 악성 링크를 통해 전달됩니다. 따라서 인터넷을 탐색하거나 알 수 없는 출처로부터 메시지 또는 이메일을 받았을 때 각별한 주의가 필요합니다.

트렌드마이크로의 대응

안드로이드TV가 감염된 경우 될 경우, 제조사에 연락하여 해결 방법을 문의할 것을 권고합니다. 멀웨어를 제거하기 위한 다른 방법은, 사용자가 ADB 디버깅을 활성화 하는 것입니다. PC에 디바이스를 연결하여 ADB 쉘을 활성화한 뒤 “PM clear %pkg%”를 실행할 수 있습니다. 이 경우 랜섬웨어 프로세스를 중단하고 화면잠금이 해제될 수 있습니다. 사용자는 또한 애플리케이션에 부여된 관리자 권한을 비활성화하고 앱을 삭제할 수 있습니다.

트렌드마이크로는 모바일 디바이스를 보호하기 위해, 스마트 디바이스에 보안 소프트웨어를 설치할 것을 권고합니다. 트렌드마이크로 모바일 시큐리티는 악성 앱 및 기타 경로를 통해 디바이스에 침투하는 랜섬웨어와 같은 모바일 위협으로부터 사용자를 보호합니다. 해당 앱은 Google Play에서 다운로드 받으실 수 있습니다.

원문: FLocker Mobile Ransomware Crosses to Smart TV

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

FLocker 랜섬웨어, 스마트TV를 노리다

https://www.trendmicro.co.kr/kr/blog/flocker-ransomware-crosses-smart-tv/index.html

참고링크

https://blog.vipreantivirus.com/important-news/smart-phones-hacked-hidden-voice-commands/

음성명령에 의한 스마트폰 해킹가능성

비트펀 — Fri, 22 Jul 2016 15:35:00 +0900

보안연구자들이 최근 숨은 음성명령을 통해 기기를 해킹할 수 있는 방법을 찾아냈다. 사용자가 노트북, 데스크탑, 스마트TV, 스마트폰, 태블릿으로 특수 조작된 유투브 영상을 청취할 경우 구글 나우(Google Now)나 애플 시리(Apple Siri)와 같은 음성인식 프로그램이 숨은 음성명령의 기만에 빠져 공격자의 의도대로 행동할 수 있다.

캘리포니아대학교, 버클리대학교, 조지타운대학교 소속 연구진은 프로젝트 페이지를 통해 숨겨진 음성명령을 두고 "사람은 청취할 수 없지만 기기는 이를 명령으로 인식한다"고 설명하고 있다.

[참고]프로젝트 페이지: http://www.hiddenvoicecommands.com/

연구진이 논문에서도 밝힌 내용에 따르면 대부분의 사용자들이 언제든 음성명령을 인식시킬 수 있도록 기기를 상시로 켜진 상태로 두며 이를 통해 휴대전화 해킹이 가능했다고 한다.

[참고]논문: https://security.cs.georgetown.edu/~tavish/hvc_usenix.pdf

아래 링크를 통해 연구진이 음성해킹을 시연하는 과정을 영상으로 볼 수 ㅇ있으며 여기에서 해당 음성명령도 들어볼 수 있다. 이 영상을 보면 먼저 음성인식 어플리케이션이 명령을 해독하여 그 내용대로 행동하는 장면을 볼 수 있다. 만약 기기 사용자 측에서 명령을 듣는다면 이를 취소해 버리면 그만이다. 연구진은 이에 착안하여 명령을 숨기고 기기만이 인식할 수 있도록 했으며 인간은 이 명령을 이해할 수 없고 심지어 알아채기도 어렵다.

[참고]시연영상 https://www.youtube.com/watch?v=HvZAZFztlO0

연구진은 시연을 통해 xhcd.com이라는 사이트를 열도록 하는 명령을 내렸다. 이는 휴대전화가 맬웨어 감염 사이트에 접속하도록 지시를 내릴 수 있음을 의미한다. 또한 숨은 명령이 행사장의 고음 스피커나 인기 유투브 영상에 삽입될 경우 이러한 공격의 효과가 훨씬 커질 수 있다고도 한다.

연구진은 이러한 공격가능성의 대비책으로 음성명령 인식사실에 대한 사용자 알림, 음성에 의한 challenge -response 프로토콜 적용, 기계학습 등을 제시하고 있으며 이들 방법은 100%에 가까운 정확도를 가진다고 한다.

VIPRE Security News, Smart Phones Hacked Through Hidden Voice Commands, 7. 21. 2016.

번역: madfox

참고링크

http://www.gfi.com/blog/ransomware-fud-strikes-again-this-time-against-office-365/

Cerber 랜섬웨어 공격의 진상

비트펀 — Fri, 22 Jul 2016 15:03:23 +0900

근래 Cerber 랜섬웨어가 오피스365를 노린다고 하여 큰 주목을 받았는데 그 실상은 흔히 알려진 내용과는 약간 다르다. Cerber 랜섬웨어가 오피스365를 공격했다는 내용이 최초로 등장한 출처는 보안업체 Avanan의 웹사이트에 Steven Toole이 게재한 글이며 그 내용을 보면 "제로데이 랜섬웨어 바이러스의 대규모 공격에 오피스365 기업사용자들이 노출됐다"고 기술하고 있다.

<참고: 랜섬웨어 차단 AVG 안티바이러스>

그런데 사실 여기에서 언급된 "대규모 공격"이란 Avana 고객 중 오피스365 사용자를 대상으로 한 공격으로 가리키며 오피스365와는 직접 관련이 없는 Avanan 메시지보안플랫폼을 통해 탐지됐다. Cerber가 등장한 이후 몇 시간 지나지 않아 마이크로소프트, 구글, 시만텍, 아바스트, 맥아피 등 수많은 보안업체들이 이 랜섬웨어를 포착했으며 실제로 이 랜섬웨어로 인해 피해를 입은 사용자가 얼마 없다는 점을 생각한다면 이번 Avanan 공격사례가 대규모였다고이유는 없으며 오피스365 사용자만을 특별히 노린 경우도 아니다. 예를 들어 마이크로소프트의 경우 오피스365를 사용하는 고객이 수십만에 달하지만 Avanan의 클라우드보안플랫폼을 사용하는 고객이 몇 명인지는 알 수 없다. Avanan 측에서는 전체 고객의 57%라는 수치를 제시했으나 전체 고객 수를 알지 못하는 이상 이는 의미가 없는 수치다.

참고로 Cerber 랜섬웨어가 노리는 파일유형은 다음과 같다.

.gif, .groups, .hdd, .hpp, .log, .m2ts, .m4p, .mkv, .mpeg, .ndf, .nvram, .ogg, .ost, .pab, .pdb, .pif, .png, .qed, .qcow, .qcow2, .rvt, .st7, .stm, .vbox, .vdi, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .3fr, .3pr, .ab4, .accde, .accdr, .accdt, .ach, .acr, .adb, .advertisements, .agdl, .ait, .apj, .asm, .awg, .back, .backup, .backupdb, .bay, .bdb, .bgt, .bik, .bpw, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .ce1, .ce2, .cib, .craw, .crw, .csh, .csl, .db_journal, .dc2, .dcs, .ddoc, .ddrw, .der, .des, .dgc, .djvu, .dng, .drf, .dxg, .eml, .erbsql, .erf, .exf, .ffd, .fh, .fhd, .gray, .grey, .gry, .hbk, .ibd, .ibz, .iiq, .incpas, .jpe, .kc2, .kdbx, .kdc, .kpdx, .lua, .mdc, .mef, .mfw, .mmw, .mny, .mrw, .myd, .ndd, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nwb, .nx2, .nxl, .nyf, .odb, .odf, .odg, .odm, .orf, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pdd, .pem, .plus_muhd, .plc, .pot, .pptx, .psafe3, .py, .qba, .qbr, .qbw, .qbx, .qby, .raf, .rat, .raw, .rdb, .rwl, .rwz, .s3db, .sd0, .sda, .sdf, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srw, .st5, .st8, .std, .sti, .stw, .stx, .sxd, .sxg, .sxi, .sxm, .tex, .wallet, .wb2, .wpd, .x11, .x3f, .xis, .ycbcra, .yuv, .contact, .dbx, .doc, .docx, .jnt, .jpg, .msg, .oab, .ods, .pdf, .pps, .ppsm, .ppt, .pptm, .prf, .pst, .rar, .rtf, .txt, .wab, .xls, .xlsx, .xml, .zip, .1cd, .3ds, .3g2, .3gp, .7z, .7zip, .accdb, .aoi, .asf, .asp, .aspx, .asx, .avi, .bak, .cer, .cfg, .class, .config, .css, .csv, .db, .dds, .dwg, .dxf, .flf, .flv, .html, .idx, .js, .key, .kwm, .laccdb, .ldf, .lit, .m3u, .mbx, .md, .mdf, .mid, .mlb, .mov, .mp3, .mp4, .mpg, .obj, .odt, .pages, .php, .psd, .pwm, .rm, .safe, .sav, .save, .sql, .srt, .swf, .thm, .vob, .wav, .wma, .wmv, .xlsb,3dm, .aac, .ai, .arw, .c, .cdr, .cls, .cpi, .cpp, .cs, .db3, .docm, .dot, .dotm, .dotx, .drw, .dxb, .eps, .fla, .flac, .fxg, .java, .m, .m4v, .max, .mdb, .pcd, .pct, .pl, .potm, .potx, .ppam, .ppsm, .ppsx, .pptm, .ps, .r3d, .rw2, .sldm, .sldx, .svg, .tga, .wps, .xla, .xlam, .xlm, .xlr, .xlsm, .xlt, .xltm, .xltx, .xlw, .act, .adp, .al, .bkp, .blend, .cdf, .cdx, .cgm, .cr2, .crt, .dac, .dbf, .dcr, .ddd, .design, .dtd, .fdb, .fff, .fpx, .h, .iif, .indd, .jpeg, .mos, .nd, .nsd, .nsf, .nsg, .nsh, .odc, .odp, .oil, .pas, .pat, .pef, .pfx, .ptx, .qbb, .qbm, .sas7bdat, .say, .st4, .st6, .stc, .sxc, .sxw, .tlg, .wad, .xlk, .aiff, .bin, .bmp, .cmt, .dat, .dit, .edb, .flvv

랜섬웨어 대응대책

• GFI LanGuard과 같은 보안솔루션으로 시스템 패치와 업데이트를 자동화하여 취약점 발생가능성을 줄인다.

<참고: GFI LanGuard 네트워크보안솔루션>

• 엔드포인트 그리고 데이터가 거쳐가는 중간시스템에서 안타바이러스 소프트웨어를 구동한다.

• GFI MailEssential과 같이 여러 안티바이러스 엔진을 동시에 구동하는 이메일보안 솔루션을 사용하거나 다양한 업체의 솔루션을 병렬적으로 사용하여 보안대책을 다층화한다.

<참고: GFI MailEssential 이메일보안솔루션>

• 오피스365 사용자의 경우 Advanced Threat Protection 서비스를 구독할 수 있으며 다른 제품군을 사용한다면 이와 유사한 기능을 사용하거나 제품군 자체의 변경을 고려한다. SPF, DKIM, DMARC 등의 필터링을 적용하고 이를 통과하지 못하는 경우는 차단하며 파트너 또한 이러한 정책을 채택하도록 한다.

• 중요데이터는 백업시키고 맬웨어 감염가능성을 차단하기 위해 해당 백업은 엔드포인트로부터 격리시킨다.

Casper Manes, Ransomware FUD strikes again, this time against Office 365, 7. 19. 2016.

번역⋅요약: madfox

참고링크

CERBER 변종, 클라우드 기반 서비스를 노린다

비트펀 — Fri, 22 Jul 2016 11:37:24 +0900

게시일: 2016-07-21 l 작성자: Trend Micro

기업에서 클라우드 서비스 이용을 확장시킴 따라, 사이버 범죄자들 역시 이를 악용하여 멀웨어를 호스트하고 전달하는 도구로 사용을 확대해나가고 있습니다. 사이버 범죄자는 많은 기업들이 클라우드 기반 생산성 플랫폼을 사용하여 민감한 기업 데이터를 관리하는 것을 주목하고, 이러한 클라우드 상의 정보에 접근할 수 없을 경우 기업 운영에 심각한 영향을 미칠 것을 예상하고 있습니다.

위와 같은 상황의 구체적인 예시가 바로 CERBER 크립토 랜섬웨어입니다. 최근 트렌드마이크로에서 탐지한 CERBER의 변종RANSOM_CERBER.CAD는 개인 및 기업 Office 365 사용자를 타겟으로 하고 있는 것을 발견했습니다.

그림1. CERBER 최신 변종의 4가지 랜섬노트: 랜섬노트 음성 버전의 VBS 파일, 웹 브라우저 기본 설정을 결제사이트로 연결하는 .url 및 위 그림의 .html과 .txt 파일

2016년 3월 확인된 CERBER 랜섬웨어군은 서비스거부공격(denial-of-service, DDos) 등의 기능을 추가하며 지속적으로 발전하고 있습니다. 또한 이중 압축된 윈도우 스크립트 파일(Windows Script File, 확장자 .wsf)을 활용하여 동작 감지에 의한 공격 탐지 및 스팸 메일 필터링 우회 기능이 가능합니다. 컴퓨터 기계 음성으로 랜섬노트를 재생하는 독특성을 가진 크립토 랜섬웨어 중 하나이기도 합니다. CERBER의 소스코드는 러시아 지하시장에서 ‘서비스형 랜섬웨어(Ransomware-as-a service)’로 거래되고 있어, 사이버 범죄활동의 이익이 확대에 일조하고 있습니다. 해당 랜섬웨어는 초기 뉴클리어 익스플로익 킷을 이용한 악성광고에 의해 확산되었습니다.

그림 2. 청구서로 위장한 악성파일(매크로 워드 서식파일)이 첨부된 스팸메일의 예

그림 3. 차용증서로 위장한 악성파일(매크로 워드 서식파일)이 첨부된 스팸메일의 예

CERBER의 최신 변종은 Office 365 고객을 타겟하여 매크로가 조작된 악성 파일을 첨부한 스팸메일 형태로 전송합니다. 마이크로소프트는 PC에 설치된 Office 365 및 기타 Office 소프트웨어에 대한 보안 대책을 실시하고 있으며, 이러한 대책의 일환으로 매크로를 이용하는 악성 프로그램 감정을 방지하기 위해 ‘매크로 사용 안 함’이 기본으로 설정되어 있습니다. 그러나 다른 여러 랜섬웨어와 마찬가지로 CERBER 또한 사회공학적 기법 등을 이용하여 사용자가 이러한 보안 대책을 스스로 해제하여 파일에 내장된 매크로를 수동으로 활성화하도록 유도합니다.

문서(W2KM_CERBER.CAD)의 매크로를 활성화 할 경우, VBS 코딩된 트로이목마 다운로더(VBS_CERBER.CAD)가 생성되며, 해당 다운로더는 다음의 URL에서 RANSOM_CERBER.CAD를 다운로드 합니다.

hxxp://92[.]222[.]104[.]182/mhtr.jpg
hxxp://solidaritedproximite[.]org/mhtr.jpg

해당 CERBER 변종은 AAES-265와RSA를 조합하여 442 파일 형식을 암호화하는 기능을 제공합니다. PC의 ‘IE(Internet Explorer)’의 시간대 설정을 변경하고, 섀도 복사본 제거, 윈도우 시동 복구 기능 비활성화, ‘아웃룩’ 또는 ‘Bat!’, ‘Thunderbird’와 같은 메일 프로그램 프로세스 및 MS워드 프로세스를 종료합니다. 그리고 감염된 PC가 위치한 국가가 독립국가연합 중 하나인 경우에는 악성활동을 종료합니다.

* 독립국가연합: 아제르바이잔, 아르메니아, 우크라이나, 우즈베키스탄, 카자흐스탄, 키르키즈스탄, 타지키스탄, 투르크메니스탄, 벨라루스, 몰도바, 러시아

그림4. 악성 매크로의 복호화 과정 일부, 트로이목마 VBS_CERBER.CAD생성명령, %Application Data%\{random file name}.vbs. The trojan saves the files it downloads using the name, %Application Data%\{random file name}.tmp.

트렌드마이크로는 2016년 5월부터 CERBER 랜섬웨어를 전송하는 스팸메일을 탐지하고 있습니다. 2016년 6월 눈에 띄는 급증이 발견되었습니다. 5월 스팸메일 탐지수가 800건 정도였던 것에 비해, 6월에는 12,000건 이상이 확인되었습니다. 최다를 기록한 2016년 6월 22일에는 9,000건 이상의 CERBER 확산 스팸메일이 확인되었습니다. 기타 제로데이 취약점을 이용하여 리그(Rig) 익스플로잇 킷과 마그니튜드(Magnitude) 익스플로잇 킷에 의해 확산되는 새로운 CERBER 변종도 확인되고 있습니다.

CERBER와 같은 크립토랜섬웨어의 작성자는 멀웨어 배포를 확장시키기 위한 여러 새로운 방법을 지속적으로 개발할 것입니다. 이번 경우 개인과 기업 사용자를 공격하기 위해 클라우드 기반 플랫폼을 이용했습니다. 해당 프로그램의 보안 대책이 적절하였음에도 불구하고, 사회공학적기법으로 속이기 때문에, 사용자들은 오피스 프로그램의 매크로를 비활성화 하고 수신인이 불명확한 이메일의 첨부파일을 실행할 때는 특히 더 주의해야 합니다. 백업 전략을 가지고 있는 것 또한 랜섬웨어에 대응하는 효과적인 방어입니다.

트렌드마이크로 솔루션

클라우드 기반 비즈니스 애플리케이션의 보안을 향상시키는 트렌드마이크로 클라우드 앱 시큐리티 (Cloud App Security, CAS)는 당사의 핵심 기술인 샌드박스와 평판 기술을 클라우드 기반 비즈니스 애플리케이션에서 활용할 수 있도록 기능을 구현하고, Office 365에 포함된 Exchange Online, SharePoint Online, OneDrive for Business 및 Box, Dropbox등에 높은 수준의 보안을 실현합니다. 네트워크 동작 모니터링 솔루션인 트렌드마이크로 Deep Discovery는 문서 취약점 공격 코드를 탐지하는 엔진 (Advanced Threat Scan Engine, ATSE) 등을 통해 랜섬웨어의 위협을 경고합니다.

기업 사용자는 이러한 위협에 따른 보안 위험을 줄이기 위해 다층적이고 단계적인 조치를 취해야 합니다. 이메일 공격 방지 제품 Deep Discovery Email Inspector는 이메일을 통해 유입되는 랜섬웨어를 감지하고 차단합니다. 오피스스캔과 같은 엔드포인트 제품은 동작 모니터링 기능 (무단 변경 모니터링 기능) 강화 및 애플리케이션 제어 및 취약점 패치 기능을 통해 위협을 최소화 할 수 있습니다. 서버 및 클라우드 보안 제품 Deep Security는 가상화, 클라우드, 물리적 서버 환경에서 랜섬웨어의 침입을 방지합니다. 트렌드마이크로의 개인용 솔루션 맥시멈 시큐리티 10은 악성 웹사이트, 이메일 및 기타 문서를 차단하여 랜섬웨어 및 기타 멀웨어의 공격에 대한 통합적인 보안을 제공합니다.

원문: Cerber: A Case in Point of Ransomware Leveraging Cloud Platforms

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

CERBER 변종, 클라우드 기반 서비스를 노린다

https://www.trendmicro.co.kr/kr/blog/index.html

참고링크

http://now.avg.com/barts-shenanigans-are-no-match-for-avg/

Bart 랜섬웨어 AVG 복호화툴 소개

비트펀 — Thu, 21 Jul 2016 14:40:10 +0900

AVG 바이러스연구소는 최근 Bart 랜섬웨어에 대한 파일복구 툴을 제작했다. 랜섬웨어 중에서도 최신에 속하는 Bart 랜섬웨어는 이미 전 세계에 퍼졌으며 주로 사진과 이미지에 관련된 제목을 가진 이메일을 통해 배포된다.

<참고: 랜섬웨어 차단 AVG 안티바이러스>

Bart 랜섬웨어는 Dridex 및 Locky 랜섬웨어 제작자가 만들었다고 추정된다. Dridex 그리고 Locky가 파일을 암호화시킨 상태로 다시 쓰는 반면 Bart의 경우 개별 파일을 별도의 암호화된 압축파일(zip)에 넣은 다음 원본 파일을 삭제한다. 물론 사용자가 돈을 지불하기 전까지는 해당 파일에 접근할 수 없다는 점은 마찬가지다.

Bart 랜섬웨어에 감염될 경우 파일의 원래 이름에 bart.zip이라는 확장자가 들어가기 때문에 감염을 바로 알아낼 수 있다. 바탕화면은 대체로 다음과 같은 그림으로 변경된다. 이 그림에 들어간 텍스트는 "Recover.bmp" 그리고 "recover.txt" 파일에 보관되며 Bart 랜섬웨어 식별의 단서가 될 수 있다.

여기에서 소개하는 AVG Bart 복호화툴은 복호화 작업에 앞서 암호화된 파일을 해당 파일의 원본과 비교하는 과정을 거쳐야 한다. 그러므로 툴을 다운받아 구동하기 전에 먼저 암호화되지 않은 파일을 비교대상으로 선택하고 다음 단계를 따른다.

1. 비교대상 파일을 선택한다. 만약 모든 파일이 암호화된 경우라면 (1) 클라우드나 외부저장기기 등에 보관된 파일 (2) 바탕화면 등 윈도우 표준 미디어파일 (3) 이메일에 첨부된 미디어파일을 사용한다.

2. 선택한 파일을 데스크탑에 복사한다. Bart 랜섬웨어는 금전을 요구하고 나서는 파일 암호화를 그치기 때문에 문제가 없다. 이 과정을 마치고 나서 Bart 복호화툴을 다운받아 실행한다. 툴이 실행되면 암호화된 파일과 암호화되지 않은 파일을 추가하라고 요청한다.

3. 파일을 선택하고 나면 나머지 과정은 툴에서 자동 진행한다.

Bart 랜섬웨어 AVG 복호화툴 다운로드링크

Jakub Kroustek, Bart’s Shenanigans Are No Match for AVG, 7. 19. 2016.

http://now.avg.com/barts-shenanigans-are-no-match-for-avg/

번역⋅요약: madfox

참고링크

기업 CFO를 노리는 허위 송금 이메일, BEC

비트펀 — Thu, 21 Jul 2016 13:50:21 +0900

게시일: 2016-06-20 l 작성자: Ryan Flores (Threat Research Manager)

범죄의 목적으로 기업 최고경영자(CEO) 또는 대표이사, 사장 등 고위 간부을 사칭한 이메일 범죄의 증가는 놀라운 일이 아닙니다. 고위 간부의 요청사항을 거절하기 쉽지 않기 때문입니다. 부자연스러운 문법 표현, 복권 당첨, 타국가 왕족의 편지와 같은 비현실적인 이메일을 범죄에 활용하는 시대는 지나갔습니다. 오늘날 범죄에 이용하는 이메일은 업무 이메일 해킹으로 이루어지는 ‘허위 송금 이메일(Business Email Compromise, BEC)’ 입니다. 기업의 간부로 교묘하게 위장하여 타겟 기업의 최고 재무책임자(CFO) 등 재무 관계 책임과 업무를 담당하는 직원을 대상으로 하고 있습니다.

BEC 공격 캠페인은 중소중견 및 대기업 등 기업의 규모와 무관하게 모든 기업이 피해를 입을 수 있는 위험한 사이버 범죄 중 하나로 손 꼽히고 있습니다. 우선, 보안 소프트웨어 등으로 감지되지 않는 사회공학적 수법을 구사하기 때문이며, 또한 재무 부문을 특정 타겟으로 하여 상급 직권에 따를 수 밖에 없는 상황을 악용하기 때문입니다. 이는 바로, 기업의 맹점을 찌르는 공격 수법이라고 할 수 있습니다.

트렌드마이크로는 지난 2년 동안 발생한 BEC 공격 및 피해 사례에 대한 조사를 실시했습니다. 당사의 조사 결과, BEC 공격에는 일정한 패턴을 확인했으며, 추후 기업에서 실시해야 할 보안 대책을 파악할 수 있습니다.

BEC 공격의 40%는 CFO를 타겟으로 한다.
BEC 공격의 31%가 CEO를 사칭한다.
BEC 공격에서 가장 많이 사용되는 이메일 제목은 “Transfer(송금)”, “Request(요청)”, “Urgent(긴급)” 등의 간단하고 직접적인 표현이다.

다양한 수법

기업 간부로 위장하여 송금을 지시하는 “CEO 사기” 수법 이외에도, 다양한 송금 사기 수법이 활용되고 있습니다. 게다가, 저렴한 비용으로 가능합니다. BEC 공격 캔페인에 사용되는 멀웨어는 온라인에서 50 달러에 구매 가능하며, 무료로 사용할 수 있는 멀웨어도 존재합니다. 또 다른 경우, 단순한 이메일 스푸핑을 넘어서는 수법도 있습니다. 사이버 범죄자는 정상적인 이메일 계정을 해킹하여 계정 소유자를 사칭하여 허위 계좌로 송금을 요청합니다. 피싱 또는 키로거(keylogger)를 사용하여 직원 계정 정보를 탈취한 후 이를 이용하여 송금을 요청합니다. 경우에 따라, 계약 성립 전화 등을 꾸며내기도 합니다. 특히, 해외와 거래하는 업체들은 송금내역 수정 등의 수법을 활용한 BEC의 주요 타겟이 되고 있습니다.

직원 대처의 중요성

BEC의 수법은 여러 조사에 의해 대부분 알려져 있습니다. 하지만 미연방수사국(FBI)에 다르면 최근 조사 결과, 2013년 10월부터 2016년 5월까지 피해액이 약 31억 달러에 이릅니다. 이러한 피해 규모를 고려해 보았을 때, BEC 공격 캠페인의 수법을 정확히 파악하여 이에 대처할 수 있도록 직원을 교육하는 것이 중요합니다.

BEC 공격은 교묘하고 은밀하게 이루어지기 때문에 기본적인 주의사항 또는 보안 대책만으로 충분하지 않습니다. BEC 공격 캠페인은, 기업과 조직의 자산을 보호하기 위해 직원의 역할이 얼마나 중요한지 보여줍니다. 직원 개인의 보안 의식 증진은 거액의 송금을 요구하는 BEC 공격 수법에 대응할 수 있는 중요한 방어 요소라고 할 수 있습니다.

트렌드마이크로의 대책

트렌드마이크로는 중소중견 및 대기업이 사회공학적 기법을 이용한 공격인 BEC의 수법에 대응하기 위한 방어책을 보유하고 있습니다. 엔드포인트 보안인 Worry-Free 비즈니스 시큐리티와 오피스스캔은 이상 파일 또는 스팸메일을 감지하고 악성 URL 차단을 통해 위협으로부터 보호합니다. Deep Discovery는 관련 악성 프로그램을 감지하고 시스템의 감염 및 정보 탈취를 방지합니다. 또한, Deep Discovery Email Inspector는 악성 첨부파일과 악성 URL을 차단하여 기업을 보호합니다.

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

기업 CFO를 노리는 허위 송금 이메일, BEC

https://www.trendmicro.co.kr/kr/blog/company-cfos-targeted-bec-schemes/index.html

참고링크

http://www.howtogeek.com/227205/what-is-malvertising-and-how-do-you-protect-yourself/

맬버타이징(Malvertising) 소개 및 방지요령

비트펀 — Wed, 20 Jul 2016 13:57:50 +0900

웹브라우저와 플러그인을 공격경로로 삼는 이른바 맬버타이징(malvertising)이란 제3자 광고네트워크를 활용하여 정상적인 웹사이트를 통해 악성코드를 배포하는 사이버공격수법으로 근래 증가추세에 있다.

맬버타이징의 근본적인 문제는 광고 자체가 아니라 악성웹사이트로 이어지는 링크 클릭만으로 시스템에 위험을 야기할 수 있는 취약한 소프트웨어에 있다. 따라서 웹에서 광고를 모두 없앤다고 해서 이 문제가 해결되는 게 아니다. 웹사이트 해킹은 흔한 일이며 애드블록(adblock)과 같은 광고차단 확장프로그램이 있으면 안전하다는 식의 사고방식은 오류다.

웹브라우저와 플러그인의 취약성

사이버공격수법의 유형은 크게 두 가지가 있다. 사용자가 악성코드를 다운로드하여 실행하도록 유도하는 방식 그리고 웹브라우저와 플래시 플러그인, 자바 플러그인 등 관련 소프트웨어를 공격하는 방식이다. 두 번째 방식을 보면 제로데이 공격이나 보안패치 미비로 인해 시스템이 취약한 상태라면 악성코드가 설치된 웹페이지를 방문하기만 해도 시스템에 대한 침입 및 감염이 가능해진다. 이러한 공격은 주로 악성 플래시 오브젝트나 자바 애플릿을 통해 이루어진다.

맬버타이징 바로 위와 같은 웹브라우저 또는 플러그인의 취약점을 이용하는 수법이며 다만 악성웹사이트 방문을 유도하는 대신 광고네트워크를 악용하여 악성 플래시 오브젝트 등 악성코드를 여러 웹사이트로 유포한다. 사용자 소프트웨어의 취약점을 악용하여 정상적인 사이트에서도 감염이 가능하도록 수법으로 사용자를 악성웹사이트로 끌어들일 필요가 없다는 특징이 있다. 공격자는 실제 광고를 배포하듯 광고네트워크에 돈을 내고 악성 플래시 오브젝트 등 악성코드를 유포시킨다. 광고가 게재된 웹사이트를 방문하면 광고 스크립트가 광고 네트워크를 통해 광고를 다운받게 된다. 이 광고가 위에서 설명한 악성광고일 경우 웹브라우저 공격을 시도하게 된다. 실제로 악성 플래시광고가 야후 광고네트워크를 통해 공격을 실행한 사례가 있기도 하다.

맬버타이징 방지요령

플러그인 수동실행(click to play) 설정: 플러그인이 수동실행되도록 설정하면 플래시나 자바 오브젝트가 들어간 웹페이지를 방문할 때 클릭하지 않는 한 플러그인은 실행되지 않는다. 맬버타이징은 대체로 이들 플러그인을 활용하기 때문에 이 설정만으로도 대부분의 맬버타이징 공격을 차단할 수 있다.

MalwareBytes Anti-Exploit 취약점악용방지 솔루션: 이 소프트웨어는 안티바이러스와는 약간 다른 방식으로 작동하는데 웹브라우저를 모니터링하면서 브라우저 취약점악용 수법을 포착할 경우 이를 자동으로 차단한다. 프리웨어로 안티바이러스와 같이 구동될 수 있으며 상당수의 브라우저 및 플러그인 취약점악용 그리고 일부 제로데이 공격까지 차단할 수 있다. 또한 마이크로소프트 EMET 솔루션에 비해 사용하기 편하다는 장점이 있다.

자바 등 불필요 플러그인 차단 또는 삭제: 브라우저 플러그인을 사용하지 않는다면 아예 삭제하는 게 좋다. 이는 사용자가 사이버공격에 노출되는 평면을 감소시키는 효과가 있다. 사실 요즘은 자바를 사용하는 웹사이트도 얼마 없고 마이크로소프트 실버라이트 또한 많이 쓰이지 않는 등 굳이 플러그인이 필요한 경우가 많지 않기도 하다. 한편 브라우저 플러그인을 기본적으로 차단하고 플러그인이 필요한 웹페이지에 대해서만 다른 웹브라우저를 사용하는 방법도 있다. 플래시와 자바 플러그인만 없애도 맬버타이징 공격 가능성을 대폭 낮출 수 있다.

플러그인 및 웹브라우저 업데이트: 현재 사용하고 있는 플러그인은 언제나 업데이트 상태를 최신으로 유지해야 한다. 구글 크롬이나 마이크로소프트 엣지 그리고 윈도 8 이상 OS의 인터넷익스플로러는 플래시를 자동으로 업데이트한다. 윈도 7 이하 OS의 인터넷익스플로러, 파이어폭스, 오페라, 사파리 브라우저의 경우 플래시 업데이트를 자동으로 설정해야 한다(2015년 9월 기준). 웹브라우저 또한 업데이트를 최신으로 유지해야 하며 오늘날의 웹브라우저들은 대체로 자동 업데이트되므로 따로 자동업데이트 기능을 막지만 않으면 별 문제가 없다. 인터넷익스플로러의 경우 윈도우 업데이트 설정만 자동으로 해 두면 된다.

Chris Hoffman, What is Malvertising and How Do You Protect Yourself?, 9. 1. 2015.

번역⋅요약: madfox

참고링크

https://blog.vipreantivirus.com/security-news-room/androids-encryption-system-gaping-holes-researchers-claim/

안드로이드 암호화 취약점 발견

비트펀 — Wed, 20 Jul 2016 13:09:36 +0900

안드로이드 키스토어(Android KeyStore)는 안드로이드OS에서 암호화키와 사용자 계정정보를 보관하는 시스템인데 최근 보안분석가 두 명이 작성한 Breaking Into the KeyStore: A Pratical Forgery Attack Against Android Keystore라는 논문을 통해 취약점이 있다는 점이 밝혀졌다. 키스토어는 키별 할당작업을 수행하여 안드로이드 앱이 자체적인 암호화키를 보관 및 생성할 수 있도록 한다. 키스토어는 키를 격리 보관하여 기기에서 삭제되기 어렵도록 처리한다.

France Telecom Orange Labs에서 재직중인 연구원 Mohamed Sabt와 Jacques Traoré가 작성한 내용에 따르면 안드로이드 키스토어는 데이터 무결성을 보장하지 못하며 따라서 공격자가 들키지 않고 보관된 키를 변경할 수 있다고 한다. 연구진은 위조 공격으로 이러한 취약점을 악용하여 키스토어에 침입하는 과정을 시연했다고 한다. "악성앱이 다른 모바일앱으로 하여금 보안프로토콜을 적용에 취약한 키를 사용하도록 하는 공격이 가능하다.. 공격자가 들키지 않은 채 사용자 보안을 침해할 수 있다는 면에서 이는 명백한 위협이다."

연구진은 또한 어플리케이션이 키스토어에 대칭키를 보관하는 경우의 공격 시나리오를 제시하기도 했다. "예컨대 256비트 HMAC 키를 32비트 수준으로 몰래 변경하여 사용자가 실제 보안수준을 오인하도록 유도할 수 있다. 네트워크를 제어하는 외부자는 이를 악용하여 이렇게 취약한 키를 사용하는 프로토콜을 뚫어버릴 수 있다. 이 공격은 탐지되지 않은 채 진행될 수 있다는 점에서 실질적으로 중대한 위협이 될 수 있다."

연구진은 이번 연구가 보안 문제에서 직관을 믿어서는 안 된다는 중요한 사실에 방점을 찍고 있다고 설명한다. "시스템 설계자는 대체로 암호화방식을 선정할 때 입증된 안전성보다는 간결함을 기준으로 삼는 경향이 있다. 위 연구에서도 나타나듯 이는 시스템 전체에 심각한 결과를 초래할 수 있기 때문에 좋은 선택이 아니다."

VIPRE Security News, Android’s Encryption System Has Gaping Holes, Researchers Claim, 7. 18. 2016.

번역: madfox

참고링크

일본에서 유행 중인 뱅킹 트로이목마 ‘베블로(BEBLOH)’, 이메일 보안이 답이다!

비트펀 — Wed, 20 Jul 2016 12:52:55 +0900

게시일: 2016-07-14 l 작성자: Janus Agcaoili (Threat Response Engineer)

유럽에서 오래 전부터 활동해오던 뱅킹 트로미목마 ‘베블로(BEBLOH)’가 일본까지 확산되며 활발한 활동을 벌이고 있는 것이 확인되었습니다. 사이버 범죄자들은 현지 ISP 제공회사, 유사 홈페이지 주소 등 일본 회사의 브랜드명을 이용하여 사용자들이 멀웨어를 다운받도록 유도합니다. 해당 멀웨어를 다운받을 브라우저, FTP 클라이언트, 메일 클라이언트 감시를 통한 정보 탈취가 가능해집니다. 베블로의 주요 타겟은 바로 지역 은행입니다.

베블로는 2009년도에 처음 등장하여, ‘제우스(Zeus)’와 ‘스파이아이(SpyEye)’ 같은 경쟁자를 이겨내고 현재까지 살아남았습니다. 베블로는 피해자가 알지 못하는 사이에 은행 계좌에 접근하여 돈을 탈취합니다. 베블로는 안티바이러스 프로그램을 우회하기 위한 새로운 방법을 지속적으로 개발해왔습니다. 이번 경우도, 베블로는 메모리에 숨어 시스템 종료 시 임시 실행파일을 만든 후 PC를 재감염 시킨 후 해당 파일을 삭제합니다.

일본 현지 상황

전세계적으로 스팸메일을 통한 랜섬웨어 감염이 다수 발생하는 반면, 일본 현지에서 확인되는 스팸메일을 통한 멀웨어 감염은 온라인 뱅킹 트로이목마가 대다수입니다. 일본 경찰청에서 2016년 3월 발표한 보도자료에 따르면 이러한 온라인 뱅킹 트로이목마의 표적이 되는 은행 및 금융기관은 주요 시중 은행이 아닌 지역 은행과 신용 조합입니다. 이 자료에 따르면, 피해액이 사상 최대 금액인 약 26억 4,600만엔(약 2,580만 달러)에 달했으며, 베블로의 활동이 추가되며 일본의 뱅킹 트로이목마 피해는 더욱 커질 것으로 추정하고 있습니다.

트렌드마이크로는 2015년 12월부터 베블로의 일본 활동을 탐지하고 있습니다. 당시 324건의 탐지 수에 비해, 위 경찰청 2016년 3월 자료에서는 탐지 수가 약 2,562로 증가한 것을 확인할 수 있습니다.

모두가 공격 대상

베블로의 공격 대상은 엔드유저 뿐만 아니라 기업 직원도 포함합니다. 공격자가 보낸 스팸메일은 회사 및 개인 메일 계정에 발송되었습니다. 개인 계정으로 보낼 경우 대출, 쇼핑, 택배 등과 같은 개인 관심사 내용을 포함하며, 회사 계정으로 보낼 경우 이력서 등의 내용으로 꾸며집니다. 그렇기 때문에 확산과 감염이 빠르게 이루어지고 있습니다.

번역: 본 이메일은 보안을 강화하기 위한 전자 서명이 포함되어 있습니다.
2016년 3월 3일 송금이 완료되었음을 알려드립니다.
전자서명(전자서명)

번역: “전체 레코드 이미지"

그림 1. 개인 및 회사에 보내진 스팸메일 샘플

새로운 공격방법

베블로는 패커를 신속하게 자주 변경합니다. 베블로의 일부 버전에서는 자신이 생성한 프로세스에서 실행 파일을 암호해제하는 버전과 자신의 메모리에 해독한 후 explorer.exe 또는 iexplorer.exe등의 정규 프로그램에 자신의 코드를 대체하는 버전이 확인되고 있습니다. 그렇기 때문에 패커의 업데이트 속도에 따라가지 못하는 보안 제품에서는 탐지하지 못합니다.

베블로가 설치되면 C&C (Command and Control)서버에 접속하여 웹 인젝션(Web Injection) 설정 다운로드 등의 과정을 실행합니다. 앞서 언급한 바와 같이, 베블로의 정보 탈취 기능으로 피해자의 은행 계좌를 약탈할 수 있습니다.

또한 다운로드 되는 악성 프로그램은 브라우저, FTP 및 메일 클라이언트를 감시하는 스파이웨어 TSPY_URSNIF 로 확인되었습니다. 스파이웨어 이외에도 베블로는 스팸봇 멀웨어인 BKDR_PUSHDO 또한 다운로드 합니다.

C&C 서버와의 통신 중 다운로드에서 사용하는 URL이 C&C 서버의 응답에 따라 변경된다는 것을 발견하였습니다. 당사 보유한 샘플은 독립된 3일 동안 3가지 URL이 사용되고 있는 것을 확인하였습니다. URL 응답은 암호화되어 있습니다. 하지만 암호해제 될 경우 “CV {value}/r/n>DI/r/n>LD {URL}” 형식을 이용하는 것을 확인할 수 있습니다.

그림 2. C&C 서버 통신 암호해제

이번 베블로는 지역 은행, 신용 조합, 온라인 은행 및 주요 시중 은행을 포함한 일본 17개 은행과 금융기관을 감시하고 있습니다. 소규모 은행을 대상으로 함으로써 공격자는 공격 활동이 알려지지 않고 조용히 지나가는 것을 기대합니다. 또한 중소규모의 은행은 보안 대책이 충분하지 않은 경우가 많기 때문에 공격자의 표적이 된 것으로 파악하고 있습니다.

트렌드마이크로의 이메일 보안 솔루션인 Deep Discovery Email Inspector는 차세대 탐지 기술을 이용하여 사용자가 악성 첨부파일을 다운로드하거나 실행하지 않도록 스피어피싱 이메일을 탐지 및 차단합니다. 마크로 멀웨어 문서 파일, PDF, 실행파일, 스크립트 등과 같은 악성 첨부파일을 차단할 수 있으며, 본문 또는 제목에 포함된 악성 URL 및 첨부 문서에 기록된 URL을 탐지하여 차단합니다.

원문: BEBLOH Expands to Japan in Latest Spam Attack

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

일본에서 유행 중인 뱅킹 트로이목마 ‘베블로(BEBLOH)’, 이메일 보안이 답이다!

https://www.trendmicro.co.kr/kr/blog/bebloh-expands-japan-latest-spam-attack/index.html

참고링크

http://www.gfi.com/blog/hacked-by-a-purchase-order/

구매주문에 의한 해킹가능성

비트펀 — Tue, 19 Jul 2016 16:07:48 +0900

사례: 사용자는 자신이 구입하려고 한 물품에 대한 .pdf 형식 주문서가 첨부된 이메일을 확인한다. 해당 이메일은 스팸 필터링에 걸리지 않았으며 첨부물에 대한 검사결과도 이상이 없었다. pdf 본문에는 httx://www.mesaimeerclub.com/templates/invest/just라는 링크가 있었다. 이 링크를 클릭한 결과 Gmail 로그인 페이지처럼 보이는 웹페이지로 이동했으며 이에 따라 사용자가 Gmail 아이디와 비밀번호를 입력했다. 입력 이후 몇 분이 지나고 나서 다시 구글 로그인을 시도한 결과 비밀번호가 변경된 상태였고 비밀번호 복구 옵션도 작동하지 않았다.

하루에 수신하는 소셜네트워크 업데이트, 주문확인, 업무상 연락 등 보통 사람이 하루에 수신하는 이메일의 양은 엄청나게 많다. 경우에 따라 이들 이메일은 그 사용자가 실제로 하는 일과 관련이 있기도 하다. 그렇기 때문에 사용자들이 별도의 교육 없이 피싱공격을 일일이 구별해 내기란 번거롭고 어려운 일이다. 특히 몇몇 피싱이메일의 내용은 그 진위를 밝혀내기가 어렵기도 하다. 사용자가 이메일을 열고 악성코드를 실행하도록 유도하는 일은 어렵지 않다. 특히 위 사례의 경우 문법적 오류도 거의 없었으며 악성웹사이트의 외관도 정상적으로 보였다.

이렇게 사용자들로 하여금 링크 클릭, 스크립트 열기, 악성웹사이트 방문 등을 하도록 유도하려는 시도는 아주 다양한데 이는 사용자의 데이터가 그만큼 가치가 크기 때문이다. 특히 사용자 정보를 암호화시키거나 위 사례처럼 계정을 잠가 버리고 복구의 대가로 사용자에게 돈을 요구하는 랜섬웨어도 생각할 수 있다.

랜섬웨어 제작자들은 나날이 지능적이고 교묘하게 진화하고 있으며 사용자의 돈을 뜯기 위해 언제나 새로운 수법을 모색하고 있다. 2014년에 배포된 랜섬웨어는 데이터 복호화의 대가로 0.5비트코인(미화 325달러) 정도를 요구했지만 오늘날의 랜섬웨어 변종은 24시간 내에 8비트코인을 지불하도록 요구하며 기한이 지나면 그 두배의 액수를 요구한다. 랜섬웨어는 일반사용자 외에 기업과 IT관리자까지 노리는데 이들의 인프라 내 권한이 승격된 상태임을 이용하고자 하기 때문이다.

여기에서는 기업 내 모든 사용자들에게 공통적으로 적용될 수 있는 몇 가지 유의사항을 소개하려 한다. IT관리자의 경우라면 랜섬웨어와 같은 사이버공격에 대한 대비는 이미 상당히 갖춰진 상태지겠지만 일반사용자는 아무런 대책이 없을 수 있다.

• 음성메일, 구매주문, 배송알림 등을 받았지만 그러한 수신이 본래 업무상 예정된 경우가 아니라면 발신자의 신원이 분명한지 그리고 그 발신자가 해당 내용을 실제로 보냈는지 확인한다. 발신자 신원이 불명확하거나 혹은 수상해 보인다면 해당 이메일은 삭제가 바람직하다. 만약 동기 혹은 상사로부터 문서를 받았고 본문에 첨부물을 반드시 열도록 쓰여 있는 경우에도 일단은 그 동기나 상사에게 직접 연락하여 해당 첨부물을 실제로 보냈는지 확인한다.

• 이메일 첨부물이 있을 때 일단은 그 첨부물을 열지 말고 해당 이메일의 발신자가 자신이 아는 사람이라도 그 발신자가 보통 그러한 첨부물을 보내지는 않는 경우라면 발신자에게 직접 연락하여 해당 첨부물을 그 발신자가 보냈는지 확인한다.

• 어떤 첨부물이든 스크립트 해제 혹은 편집 해제로 인해 링크 클릭을 요구한다면 해당 기능을 절대로 켜서는 안 된다. 특히 데이터가 뒤섞여 보이는 경우라면 이는 사용자의 데이터 전체를 암호화하기 위한 미끼임이 거의 확실하다.

• 회사 기기에서 개인 이메일을 열지 않아야 하며 반대로 개인 기기에서 업무 이메일을 열어서도 안 된다. 랜섬웨어가 주로 기업을 목표로 하며 사용자가 해당 랜섬웨어가 들어간 이메일을 열어서 감염된다면 단순히 파일이 잠기는 데 그치지 않고 업무에 지장을 초래할 수 있어서 훨씬 더 좋지 못한 결과로 이어질 수 있다.

• 마이크로소프트, 에너지업체,우편업체 등은 절대로 사용자에게 설정복원, 주문접수, 음성메일 등을 구실삼아 어떤 웹사이트를 열도록 요청하지 않는다. 이는 순전히 공격자가 사용자 기기에 접근하기 위해 사용하는 기만수법일 뿐이다.

다만 이상의 모든 경우의 수를 다 막아낼 수 있는 만능수단은 존재하지 않는다. 다층보안(layered security)을 통해 최대한 위험을 완화시키는 것이 최선의 방향이다. 악성이메일을 아무리 잘 막아낸다 해도 일부는 필터링을 뚫고 들어올 수도 있으며 악성광고 또한 보안대책에도 불구하고 여전히 나타날 수 있다. 보안대책의 마지막 단계에 해당하는 사용자 측에서는 악성코드가 실행될 경우 어떤 결과가 발생할 수 있는지 알고 이에 대비해야 한다. 아울러 백업솔루션 또는 재난복구대책을 준비하여 보안사고로부터 복구하기 위해 필요한 대책을 마련해 두는 것도 아주 중요하다.

Bjorn Leenen, Hacked by a purchase order. How it can happen, 7. 14. 2016.

번역‧요약: madfox

참고링크

트렌드마이크로 인터넷 시큐리티 10, 2016년 연속 2번 AV-TEST 최우수 제품 인증 획득

비트펀 — Tue, 19 Jul 2016 13:07:06 +0900

게시일: 2016-06-27 l 작성자: Michael Miley

트렌드마이크로의 인터넷 시큐리티 10는 2016년 1~2월 시행된 AV-TEST 최우수 제품 인증에 이어, 올해 두 번째로 AV-TEST에서 최우수 제품 인증을 획득했다. 2016년 3~4월에 시행된 본 평가에서 트렌드마이크로는 22개 제품과 경쟁하였다. 트렌드마이크로의 인터넷 시큐리티를 사용하는 고객은 PC의 성능저하 없이 최고의 보안을 적용할 수 있다.

리포트에 의하면, 인터넷 시큐리티는 다양한 시나리오의 악성 웹과 이메일 위협에 대한 100% 차단을 구현했으며, PC의 성능과 사용성을 저하시키지 않았다.
보안 구현, 성능, 사용성에 대한 자세한 결과는 하단 표를 통해 확인할 수 있다. 데스트 결과에 대한 세부 사항은 AV-TEST 기관 웹사이트에서 확인할 수 있다.

표1. 보안 구현 – 멀웨어 감염으로부터 보호(바이러스, 웜, 트로이목마 등). 트렌드마이크로 인터넷 시큐리티 10. (출처: AV-TEST Product Review and Certification Report – March-April/2016)

표2. 성능 – 일별 컴퓨터 속도에 미치는 평균 영향치. 트렌드마이크로 인터넷 시큐리티 10. (출처: AV-TEST Product Review and Certification Report – March-April/2016)

표3. 사용성 – 보안 소프트웨어가 컴퓨터 전체 시스템에 미치는 사용성 (수치가 낮을수록 좋은 평가) 트렌드마이크로 인터넷 시큐리티 10. (출처: AV-TEST Product Review and Certification Report – March-April/2016)

리포트: 트렌드마이크로 인터넷 시큐리티는 웹 위협을 100% 차단

트렌드마이크로는 당사의 인터넷 시큐리티 10 (2016)이 4월 시행된 AV-TEST의 “Whole-Product Dynamic Real-World Protection Test”에서 웹 위협을 100% 차단한 것을 자랑스럽게 생각한다. 테스트에서 사용된 368개의 악성 URL은 실제 사용자가 온라인 활동 중 맞닥뜨릴 수 있는 웹 위협이다. 트렌드마이크로는 테스트 URL 을 100% 차단했으며, 하단 그래프에서 결과를 확인할 수 있다. 전체 테스트 결과는 여기에서 확인할 수 있다.

그림1. Real-World Protection Test 결과, 2016년 4월 (출처: AV-Comparatives Factsheet April 2016, Real-World Protection Test)

원문: AV-TEST: Trend Micro™ Internet Security Two-Time Winner

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

트렌드마이크로 인터넷 시큐리티 10, 2016년 연속 2번 AV-TEST 최우수 제품 인증 획득

https://www.trendmicro.co.kr/kr/blog/av-test-trend-micro-internet-security-two-time-winner/index.html

참고링크

https://blog.vipreantivirus.com/uncategorized/pokemon-go-security-flaw-fix/

포켓몬고 iOS 보안취약점 해결

비트펀 — Mon, 18 Jul 2016 15:52:29 +0900

세계적으로 수백만 명이 즐기는 게임으로 크게 성공한 포켓몬고(Pokemon Go)의 iOS 앱에 보안취약점이 있었던 것으로 밝혀졌다.

포켓몬고를 실행하려면 구글이나 pokemon.com 웹사이트에서 계정을 생성해야 한다. 그런데 pokemon.com 웹사이트의 경우 서버 과부하 때문인지는 확실하지 않지만 신규 가입이 진행되지 않는다. 그러므로 구글 계정을 만들어야 하는데 여기서 문제가 생긴다.

게임이 출시되고 나서 이틀 뒤 보안전문가 Adam Reeve가 블로그를 통해 이 문제를 최초로 제기했다. Reeve에 따르면 포켓몬고 그리고 제작사 나이앤틱(Niantic)이 자신의 구글 계정 무제한으로 접근할 수 있었다고 한다. 다행히도 이 문제는 iOS에서만 발생하힌ㄷ디 ㅠㅔㅁ으로 보이며 안드로이드 앱의 경우 계정정보에 대한 접근을 따로 요청하지 않는다.

제한 없는 접근이 승인될 경우 포켓몬고와 나이앤틱이 실행 가능한 행동은 다음과 같다.

• 사용자 이메일 열람

• 사용자 이름으로 이메일 전송

• 구글드라이브 문서 접근 및 변경 가능

• 구글포토에 보관된 모든 사진 접근 가능

업데이트

나이앤틱은 여러 보도채널을 통해 다음과 같이 밝혔다. "나이앤틱은 최근 iOS 포켓몬고 계정생성과정에서 사용자 구글계정에 대한 무제한 접근을 요청하는 오류가 발생한다는 사실을 발견했다. 하지만 포켓몬고가 실제 접근하는 부분은 구글 기본프로필(사용자 ID 및 이메일주소)에 국한되며 구글계정의 다른 정보에 대한 수집이나 접근은 없었다. 포켓몬고나 나이앤틱이 실제 사용하는 데이터에 맞도록 기본 구글프로필 정보에 대해서만 승인을 요청하도록 클라이언트 수정을 시작했다. 구글은 조만간 포켓몬고 승인수준을 포켓몬고가 실제로 필요로 하는 기본프로필에 대해서만 승인을 요청하게 되며 사용자들이 따로 어떤 조치를 취할 필요는 없다."

나이앤틱은 최근 iOS 포켓몬고를 1.01 버전으로 업데이트했으며 안정성 그리고 중단오류(crash)해결과 더불어 구글계정 접근승인요청의 침습성을 줄이겠다고 약속했다. 해당 업데이트는 애플 앱스토어를 통해 설치할 수 있다.

VIPRE Security News, Pokemon Go: the Security Flaw and the Fix, 7. 14. 2016.

번역: madfox

참고링크

https://nakedsecurity.sophos.com/2016/07/13/ransomware-that-demands-money-and-gives-you-back-nothing/

파일삭제 랜섬웨어 소개

비트펀 — Mon, 18 Jul 2016 15:16:56 +0900

최근 발견된 랜섬웨어는 Troj/Ransom-DJC 일반적인 여타 랜섬웨어와는 확연히 다른 차이점이 있다. 위 그림과 같이 랜섬웨어에 의해 금전지불 웹페이지가 열렸을 때 돈을 내지 않고 제출(submit)을 클릭하면 웹페이지 왼쪽 하단의 메시지가 다음과 같이 변한다.

이 때 랜섬웨어가 작동한 이후 시스템에 보관된 중요 문서파일이 실제로 사라졌음을 볼 수 있다. 이는 파일을 암호화시키는 데서 그치지 않고 하나씩 삭제하기까지 하여 피해자에게서 기어이 돈을 받아내려는 수법이라고 볼 수 있다. 이 랜섬웨어가 요구하는 금액이 약 달러에 0.2BTC, 130 달러에 불과하여 랜섬웨어 금전요구의 일반적인 시세인 300~500달러에 훨씬 못 미친다는 점도 흥미롭다.

이제 이 신종 랜섬웨어를 극도로 태만하다는 의미를 가진 "boneidleware"이라고 부른다 .이 랜섬웨어는 파일을 암호화하지 않고 삭제시켜 버린다. 그렇기 때문에 돈을 지급하는 건 아무런 의미가 없다. 2012년 하반기 CryptoLocker 랜섬웨어가 등장한 이래 랜섬웨어는 적어도 돈을 지불하면 파일을 복구해준다는 일종의 불문율이 있었지만 boneidleware 이러한 틀마저 무시해 버린다. 이하에는 boneidleware에 국한되지 않는 랜섬웨어 전번에 대한 방지요령을 요약 소개한다.

• 자바스크립트 첨부물(확장자: .js)은 메모장(Notepad)으로 연다.

• 파일확장자 기만을 피하기 위해 파일확장자가 보이도록 설정한다.

• VBA 맬웨어를 방지하기 위해 인터넷에서 받은 문서파일에 대한 오피스 매크로 기능을 해제한다.

<참고: 랜섬웨어 차단 AVG 안티바이러스>

Paul Ducklin, Ransomware that demands money and gives you back nothing!, 7. 13. 2016.

번역⋅요약: madfox

참고링크

IoT 가속화 시대, 보안은 어떻게 구성하고 계신가요?

비트펀 — Mon, 18 Jul 2016 13:56:20 +0900

게시일: 2016-06-22 l 작성자: Trend Micro

“IoT”라는 단어를 신문 또는 방송에서 접할 기회가 많아지고 있습니다. “IoT”는 Internet of Things(사물인터넷)의 약자로, 우리를 둘러싸고 있는 모든 사물이 인터넷에 연결되어 있는 상태를 말합니다. 편리함이라는 큰 장점을 바탕으로, IoT의 증가가 가속화 되고 있는 가운데, 꼭 고려되어야 할 중요한 것이 바로 무단 액세스 또는 정보 유출 등의 보안 문제입니다.

IoT 시대에 필요한 3가지 보안 대책

Wi-Fi 라우터 보안 설정

스마트 가전을 포함한 IoT 기기가 인터넷과 통신하는 것은 바로 Wi-Fi 라우터 입니다. Wi-Fi 라우터의 보안이 적절히 이루어지지 않을 경우, IoT 기기의 부정 조작 또는 통신 내용 해킹이 이루어질 수 있습니다. 라우터 침입의 위험성을 줄이기 위해, 관리자 계정의 초기 설정 값을 사용자화 하고, 펌웨어 자동 업데이트를 설정합니다.

IoT 기기에 적절한 보안 설정

자체적 보안 설계가 되어 있는 IoT 기기를 사용합니다. 또한 취급 설명서를 확인하고 ‘인증 ID/비밀번호 초기값 변경’, ‘펌웨어 자동 업데이트’ 등의 보안 설정이 필요합니다.

IoT 기기에서 수집하는 정보 파악

IoT 기기를 네트워크에 연결하여 사용할 경우, 생활 패턴, 행동 반경, 건강 상태 등 다양한 개인 정보가 인터넷 상으로 전달됩니다. 사용 중인 IoT 기기에서 수집하는 정보의 종류와 목적을 알아두어야 하며, 각 IoT 기기의 인터넷 연결 여부 등을 확인하여 정보 유출의 위험을 최소화하여야 합니다.

인터넷으로 연결되는 IoT 기기가 증가하면서, 앞으로 더 많은 영역의 보안에 주의를 기울여야 합니다. 보안을 항상 중요하게 여기는 가운데 안전한 가정 IT화를 진행시켜야 합니다.

원문: 進む家庭のIT化で気をつけたいセキュリティ

본문은 <트렌드마이크로 보안블로그>의 저작물입니다.

IoT 가속화 시대, 보안은 어떻게 구성하고 계신가요?

https://www.trendmicro.co.kr/kr/blog/three-security-policy-for-iot/index.html

참고링크

https://blog.threattrack.com/closer-look-cerber-office-365-attack/

Cerber 오피스365 랜섬웨어 소개

비트펀 — Fri, 15 Jul 2016 15:44:36 +0900

최근 수많은 오피스365 사용자들이 제로데이공격의 피해를 받은 사례가 보고됐으며 그 배후에는 올해 초에 발견된 Cerber 랜섬웨어의 신형 변종이 있었다. 최근 독버섯처럼 번지고 있는 다른 제로데이 위협과 마찬가지로 이 변종 랜섬웨어 역시 오피스 매크로의 취약점을 악용함으로써 감염을 실행한다. 여기에서는 역설계(reverse engineering) 기법과 ThreatTrack 최신 맬웨어분석 샌드박스 솔루션 ThreatAnalyzer 6.1을 통해 본 Cerber 랜섬웨어 변종을 분석한 결과를 소개한다.

<참고: ThreatAnalyzer 맬웨어분석 샌드박스>

분석과정

역설계 기법은 분석대상이 어떤 목적을 가지고 행동하는지에 대한 보다 종합적인 판단이 요구된다. 어떤 맬웨어 샘플을 분석하거나 혹은 난독화(obfuscate)된 코드에서 어떤 함수가 무슨 기능을 하는지 알아내려 할 때 상세한 내용을 조사하기에 앞서 분석대상이 풍기는 전반적인 분위기를 포착할 수 있어야 한다.

ThreatAnalyzer는 샌드박스 솔루션으로 프로그램, 파일, URL을 통제 및 감시되는 환경 내에서 실행하고 이에 대한 상세보고서를 생성하여 연구‧분석 인력이 해당 샘플의 정확한 행동양상을 판단할 수 있도록 돕는 역할을 한다. 샌드박스는 피해징후(indicator of compromise, IOC)를 빠르게 포착하기 위한 위협정보 생성에 적합한 솔루션이다. ThreatAnalyzer 6.1은 ThreatTrack이 선보이는 최신 샌드박스로 행동탐지 메커니즘을 내장하여 대상 샘플의 전체적인 행동양상을 판단하고 이러한 행동양상을 토대로 해당 샘플이 악성인지 무해한지 예측할 수 있다.

위 그림을 보면 ThreatAnalyzer 6.1이 본 샘플에 대해 다음과 같은 중요 정보를 생성했음을 볼 수 있다.

1. 3개 항목에 따라 대상샘플을 악성으로 판단

(1) ThreatTrack 통합 위협정보 데이터베이스 ThreatIQ 관측결과 대상샘플이 차단된 URL에 접근 시도

(2) 1개 이상의 안티바이러스 엔진이 대상샘플을 감지

(3) 대상샘플의 행동양상 판단결과 악성일 가능성이 높음

2. 레지스트리 변경, 파일 입출력(IO), 네트워크 접근시도와 이에 따른 프로세스 내용을 분석가/사용자에게 제공

3. 분석결과 수집된 상세정보를 다운로드 가능한 PDF 또는 XML 형식 보고서로 생성. 사용자는 선택에 따라 상세보고서, 생성된 중요파일, 새롭게 열린 창에 대한 스크린샷, 네트워크 활동내역을 기록한 PCAP 파일 사본 등이 포함된 자료를 다운받을 수 있다.

ThreatAnalyzer는 사용자가 분석한 샘플에 대한 상세보고서를 XML, JSON, PDF 형식으로 제공한다. 여기에는 생성된 프로세스, 생성/변경/접근된 파일, 변경된 레지스트리, 생성된 오브젝트, 네트워크 접속내역 등의 내용이 포함된다.

본 샘플에 관련된 XML 파일을 상세히 살펴보면 다음과 같은 활동내역을 볼 수 있다.

• WINWORD.EXE 프로세스 생성(분석과정에서 DOTM 파일을 주입했으므로 예상된 결과), 프로세스 트리를 보면 생성된 프로세스는 다음과 같다,/

∘ exe

• 임의의 이름이 지정된 VBS 파일을 %appdata% 디렉토리에 다음과 같이 생성 - %appdata%\15339.vbs

• 위 VBS 파일을 요청하는 cmd.exe 프로세스 생성

exe /V /C set “GSI=%APPDATA%\%RANDOM%.vbs” (for %i in (“DIm RWRL” “FuNCtioN GNbiPp(Pt5SZ1)” “EYnt=45” “GNbiPp=AsC(Pt5SZ1)” “Xn1=52” “eNd fuNCtiON” “SUb OjrYyD9()”

• 다음 URL에 대한 접속 시도

httx://solidaritedeproximite.org/mhtr.jpg

• 임의의 이름이 지정된 .TMP 파일을 %appdata% 디렉토리에 생성하고 실행 - 해시값: ee0828a4e4c195d97313bfc7d4b531f1

이상의 분석결과는 단순한 오피스 문서파일에 대한 분석결과임을 볼 때 대단히 수상한 행동양상에 해당하며 이를 정상이라고 판단하기는 어렵다. 그러므로 원래 아는 사람이나 기관이 보낸 첨부물이라 해도 조금이라도 의심이 되는 경우라면 본 시스템에 받기에 앞서 ThreatAnalyzer와 같은 샌드박스를 통해 실행시켜 보는 게 좋다.

역설계

본 랜섬웨어의 코드를 분석해 보면 오피스 365 외에 오피스 2007 이상 버전에서도 작동함을 알 수 있다. 악성 오피스 첨부물을 열 경우 Document_Open 함수 내부의 매크로가 자동 실행된다. 다만 이는 매크로가 허용된 경우, 혹은 이전 버전의 오피스에서는 보안수준이 낮음으로 설정된 경우에만 해당된다. 또한 Cerber 매크로 변종의 각 연산은 난독화돼 있는데 이는 분석과정을 지연시키고 기존 안티바이러스의 시그내쳐 탐지를 우회하려는 수법일 가능성이 높다.

자동 실행된 매크로는 %appdata%에 VBS 스크립트를 생성하게 된다. VBS 파일 또한 난독화 처리됐으나 암호화되진 않았다. 여기에서 행동탐지를 회피하려는 의도가 있을 수도 있고 없을 수도 있는 흥미로운 행동양상이 관측된다. 매크로는 Timer 함수를 통해 임의의 정수가 생성하고 이를 자체 생성한 변수와 비교하는데 이는 코드가 암호화 구성요소를 다운로드하는 시점을 결정하게 된다. 그리고 나서 VBS 내장 네트워크 기능을 통해 원격서버에 접속하여 다음 파일의 다운로드를 시도하게 된다. 위 파일은 단순한 JPG 파일이라서 무해해 보일 수도 있지만 위 VBS 코드를 보면 이 JPG 파일의 내용을 %appdata%에 .TMP 형식으로 저장하고 실행시킨다는 점을 알 수 있다. 이 수법은 사실 오래 전부터 다른 맬웨어가 이미 사용했던 구식 수법이라서 이목을 끈다.

다은로드된 구성요소의 MD5 해시값: ee0828a4e4c195d97313bfc7d4b531f1

이 파일은 Cerber 랜섬웨어의 암호화 구성요소로 피해대상 시스템의 목표파일을 스캔 및 암호화한다. 이 구성요소에 대한 전체 분석결과는 별도의 글에서 다룬다. 흥미로운 점은 이렇게 다운로드된 Cerber 실행파일이 인터넷 연결이 끊어진 경우에도 파일 암호화를 실행한다는 데 있다. EXE 내부 코드를 보면 CrytoWall, Locky, Teslacrypt 등 다른 랜섬웨어와 달리 파일 암호화를 위해 원격서버에 접속하려는 시도를 하지 않는다는 점을 알 수 있다.

시스템 감염이 완료되면 바탕화면에 아래 그림과 같은 메시지가 표시된다.

그리고 웹브라우저를 통해 아래 그림과 같이 메시지가 표시된다.

그리고 로봇 음성을 통해 “your documents, photos, databases, and other important files have been encrypted” 라는 메시지를 재생하기도 한다.

감염과정 요약

1. 악성 오피스 첨부물을 포함한 스피어피싱 메일 도달

2. 사용자가 이메일을 열고 첨부물을 실행시켰을 때 오피스 매크로가 허용된 상태라면 매크로를 실행되어 별도의 VBS 스크립트가 생성됨

3. 스크립트가 원격서버에 접속하여 Cerber 랜섬웨어 암호화 구성요소를 다운받아 실행시킴

4. 사용자 파일을 스캔하고 암호화

5. 사용자 시스템이 Cerber에 감염됐다는 메시지 표시

ThreatTrack Security Labs, A Look at the Cerber Office 365 Ransomware, 7. 13. 2016.

번역: madfox

참고링크

https://nakedsecurity.sophos.com/2016/07/12/fake-pokemon-go-app-watches-you-tracks-you-listens-to-your-calls/

가짜 포켓몬고 악성앱에 의한 사용자 정보 탈취

비트펀 — Fri, 15 Jul 2016 15:01:29 +0900

근래 출시된 증강현실 모바일게임 포켓몬고(Pokemon Go)의 인기가 뜨겁다. 게임의 인기와는 대조적으로 막상 게임이 정식 출시된 국가는 몇 안 되며 따라서 게임을 즐기기 위해 구글 플레이나 애플 앱스토어 등 정식 채널이 아닌 다른 경로를 통해 게임을 구하려는 시도가 많아질 수 있다.

이는 보안 측면에서 문제가 될 수 있는데 물론 구글 플레이나 구글 플레이스토어 역시 맬웨어 위협이 완전히 없다고 할 수는 없지만 적어도 외부 앱마켓에 비해서는 상대적으로 안전한 편이다. 반면 구글의 심사를 거치지 않고 누구나 무슨 앱이든 등록할 수 있는 외부 앱마켓을 통한 앱 다운로드는 그 안전을 보장하기 어렵다. 실제로 포켓몬고 정식 앱을 해킹하여 맬웨어를 주입한 악성앱으로 개조한 사례가 벌써 발견되는 등 포켓몬고의 인기가 사이버범죄에 악용되기 시작했다.

포켓몬고 악성코드

여기에서 소개하는 포켓몬고 위장 악성앱은 안드로이드 스파이웨어/RAT/봇툴킷 등을 통해 겉으로는 정상적으로 작동하면서 원본 앱과 똑같아 보이지만 내부에 악성코드를 숨기고 있다. 이 맬웨어에는 2014년 밝혀진 원격제어툴 SandroRAT의 이름에서 따온 Andr/SandRat-C라는 이름이 붙여졌다.

참고: 스파이웨어(spyware)란 사용자의 전화통화, 문자메시지, 웹브라우징 등 온라인활동 정보를 탈취하는 맬웨어를 의미한다. RAT는 원격접속 트로이목마(remote access Trojan)의 약자로 주로 사용자의 웹캠을 해킹하는 맬웨어를 가리킨다. 봇(bot)은 좀비(zombie)라고도 하는 원격제어툴로 공격자는 이 맬웨어가 설치된 다수의 감염기기 전체에 일괄적으로 명령을 전송하여 데이터탈취, 메시지 대량전송, 트래픽 과부하에 의한 디도스(분산서비스거부; distributed denial of service, DDoS) 공격 실행 등을 행할 수 있다.

여기서 심각한 문제는 사용자가 이 악성앱을 정식 앱과 구분해 낼 수 있는가이다. Andr/Sandrat-C는 유명한 앱의 겉모양과 행동양상을 모방하여 사용자를 혼동시키는 수법에 머무르지 않고 정식 앱 자체에 백그라운드 구동 스파이웨어 코드만 주입하고 나머지는 그대로 뒀기 때문에 정식 앱을 모방한 게 아니라 동일하게 구현하되 내부에 약간의 변형만 가한 경우에 해당한다. 아래 그림을 보면 정식 앱과 악성 앱의 차이점은 전혀 발견되지 않는다.

Andr/SandRat-C의 정체는 바로 정식 앱과는 달리 백그라운드에서 구동되는 악성기능이 다양하게 들어간 데서 발견할 수 있다. 이들 기능은 보안승인을 필요로 하지만 이러한 승인절차는 실질적으로 효과적인 보안대책이 될 수 없다. 왜냐하면 정식 포켓몬고 앱의 경우 카메라, 마이크, 위치정보, 외부저장소에 대한 접근을 요청하는데 Andr/SandRat-C보다 악성기능이 다소 제한되는 스파이웨어 트로이목마 또한 동일한 수준의 접근만 승인받아도 제 기능을 할 수 있기 때문이다.

Andr/SandRat-C를 디컴파일링하면 정식 포켓몬고 앱과 비교하지 않는다 해도 악성임을 알 수 있다. 아래 그림의 droidjack 항목의 추가요소들은 그 이름이 제시하는 대로의 기능을 수행한다. 하지만 이들 기능이 작동하기 위해 요구하는 승인은 정식 포켓몬고 앱과 비교하여 별 차이가 없기 때문에 안드로이드 개발자 툴을 보유한 사용자조차도 악성코드를 포착하기가 쉽지 않다.

특히 정교하게 설계된 스파이웨어는 추가기능이 많지 않고 여기에 이름도 그럴듯하게 붙일 수 있으며 기존의 정상 앱에 추가 코드를 패치로 주입하는 방식을 사용하기 때문에 어플리케이션 패키지에서는 악성코드임을 바로 알아내기 어렵다. 이를 뒤집어 생각해 보면 정식 포켓몬고 앱의 몇몇 구성요소는 전문가 입장에서도 수상해 보이는 부분이 없지 않다. 특히 프로그래밍 환경에서 구성요소에 기이한 이름을 붙이는 경우가 적지 않기 때문에 맬웨어 구성요소 또한 약간의 위장만으로도 자신의 정체를 손쉽게 숨길 수 있는 것이다.

대처방안

• 알려지지 않은 앱은 사용하지 않음: 아직 사용자층이 거의 없고 피드백도 빈약한 앱은 사용하지 않도록 한다.

• 구글 플레이 사용: 구글 플레이 역시 약점이 없다고는 할 수 없지만 그래도 정체불명의 앱이 난무하는 비공식 안드로이드 마켓보다는 안전한 편이다.

• 안드로이드 안티바이러스 사용: 악성앱이나 신원불명의 앱을 자동으로 차단할 수 있는 모바일보안 솔루션을 사용한다.

• 업무용 휴대폰 중앙제어: 모바일제어 솔루션을 통해 업무용 휴대전화에 어떤 앱을 허용할지의 여부를 제어할 수 있다.

Paul Ducklin, Fake Pokémon GO app watches you, tracks you, listens to your calls, 7. 12. 2016.

번역‧요약: madfox

참고링크