SomeNotes247

미라캐스트 vs 크롬캐스트 노트북 PC나 스마트폰 같은 모바일 장치로 동영상을 감상하는 것은 아무래도 답답하다. 그래서 PC용 모니터나 TV를 연결해서 볼 필요가 생기는데, 이때 연결 방법으로는 유선 HDMI 케이블을 이용하는 것이 기본이고 화질도 가장 좋다. 그러나 유선 HDMI 연결은 케이블이 걸리적거리는 불편이 있다. 그래서 요즘은 무선 연결도 많이 이용한다. 무선 디스플레이 장치는 크게 미라캐스트(Miracast)와 크롬캐스트(Chromecast)가 있다. Windows 10 PC에서는 미라캐스트가 좋다. 운영체제 차원에서 지원하기 때문에 유선으로 다중 디스플레이를 이용하는 것과 똑같다. 아래 그림처럼 한 화면에는 인터넷, 다른 화면에는 동영상을 띄울 수 있다. Windows 10의 다중 디스플레이 프로젝트 모드는 Windows 키 + P를 눌러서 열 수 있다. 복제는 흔히 미러링(mirroring)이라고 하는데, 두 화면에 같은 내용을 표시한다. 확장은 서로 다른 화면을 띄울 수 있다. '두 번째 화면만'은 주 디스플레이는 끄고 외부 모니터만 사용하는 것이다.  안드로이드 스마트폰에서는 크롬캐스트가 좋다. 온라인 동영상을 스트리밍한다고 하면, 대부분의 작업을 크롬캐스트 장치가 스스로 처리하기 때문에 스마트폰의 배터리를 절약할 수 있다. 이를 미라캐스트로 하면 스마트폰이 직접 영상 재생을 하기 때문에 배터리 소모가 많고, 화면도 계속 켜져있어야 한다. 반면 크롬캐스트는 Windows PC에서는 용도가 제한적이다. 크롬캐스트는 사진, 동영상 같은 미디어를 외부 모니터로 전송해 주는 데 그치기 때문이다. 모든 윈도우 앱에서 이를 지원하지도 않는다. 동영상 감상에 충분 시중에 미라캐스트 장치는 여럿 나와 있다. 그러나 상품평을 보면 잦은 끊김 때문에 제대로 사용할 수 없다는 것이 대부분이다. MS WDA 3는 다소 비싼 감은 있지만, 써 보니 제 값을 한다. MS 무선 디스플레이 어댑터 3세대(MS WDA 3)의 정식 명칭은 마이크로소프트 4K...

검색 광고를 이용한 피싱 요즘 가상화폐 시세가 오르니까 잠잠하던 관련 피싱(phishing)이 고개를 들고 있다. 요 며칠 새 메타마스크(MetaMask) 사용자를 노린 피싱이 많은 피해자를 만들고 있어, 메타마스크는 공식 트위터 계정을 통해 경고를 했다(참2). 하지만 대응이 너무 늦었다는 비판이 많다. 위 그림(참2)은 구글에서 metamask를 검색한 결과이다. 공식 주소인 metamask.io보다 가짜 사이트가 먼저 나온다.  이는 검색 엔진들이 검색 광고(search ad)를 운영하기 때문이다. 특정 키워드에 대해 광고비를 지불하면 검색 결과 상단에 노출시켜 준다. 구글뿐만 아니라 네이버 등 모두 마찬가지다. 문제는 검색 광고를 누구라도 살 수 있다는 점이다. 가짜 사이트를 등록해 피싱에 이용할 수 있다. 오래돼고 많이 이용되는 수법이다. 검색 광고는 일반 검색 결과와 구별되도록 표시를 하게 돼 있다. 그림에서도 Ad라고 명시돼 있다. 그리고 url을 보면 공식 주소와 다르다는 것을 알 수 있다.  대부분 공식 주소를 정확히 모르기 때문에 검색을 할 것이다. 이런 경우 광고 표시가 된 링크를 피하고, 일반 검색 결과를 클릭해야 한다. 이번 사건과는 별개의 문제이지만, 출처가 불분명한 게시판, 메일, 메시지 등의 링크를 클릭하지 말아야 하는 것은 물론이다. 만약 속아서 가짜 메타마스크 사이트에 접속하면 어떻게 될까. 정교하게 제작된 피싱 사이트들은 눈으로는 구별하기 어렵다. 메타마스크는 브라우저 확장 프로그램으로, 이를 통해 새 이더리움 지갑을 만들거나, 기존의 지갑을 가져올(import) 수 있다. 이때 가상화폐 주소의 key, 즉 암호를 입력해야 한다. 이 키는 지갑을 지키는 유일한 수단이다. 그런데 가짜 사이트에서 가짜 메타마스크를 설치하면, 이 키가 해커에게 넘어간다. 해커는 가상화폐를 맘대로 훔쳐갈 수 있다. 참고 자료 1. MetaMask phishing steals cryptocurrency wallets via Google...

트릭봇(TrickBot)은 근래 가장 활발히 활동하는 악성코드 중의 하나다. 정보 탈취부터 랜섬웨어 등 다른 악성코드 설치까지 다용도로 활용되고 있다. 이제는 UEFI를 감염시키는 모듈까지 추가됐다. 이를 트릭부트(TrickBoot)라고 한다. UEFI는 PC 메인보드의 펌웨어(firmware)로, 이전에는 BIOS라고 하던 것이다. 시스템 시작 시 가장 먼저 실행된다. Windows 등 운영체제보다 먼저 실행되기 때문에, 이것이 악성코드에 감염되면, 보안 소프트웨어가 탐지하거나 제거하기 어렵다. 또한 부팅 과정에서 운영체제 자체를 변조하고, 보안 기능들을 해제할 수 있다. UEFI는 메인보드에 별도의 SPI Flash memory 칩에 있기 때문에, 운영체제를 재설치하거나 SSD/HDD 등 저장장치를 교체해도 악성코드를 제거할 수 없다. 이런 공격을 막기 위해 UEFI에는 쓰기 방지 기능이 있다. 정당한 UEFI image인지 확인하는 매커니즘도 있다. 문제는 PC나 메인보드 제조사에 따라, 이런 기능이 비활성화된 경우가 있고, 활성화됐더라도 취약점이 있는 경우가 있다는 점이다. UEFI에는 부팅 과정에 악성코드가 실행되는 것을 방지하는 보안 부팅(Secure Boot) 기능이 있다. 그러나 TrickBoot는 UEFI 자체를 감염시키기 때문에 보안 부팅이 도움이 되지 않는다. TrickBoot는 UEFI를 감염시키기 위해 RWEverything, fwexpl 등 기존의 앱을 사용했다. 그리하여 UEFI를 읽고, 쓰고, 아예 지워버릴 수도 있다. 백도어 등 악성코드를 설치하는 것은 물론, PC를 부팅 불가로 만들 수도 있는 것이다. UEFI를 감염시키는 악성코드는 매우 드물다. 아직까지는 LoJax와 MosaicRegressor가 전부였다. 게다가 이들은 고도로 표적화된 공격에만 사용됐다. 반면에 TrickBot은 무차별적으로 대량 공격을 하는 봇넷이다. 일반인들도 UEFI 공격에 노출된 것이다. UEFI를 보호하기 위해서는 쓰기 방지를 활성화하고, 알려진 ...

파일 없는 악성코드(fileless attack) 요즘 독일에서 가짜 게시판 글을 통해 악성코드를 퍼뜨리는 사례가 많다. 아래 그림(참2)과 같은 모양을 하고 있는데, 낯이 많이 익은 모습이다(관1). 수법도 동일하다. 정상 사이트를 해킹해 가짜 글이 먼저 나타나게 하거나, 가짜 사이트를 만든 후 SEO poisoning 기술을 썼다. SEO poisoning은 검색 엔진을 속이는 것으로, 특정 검색어를 검색 사이트에서 검색하면 악성 사이트(가짜 혹은 광고하려는 사이트)가 상단에 나타나게 된다. 이에 속은 방문자가 링크의 압축 파일을 다운로드하고, 그 안에 있는 자바스크립트 파일을 실행하면 악성코드에 감염된다. 이 작전에서는 Gootkit이라는 트로이 목마나 Sodinokibi(관2, REvil이라고도 함) 랜섬웨어를 유포하고 있다. 주목할 점은, 파일 없는 악성코드 기법을 쓴 점이다. 별도의 exe 실행 파일을 생성하지 않는다. 악성코드는 암호화되어 txt 파일이나 레지스트리의 무작위한 위치에 저장된다. 이것을 Windows Powershell을 이용해, 메모리에서 바로 복호화하고 실행한다. 이 때문에 많은 보안 앱이 탐지를 못하거나, 탐지해서 차단하더라도 완전히 제거하지는 못하는 일이 생기고 있다. 이에 대한 보고서(참2)를 발표한 Malwarebytes의 제품은 레지스트리에 남은 잔당까지 완전히 소탕한다고 한다. 관련 자료 1. 무료 다운로드로 위장한 악성코드 2. 악성코드가 UAC 알림을 계속 나타낸다 참고 자료 1. Gootkit malware returns to life alongside REvil ransomware 2. German users targeted with Gootkit banker or REvil ransomware

갤럭시A 퀀텀은 해킹 불가능? 지난 6월, 삼성전자는 갤럭시A 퀀텀을 출시했다. 이는 세계최초로 양자보안 기술을 적용한 스마트폰이라며, 해킹이 불가능하다고 광고됐다. 그때 이게 말이 돼? 하는 의구심이 들었지만, 관심 없던 기종이라 별 생각 없이 넘어갔다. 그런데 반 년이 지난 며칠 전, 이런 자료(참 1,2)가 눈에 띄었다. 양자보안이라 하기도 어렵고, 실제 해킹 방지 효과도 거의 없다는 것이다. 양자암호를 이용한 보안은 해커가 추론하기 어려운 강력한 암호 키를 일회성으로 생성하여 송/수신자가 공유하고, 해킹 시도 시 암호 키가 자동으로 파괴되어 해킹을 차단한다. 통신 인프라에 적용하여 도청이나 감청을 방지하는 데 활용이 시작되고 있다. 그러나 갤럭시A 퀀텀에 적용된 양자 기술이란 것은 강력한 암호 키를 생성하는 데 그친다. 실제 스마트폰 해킹은 악성코드에 의한 것이 대부분이라는 점에서 무용지물인 셈이다. 공인인증서를 예로 들어 보자. 공인인증서는 일종의 개인 암호 키인데, 이것이 해킹당했다는 뉴스를 가끔 볼 수 있다. 그러나 이것은 공인인증서의 암호화 알고리즘이 뚫리는 것이 아니다. 공인인증서의 암호화는 양자 생성기 없이도 지금도 충분히 강력하다. 공인인증서를 복호화(decrypt)하는 또 다른 키인 사용자 암호가 약한 고리인 것이다. 다른 인증 수단들도 마찬가지로 password, PIN, 혹은 생체 정보 등 고정된 요소가 brute force 공격이나 도용에 의해 해킹 당하는 것이다. 또한 스마트폰에 있는 악성코드는 인증을 마친 정당한 사용자가 사용하는 도중에도 정보를 탈취한다. 이런 악성코드는 사용자를 속여 자발적으로 설치하게 만들거나, 시스템의 취약점을 이용해 사용자 몰래 설치된다. 양자보안이 힘을 쓸 수 있는 영역이 아니다. 한참 늦었지만, 혹시나 해당 기종 사용하는 분들 중에, 이런 사실을 모른 채 기본적인 보안 수칙을 소홀히 하는 일이 있지 않을까 하는 생각에 적어본다. 참고 자료 1. 세계 첫 양자보안폰? 갤럭시A 퀀텀에 학계는 '갸...

시스코(Cisco)의 영상 회의 소프트웨어인 웨벡스(Webex)에 있던 심각한 취약점이 오늘 공개됐다. 시스코는 이미 패치를 내놨으므로, 웨벡스 사용자는 바로 업데이트해야 한다. 유령 참가자(ghost participants)는 웨벡스 미팅에 초대받지 않았고, 참가자 목록에 보이지도 않는다. 그러나 정상적인 참가자와 마찬가지로 음성, 영상, 문자 채팅, 화면 공유에 완전히 접근할 수 있다. 이 취약점은 CVE-2020-3419로 등록됐다.  유령 참가자는 또한 미팅에서 추방된 이후에도 음성 연결은 계속 유지된다. 이 점은 CVE-2020-3471이다. 유령 참가자는 미팅 대기실(meeting room lobby)에서 참가자들의 정보를 볼 수 있다. 여기에는 이름, 이메일 주소, IP 주소 등이 포함된다. 이 점은 CVE-2020-3441이다. 참고 자료 1. Cisco fixes WebEx bugs allowing 'ghost' attackers in meetings

Veraport 사용 사이트에 대한 공급망 공격 Wizvera의 보안 소프트웨어인 Veraport를 이용해, 사이트 방문자의 PC에 악성코드를 설치하는 북한 해커단 Lazarus의 공격이 ESET에 의해 포착됐다. 베라포트는 금융이나 정부 사이트 등에서 많이 볼 수 있는데. 이들 사이트를 이용하려면 강제로 설치해야 하는 여러 보안 모듈을 한번에 설치하는 통합 설치 앱이다. 베라포트는 설치할 프로그램 목록과 다운로드 URL을 포함하는 구성 파일(configuration file)을 사용하는데, 해커는 그 다운로드 위치에 있는 정상 프로그램을 악성코드로 바꿔치기했다. 즉 베라포트를 해킹한 것이 아니라 이를 사용하는 사이트를 해킹한 것이다. 예를 들어, A 은행 사이트가 베라포트를 통해 B 키보드 보안 앱을 제공한다고 하자. 해커는 A 사이트를 해킹해 보안 자료실에 있는 B를 악성코드로 바꿔놓는 것이다. A에 방문한 이용객의 PC는 악성코드에 감염된다. 베라포트는 유명한 앱이므로 보안 경고에 의심없이 수락할 것이다. 베라포트는 구성 파일에 있는 각 프로그램을 설치할 때, 기본적으로 디지털 서명을 확인한다. 그러나 디지털 서명에 사용된 인증서가 유효한지만 확인할 뿐, 소유자는 확인하지 않는다. 라자루스는 다른 곳에서 훔친 인증서를 사용해, 베라포트의 검증을 통과했다. 탈취된 인증서 중에는 Dream Security라는, 한번쯤 들어본 듯한 보안 회사의 것도 있었다. 베라포트는 설치할 프로그램의 해시값을 검증하는 옵션도 제공한다. 이는 선택 사항인데, 활성화하면 이런 식의 해킹을 상당히 어렵게 하는 효과가 있다. 프로그램을 1 글자만 바꿔도 해시값이 달라지기 때문이다. 이 작전의 최종 페이로드는 원격제어 툴이다. 가짜 보안 모듈은 윈도우의 기본 프로세스인 svchost.exe를 감염시켜 RAT(Remote Access Tool)를 설치한다. PC의 제어권이 해커의 손에 완전히 넘어가는 것이다. 참고 자료 Trojanized Security Software Hits So...

클라우드(cloud) 해킹 대응책은 계정 분리 2020.10.9일 아이클라우드(iCloud)를 포함한 애플(Apple) 서비스에서 발견된 55개 취약점이 공개됐다. 이들은 7~9월에 걸쳐 애플에 보고됐는데, 애플이 패치를 완료하기를 기다려 공개된 것이다. 이 중 11개는 원격코드 실행, 정보 유출, 계정 탈취 등 심각한 것이다. 사용자와 애플 직원 앱을 완전 장악, 아이클라우드 계정 탈취, 애플 프로젝트의 소스코드 탈취, 관리 도구와 민감한 고객 정보에 접근할 수 있는 애플 직원의 세션 탈취 등이 포함됐다. 몇 가지 구체적인 사례를 본다. ade.apple.com(Apple Distinguished Educators) 사이트는 인증 우회 취약점이 있었다. 해커는 기본 암호를 이용해 관리자 콘솔에 접근하고 임의의 코드를 실행할 수 있다. Delmia Apriso라는 창고 관리 솔루션은 암호 재설정 기능에 결함이 있었다. 이를 악용해 해커는 선적 정보와 상품 목록을 조작하고, 직원 배지를 인가할 수 있다. 심지어 악의적인 계정을 새로 만들어 이 소프트웨어를 완전히 장악할 수 있다. authors.apple.com은 작가들이 창작물을 애플 북스에 출판할 수 있는 사이트인데, 해커는 ePub 전자책 파일 업로드 툴을 이용해 임의의 코드를 실행할 수 있다. 일반인들에게 가장 충격적인 것은 아이클라우드의 XSS(cross-site scripting) 취약점일 것이다. 이를 악용하기 위해 해커가 할 일은 오직 표적에게 icloud.com이나 mac.com 주소로 특별하게 조작된 이메일을 보내는 것 뿐이다. 악성 메일을 Apple Mail에서 열어보면, 그 계정은 해커에게 완전히 장악된다. 그 결과는 개인 정보를 완전히 탈탈 털리는 것이다. 아이클라우드에 저장한 문서, 사진, 동영상, 주소록, 일정 등 모든 데이터를 탈취당할 수 있다. 게다가 이 취약점은 wormable이다. 한 피해자의 주소록에 있는 연락처로 자동으로 퍼져나간다. 이렇게 클라우드 서비스 자체의 취약점을 이...

PC의 UEFI에 침투하여 악성 모듈을 삽입하는 악성코드가 발견됐다. LoJax에 이어 역사상 두번째의 UEFI rootkit이다. 카스퍼스키(Kaspersky)가 발견했으며, MosaicRegressor라고 이름 붙였다. 메인보드의 UEFI(에전의 BIOS)에 존재하기 때문에 보안 소프트웨어에 잘 탐지되지 않으며 제거도 어렵다. 물론 HDD나 SSD 같은 저장장치를 초기화하거나 교체해도 소용없다. 모자이크리그레서는 모듈화된 다단계 다운로더이다. 해커로부터 최종 페이로드(payload)를 다운로드해서 설치하는 것이 임무다. 모자이크리그레서의 초기 감염 경로, 즉 UEFI에 어떻게 침투하는 지는 확인되지 않았다. 다만 카스퍼스키는 물리적으로 PC에 접근하는 것을 유력한 시나리오로 보고 있다. USB 드라이브로 부팅하는 과정에서 전용 UEFI 업데이트 툴을 이용해, 악의적으로 변조된 UEFI 이미지를 심는 것이다. 또한 원격에서 해킹하는 것도 가능할 것으로 봤다.  UEFI의 인증 취약점, 즉 정상적인 UEFI 이미지인지 확인하는 과정의 취약점을 이용해 원격에서 변조된 이미지로 업데이트하는 것이다. 이를 수행할 악성코드는 스피어 피싱 등으로 전달될 수 있다. 카스퍼스키에 따르면, 이런 UEFI 루트킷이 발견되는 것은 상당히 드문 경우라고 한다. 방어자 입장에서는 보안 앱에 잘 탐지되지 않기 때문이고, 공격자 입장에서도 고도의 기술이 필요하고 위험 부담이 크기 때문이다. 관련 자료 LoJax Rootkit, UEFI로 침투하는 악성코드 참고 자료 MosaicRegressor: Second-ever UEFI rootkit found in the wild  New 'MosaicRegressor' UEFI Bootkit Malware Found Active in the Wild 

잘라내기는 숨겨진 셀도 포함한다 마이크로소프트 엑셀(Microsoft Excel)로 데이터베이스 작업을 하다보면, 원하는 데이터만 보이도록 필터링을 한 다음, 다른 위치에 붙여넣기를 할 때가 있다. 그런데 필터라는 것이 불필요한 셀을 화면에 보이지 않게 숨기는 것이므로, 특정 범위를 선택할 경우 보이는 셀과 숨겨진 셀을 어떻게 처리하느냐에 따라 결과가 달라질 수 있다. 기본적으로 엑셀은 보이는 셀을 기준으로 작업을 한다. 그러나 수행하는 작업에 따라 달리 처리하기도 한다. 셀 단위로 범위를 선택할 때, 복사는 보이는 셀만을 포함하지만, 잘라내기는 숨겨진 셀까지 포함한다. 아래 예는 엑셀 2010과 오피스 온라인에서 수행한 것이다. 오피스 온라인은 마이크로소프트 계정만 있으면 무료로 사용할 수 있다. 기능은 상당히 제한적이지만 일반적인 작업에는 쓸 만하고, 항상 최신 버전으로 유지된다는 장점이 있다. 먼저 간단한 데이터베이스를 만들어 표(테이블) 삽입을 했다. 데이터베이스는 표로 만드는 것이 여러 모로 좋다. 여기서 서울에 사는 사람만 골라내서 별도의 시트로 만들려고 한다. 다음과 같이 필터를 적용했다. 여기서 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '복사'한 다음, 새 시트에 붙여넣으면 다음과 같이 된다. 정확히 원하던 결과다. 그러나 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '잘라내기'한 다음, 새 시트에 붙여넣으면 엉뚱한 결과를 낳는다. 범위 안에 있는 숨겨진 셀까지 이동된 것이다. 행 단위 선택은 숨겨진 행도 포함한다 위에선 셀 단위로 범위를 선택한 경우를 본 것이다. 그런데 엑셀에서 데이터베이스를 다룰 때는, 행 단위로 선택을 하는 것이 편할 때가 많다. 행 번호를 클릭하면 해당 행 전체가 선택된다. 행 단위로 범위를 선택하면, 그 안에 있는 숨겨진 행도 포함된다. 이때는 복사든 잘라내기든 마찬가지다. 위의 필터 적용된 데이터베이스에서 행 번호를 드래그해서, 행 단위로 범위를 선택한 후 '복사...

전자 서명 우회해서 변조 문서에 전자 서명(디지털 서명)을 하는 것은 작성자를 확인하고, 서명 이후 변경되지 않았음을 보증하는 보안 수단이다. 그런데 서명된 PDF 문서의 내용을 바꿔치기할 수 있는 Shadow Attack이라는 공격 방법이 발견됐다. PDF 파일은 개체(object)들의 집합인 레이어(layer, 층)를 여러 개 쌓을 수 있는 다층 구조를 하고 있다. 그리고 전자 서명 됐더라도, 사용되지 않는 개체를 포함할 수 있다. 이런 구조적인 특징을 악용한 것이 섀도우 어택이다. 공격자는 정상적인 내용을 담은 레이어와 악의적인 내용의 레이어를 모두 포함한 PDF 문서를 만든 다음, 정상 레이어를 맨 위에 놓아 이것만 보이게 한다. 이를 피해자에 전달하면, 피해자는 정상 문서로 오인하고 전자 서명을 한다. 이를 다시 받은 공격자는 레이어 순서만 바꿔, 악의적인 레이어가 보이게 한 후, 다른 사람들에게 배포한다. 권한 있는 피해자를 이용해 악성 문서를 배포하는 것이다. 여기서 알 수 있듯이 Shadow Attack은 서명된 아무 PDF 문서나 변조할 수 있는 것은 아니다. 애초에 악의적인 레이어를 포함해서 만든 문서라야 가능하다. 예를 들어 어떤 기업에서 모금을 해서 복지 단체에 기부하려 한다. 악의적인 김 대리는 이를 횡령하려 맘 먹었다. 모금 계획서에 회사 계좌를 입금 계좌로 표시한 정상 레이어를 만들고, 그 밑에 자신의 계좌를 입금 계좌로 표시한 악성 레이어를 숨겨뒀다. 이 사실을 모르는 박 부장은 이 PDF 문서에 전자 서명을 해서 공신력을 부여한다. 무사히 결재를 받은 김 대리는 악성 레이어를 상위로 옮기고 직원들에게 보낸다. Shadow Attack을 개발한 독일 보훔 루르 대학의 연구팀은 28개의 주요 PDF 앱을 대상으로 실험했는데, 그 중 15개의 앱이 취약점을 갖고 있었다. 취약한 앱에는 Adobe Acrobat Pro, Adobe Acrobat Reader, Perfect PDF, Foxit Reader, PDFel...

Trustwave는 중국의 세금 관련 소프트웨어에서 백도어를 발견했다. 중국에서 사업을 하는 글로벌 기업들을 노린 것으로 추측됐다. GoldenHelper는 Golden Tax라는 프로그램에서 발견됐다. 골든 택스는 명세서를 제출하고 부가세를 납부하기 위해 중국 정부에 의해 설치가 요구된다. 골든헬퍼는 2018.1월~2019.7월 사이에 유포됐다. GoldenSpy는 Intelligent Tax Software에 숨어 있었다. 이 프로그램은 중국의 은행들과 거래를 하기 위해서 설치가 요구된다. 골든스파이는 2020.4월부터 유포되기 시작했다. 중국 정부와 은행들에 의해 필수적으로 설치가 요구되는 이들 세금 프로그램은 정상적으로 작동한다. 그러나 한편으로 시스템을 완전히 장악할 수 있는 백도어를 몰래 설치한다. GoldenSpy와 GoldenHelper는 원격의 해커가 임의의 코드를 실행하고, 추가 악성코드를 설치할 수 있다. 사용자의 허락은 필요없다(UAC bypass). 악성 파일의 이름을 무작위하게 생성하고, 파일의 타임 스탬프(만든 날짜와 수정한 날짜)를 임의로 수정해서(timestomping) 탐지를 어렵게 한다. 골든스파이와 골든헬퍼 작전에서는 Aisino라는 소프트웨어 회사가 중심 역할을 했다. 중국에서 사업을 하기 위해서는 이들 세금 프로그램을 반드시 설치해야 하기 때문에 완전히 피하기는 어렵다. Trustwave는 잠재적으로 해킹의 통로가 될 수 있는 프로그램을 설치한 기기는 네트워크에서 고립시키고, 면밀하게 감시하라고 권고했다. 참고 자료 New GoldenHelper malware found in official Chinese tax software

CVE-2020-1350 2020.7.14일 마이크로소프트는 Windows DNS Server의 고위험 취약점을 패치했다. SIGRed라고 하는데, 윈도우 서버 버전 2003부터 2019까지 해당된다. 거의 20년 가까이 숨어 있던 것이다. 이는 DNS 서버로 설정된 윈도우 서버가 요청을 잘못 처리하는 데 있다. 악용에 성공하면 원격의 해커는 임의의 코드를 실행할 수 있다. 해커는 별도의 인증 절차 없이, 악의적인 요청을 보내기만 하면 된다. SIGRed는 DNS 프로토콜의 문제가 아니라, 마이크로소프트 윈도우 서버가 이를 구현하는 과정에서 생긴 취약점이다. 따라서 다른 DNS 서버는 문제가 없다. DNS server의 취약점은 상당히 심각한 문제로 평가된다. 직접적으로는 DNS hijacking으로 사용자를 가짜 사이트로 보내버릴 수 있다. 더 나아가 DNS 서버는 조직 네트워크의 핵심 역할을 하므로, 전체 네트워크를 공격할 수 있는 거점이 될 수 있다. wormable SIGRed가 CVSS 스코어 10점 만점을 받은 것은 악용이 쉬운 데다 wormable, 즉 악성코드가 사용자의 상호작용 없이 자동으로 퍼져나갈 수 있기 때문이다. 게다가 같은 네트워크에 있지 않은 Windows DNS Server도 공격할 수 있다. DNS(Domain Name System)는 탈중앙화된 계층 구조(hierarchical and decentralized)로 돼 있다. 어떤 DNS 서버가 요청에 대한 정보를 갖고 있지 않으면, 상위의 DNS 서버에 그 요청을 전달한다. 모든 정보를 갖고 있는 최상위의 DNS 서버를 root DNS server라 하는데, 전세계에 13개 서버군(대략 1,000 여 대)으로 이루어져 있다. 이때 Windows DNS Server는 DNS 정보를 TCP 연결을 통해서도 전송할 수 있기 때문에, 다른 네트워크 상의 Windows DNS Server도 공격할 수 있는 것이다. 관련 자료 Sea Turtle, 고도...

2020.7.15일 유력한(high profie) 트위터(Twitter) 계정 다수가 동시에 해킹된 사건이 발생했다. 정치가인 버락 오바마, 조 바이든, IT 분야의 거물들인 제프 베조스, 빌 게이츠, 엘론 머스크 등과 우버, 애플 등 대기업의 공식 계정들이 포함됐다. 이번 해킹은 가상화폐를 노린 것이었다. 해킹한 계정을 통해, 해커의 가상화폐 주소로 소액의 가상화폐를 송금하면 더 많이 돌려준다는 사기 트윗을 날린 것이다. 상식적으로 말이 안되는 내용이지만, 워낙 신뢰도가 높은 계정들을 동원한 탓에 실제로 많은 피해자가 발생했다. 해커는 이들 계정에 등록된 이메일 주소도 변경해서, 계정 복구를 어렵게 했다. 유명인의 SNS 계정을 해킹할 경우 돈을 노린 사기는 물론, 가짜 뉴스를 퍼뜨려 사회 혼란을 야기할 수도 있다는 우려가 나오고 있다. 이번 트위터 해킹은 이전에 종종 있었던, 개별적인 계정을 탈취하는 것과는 다른 방식이다. 트위터 측은 이를 직원들에 대한 조직적인 사회공학적 공격(coordinated social engineering attack against internal employees)이라고 표현했다. 가입자 계정에 접근할 수 있는 관리자 권한을 가진 내부 직원들의 계정을 스피어 피싱(spear phishing)으로 해킹한 것이다. 사실상 트위터 서비스 자체를 해킹한 것으로 볼 수 있다. 해킹당한 계정들은 대부분 강력한 암호와 2단계 인증으로 무장하고 있었지만, 아무 소용이 없었다. 비슷한 사례는 2019년 초에도 있었다. 마이크로소프트의 이메일 서비스인 아웃룩(Outlook) 일부 계정이 직원 계정 해킹을 통해 해킹돼, 심한 경우 메일 내용까지도 노출이 된 적이 있었다. 관련 자료 Outlook 메일 관련 일부 정보 노출 참고 자료 Several High-Profile Accounts Hacked in the Biggest Twitter Hack of All Time

페어링된 기기로 위장 2020.5.19일 로잔 연방 공대(École Polytechnique Fédérale de Lausanne, EPFL)의 연구팀은 BIAS(Bluetooth Impersonation AttackS)라는 블루투스의 해킹 취약점을 공개했다. BIAS는 Bluetooth Classic(BR/EDR), 즉 BHS(Bluetooth High Speed)와 BLE(Bluetooth Low Energy)를 제외한 일반적인 블루투스 규격에 해당된다. 블루투스 클래식 규격의 취약점으로 인해, 해커는 이미 보안 연결로 페어링된 임의의 기기로 위장할 수 있다. 예를 들어 내가 블루투스 이어폰과 마우스를 사용하고 있다면, 해커가 자신의 기기로 내 이어폰처럼 통화를 하거나 주변 소리를 몰래 녹음하고, 마우스 입력을 할 수 있다. EPFL은 다양한 브랜드의 스마트폰, 노트북, 이어폰 등 30여 기기를 대상으로 테스트했는데, 모두 취약했다. BIAS 취약점은 2019.12월에 블루투스 표준의 개발을 담당하고 있는 Bluetooth SIG에 통보됐다. Bluetooth SIG는 취약점을 인정하고 다음번 규격 개정 시에 반영하기로 했다. 현재로선 대부분의 블루투스 클래식 기기가 위험하다고 볼 수 있다. BIAS를 수행하려면 먼저 블루투스 신호 범위 내에 있어야 한다. 표적 기기는 이미 정상적으로 페어링돼 있어야 하며, 해커는 그것의 블루투스 주소를 알아야 한다. 특정인을 노리고 있다면 어려울 것 없는 조건이다. 블루투스 보안 연결의 핵심은 long term key, 흔히 link key라고 하는 암호화 키에 있다. 처음 기기를 페어링하면 롱텀키가 만들어진다. 이렇게 한번 등록된 기기는 다음에 사용할 땐 전원만 켜면 자동 연결되는 등 간단히 연결할 수 있다. 문제는 블루투스 클래식이 롱텀키를 허술하게 취급해서, 해커는 롱텀키가 없어도, 표적의 블루투스 주소로 위장할 수 있다는 것이다. 그래서 표적 기기(예컨대 이어폰)에 페어링돼 있는 최종 표적...

2020.6.9일 KBS 뉴스에서 Bluetooth 이어폰을 해킹해 도청 및 정보 탈취가 가능하다는 보도가 나왔다. 무선 이어폰을 해킹해 통화 상태로 바꾸고, 그 마이크를 이용해 주변 소리를 몰래 해커의 PC에 녹음한다는 것이다. 차량 핸즈프리의 경우에는 도청은 물론, 연결된 스마트폰의 연락처나 통화 기록 같은 정보 탈취도 가능하다고 했다. 내 생각에는 이것은 본격적인 해킹이라기 보다는 블루투스 페어링의 취약점을 이용한 무단 연결로 보인다. 그것도 블루투스 표준의 문제가 아니라, 각 기기에 구현하는 과정에서 보안에 대한 고려가 부족했던 것으로 보인다. PC나 스마트폰에 블루투스 페어링을 할 때는 서로간에 동일한 PIN이 나타나는지 확인하는 절차가 있다. 양 쪽에서 모두 확인을 해야 등록이 가능하다. 주변에 있는 몇몇 기기로 테스트해 본 결과, 여타 IOT 기기는 기기에 따라 달랐다. 블루투스 마우스는 항상 페어링 요청을 받아들이는 것이 아니라, 버튼 조작을 통해 페어링 모드로 바꾼 상태에서만 등록이 가능했다. 반면 블루투스 스피커나 이어폰은 별다른 제약 없이 아무 PC나 스마트폰 쪽에서 일방적으로 페어링이 가능했다. 이런 허술함 때문에 뉴스와 같은 해킹이 가능하다. 실제로 해 보니까 블루투스를 지원하는 녹음기 앱 하나만 있으면, 옆 방에 있는 스피커를 통해 몰래 녹음이 가능했다. 많은 블루투스 스피커들이 핸즈프리 통화 기능을 제공하고 이를 위해 마이크를 갖고 있다. IOT 기기의 소프트웨어 업데이트는 거의 기대하기 어렵다. 현재로선 카메라나 마이크가 장착된 블루투스 기기, 페어링 과정이 허술한 기기는 사용하지 않을 땐 끄는 수 밖에 없겠다. 참고 자료 문자·연락처 빼간다…무선 이어폰 등 블루투스 ‘해킹 주의’

CVE-2020-11896, 11897 2020.6.16일, 보안회사 JSOF는 Ripple20이라는 19개의 제로데이 취약점을 공개했다. 리플20은 Treck사의 TCP/IP 소프트웨어 라이브러리에서 발견됐다. 트렉의 TCP/IP 라이브러리는 지난 20여 년 동안 광범위한 IOT 기기에 사용됐다. 가정용 스마트기기, 네트워크 장치, 의료 장비, 산업용 제어 장치, 인프라 설비 등 거의 모든 분야에 걸쳐있으며, HP, Intel, 캐터필러, 슈나이더 등 대기업 브랜드도 많이 포함됐다. 총 수 억 대 이상의 기기가 영향권에 있는 것으로 추정됐다. 19개의 취약점 중에는 원격코드 실행을 가능케 하는 것들도 있다. 그것도 안정적으로. 해킹 성공 확률이 높은 위험한 것이다. CVE-2020-11896은 IPv4에 있는 원격코드 실행 취약점이다. 표적에 다량의 잘못된 IPv4 패킷을 보내서 악용할 수 있다. CVE-2020-11897은 IPv6에 있는 원격코드 실행 취약점이다. 표적에 다량의 잘못된 IPv6 패킷을 보냄으로써 촉발된다. 간단한 예로는 프린터에서 데이터를 탈취하고, 의약품 주입 펌프의 작동을 조작하고, 산업용 제어 기기에 오작동을 일으키는 것 등을 들 수 있다. 내부 네트워크로 침투하는 발판이 될 수도 있다. Treck은 2020.3.30일까지 모든 취약점을 수정했다. 그러나 최종적으로는 각 IOT 기기 제조사에서 이를 적용해야 하는데, 현실적으로 IOT 기기의 업데이트는 잘 되지 않는다. 이 점을 고려해 JSOF는 여러 가지 임시 대응책을 제시했다. 그 중에 가장 중요한 것은 IOT 기기를 인터넷에 직접 노출시키지 말라는 것과 망 분리를 하라는 것이다. IOT 기기를 인터넷에 직접 노출시키지 말라는 것은 방화벽이나 VPN 등을 통해 연결하라는 것이다. 이 점은 UPnP 해킹, NAS 해킹, 프린터 해킹, RDP 해킹 등의 사례에서 이미 본 것처럼, 네트워크 보안에서 가장 기본적인 수칙이다. 사실 가정에서는 공유기, 기업 환경에서...

CVE-2020-12695 2020.6.8일, UPnP(Universal Plug and Play) stack의 새로운 취약점이 공개됐다. Yunus Çadirci가 발견했으며, CallStranger라고 불린다. 콜스트레인저는 데이터 탈취, 봇넷에 편입시켜 DDoS 공격에 동원, 내부 네트워크 탐색 등에 악용될 수 있다. 이 중에서 데이터 탈취가 가장 큰 위험으로 지목됐다. UPnP 기능은 네트워크 상의 기기들을 자동으로 발견하고 상호작용을 할 수 있게 해준다. 애초에 신뢰할 수 있는 내부 네트워크에서 사용하는 목적으로 개발된 것이기 때문에, 인증이나 검증 같은 보안 절차가 없다. 따라서 해킹에 취약하고 실제로 많이 악용되고 있다. 카네기 멜론 대학의 보안 협력 센터에서는, UPnP는 인터넷을 통해 즉 내부 네트워크를 넘어서는 이용할 수 없어야 한다고 강조했다. 그러나 현실은 간단한 쇼단(Shodan) 검색만으로도 인터넷에 노출된 5백만 대 이상의 기기를 발견할 수 있다고 한다. 소프트웨어에 취약점이 있거나 잘못 설정된 경우가 많다는 얘기다. UPnP 스택의 개발을 담당하고 있는 OCF(Open Connectivity Foundation)은 이에 대한 패치를 2020,4,17일에 배포했다. 따라서 그 이전 버전의 UPnP는 모두 취약하다. 영향권에 있는 기기는 PC를 비롯해 라우터(공유기), 프린터, 게임기, 카메라, TV, 미디어 장치 등 광범위한 IOT 기기들이다. 소프트웨어 업데이트가 근본적인 해결책이지만, 많은 IOT 기기들은 업데이트를 기대하기 어렵다. 이를 고려해 Yunus는 다음과 같은 임시 대응책을 제시했다. 인터넷에 직접 연결된 기기의 UPnP 기능은 가급적 끈다. UPnP 장치들이 데이터를 외부로 전송하지 못하도록 네트워크 설정을 한다. 취약점이 이미 악용된 적은 없는지 네트워크 보안 로그를 검토한다. 인터넷 사업자나 네트워크 보안 업체에 UPnP 트래픽을 차단할 수 있는지 문의한다. 가정에서는 공유기의 U...

Zoom-bombing 코로나19 바이러스의 전세계적 대유행으로 화상 회의, 원격 강의 등 비대면 온라인 미팅 수요가 늘고 있다. 이런 분위기 속에 줌(Zoom) 사용자도 국내외에서 크게 늘고 있다. 또한 줌의 인기가 늘어남에 따라 이에 대한 해킹 시도도 늘고 있다. 어떤 소프트웨어든 버그 혹은 취약점은 있기 마련이다. 따라서 앱을 제때 업데이트해서 최신 버전으로 유지하는 것이 보안의 제1 계명이다. 근래 해킹과는 별개로, 줌 사용자의 부주의를 틈타, 허락없이 미팅에 참가해서 음란물, 욕설 등 악의적인 내용을 보여주는 일이 많이 일어나고 있다. 미팅 내용을 캡처해서 SNS에 함부로 퍼뜨리기도 한다. 이런 악행을 줌 폭격(Zoom-bombing)이라고 한다. 줌 폭격을 막기 위해서는 줌의 특성과 옵션을 잘 알고 적절히 사용해야 한다. 종단간 암호화가 아니다 Zoom meeting은 여러 사람이 참여해서 화면을 공유하기 때문에, 민감한 내용이 노출되지 않도록 조심해야 한다. Host(줌 미팅의 주최자, 채팅방 개설자)는 Zoom session, 즉 화면과 소리를 포함한 모든 미팅 내용을 녹화할 수 있다. 이때 화면 상단에 'Recording'이라는 표시가 나오므로, Participants(미팅 참여자)는 녹화 중이라는 것을 알 수 있다. 각 참여자는 대화 기록(chat logs)을 다운로드해서 저장할 수 있다. 그 대상은 자신이 볼 수 있는 것에 한정된다. 다른 참여자들이 비밀리에 나눈 대화는 저장할 수 없다. 줌은 종단간 암호화(E2EE, End-to-End Encryption)를 지원하지 않는다는 점도 중요하다. 종단간 암호화는 트래픽을 암호화하는 키를, 서버가 아닌 각 사용자의 단말에 저장하는 방식이다. 암호화 키가 각 사용자에게 있기 때문에, 서버에서는 복호화를 할 수가 없다. 줌은 암호화 키가 서버에 보관되기 때문에, 사법 당국의 법 집행이나 줌 직원의 불법적인 접근에 의해 미팅 내용이 도청될 가능성이 있...

탭 모두 닫기 안드로이드 스마트폰에서 크롬 브라우저가 전혀 작동하지 않는 경우가 있다. 이 오류는 너무 많은 탭이 열려있는 것이 원인일 수 있다. 많은 뉴스나 쇼핑 사이트들이 각자 앱 설치를 유도하는데, 이것은 광고성 푸시 알림을 내보내기 위한 것이다. 앱 자체의 기능은 거의 없다. 모바일 브라우저에서 열어 보는 것과 크게 다를 바 없다. 따라서 이런 앱들을 설치하는 것보다, 바탕 화면에 바로가기를 만들어 사용하는 것이 스마트폰의 자원을 효율적으로 이용하는 요령이다. 문제는 바탕 화면의 아이콘을 클릭하여 사이트를 열면, 매번 새 탭에서 열린다는 점이다. 시간이 지날 수록 열린 탭의 개수는 엄청나게 불어난다. 기기의 성능에 따라 다르겠지만, 언젠가는 크롬 브라우저의 반응이 느려지거나 아예 응답하지 않는 상황이 생길 수 있다. 따라서 탭이 너무 많이 열려있다 싶으면 주기적으로 정리를 해 주는 것이 좋다. 나는 100개를 넘으면 습관적으로 정리한다. 크롬 자체에서 주기적으로 자동 정리하는 기능이 있었으면 좋겠다. 열려 있는 탭의 개수는 주소 바 옆에서 볼 수 있다. 그 부분을 클릭하면 열려 있는 탭들을 확인할 수 있다. 그 화면에서 메뉴 버튼(땡땡이)를 클릭하고, '탭 모두 닫기'를 클릭하면, 열려 있는 모든 탭을 한번에 닫을 수 있다. 크롬 앱 초기화 어떤 분들의 스마트폰에서 크롬이 실행되지 않는다고 해서 탭을 정리해 준 적이 있다. 대체 탭이 몇 백 혹은 몇 천 개가 열려 있는 지, 시간이 엄청나게 결렸다. 심한 경우에는 크롬이 아예 먹통이 돼서 탭을 정리할 수조차 없었던 적도 있다. 이럴 때는 크롬 앱을 초기화해야 한다. 앱이 생성한 데이터를 완전히 지워서, 처음 설치한 상태로 만드는 것이다. 크롬 말고도, 어떤 앱이 작동하지 않는 경우에 앱 초기화는 유용한 해결책이다. Chrome 브라우저를 초기화하려면 설정/앱에서 하면 된다. 설치된 앱 목록에서 크롬을 클릭하면 앱 정보...