SomeNotes247

Veraport 사용 사이트에 대한 공급망 공격 Wizvera의 보안 소프트웨어인 Veraport를 이용해, 사이트 방문자의 PC에 악성코드를 설치하는 북한 해커단 Lazarus의 공격이 ESET에 의해 포착됐다. 베라포트는 금융이나 정부 사이트 등에서 많이 볼 수 있는데. 이들 사이트를 이용하려면 강제로 설치해야 하는 여러 보안 모듈을 한번에 설치하는 통합 설치 앱이다. 베라포트는 설치할 프로그램 목록과 다운로드 URL을 포함하는 구성 파일(configuration file)을 사용하는데, 해커는 그 다운로드 위치에 있는 정상 프로그램을 악성코드로 바꿔치기했다. 즉 베라포트를 해킹한 것이 아니라 이를 사용하는 사이트를 해킹한 것이다. 예를 들어, A 은행 사이트가 베라포트를 통해 B 키보드 보안 앱을 제공한다고 하자. 해커는 A 사이트를 해킹해 보안 자료실에 있는 B를 악성코드로 바꿔놓는 것이다. A에 방문한 이용객의 PC는 악성코드에 감염된다. 베라포트는 유명한 앱이므로 보안 경고에 의심없이 수락할 것이다. 베라포트는 구성 파일에 있는 각 프로그램을 설치할 때, 기본적으로 디지털 서명을 확인한다. 그러나 디지털 서명에 사용된 인증서가 유효한지만 확인할 뿐, 소유자는 확인하지 않는다. 라자루스는 다른 곳에서 훔친 인증서를 사용해, 베라포트의 검증을 통과했다. 탈취된 인증서 중에는 Dream Security라는, 한번쯤 들어본 듯한 보안 회사의 것도 있었다. 베라포트는 설치할 프로그램의 해시값을 검증하는 옵션도 제공한다. 이는 선택 사항인데, 활성화하면 이런 식의 해킹을 상당히 어렵게 하는 효과가 있다. 프로그램을 1 글자만 바꿔도 해시값이 달라지기 때문이다. 이 작전의 최종 페이로드는 원격제어 툴이다. 가짜 보안 모듈은 윈도우의 기본 프로세스인 svchost.exe를 감염시켜 RAT(Remote Access Tool)를 설치한다. PC의 제어권이 해커의 손에 완전히 넘어가는 것이다. 참고 자료 Trojanized Security Software Hits So...

Trustwave는 중국의 세금 관련 소프트웨어에서 백도어를 발견했다. 중국에서 사업을 하는 글로벌 기업들을 노린 것으로 추측됐다. GoldenHelper는 Golden Tax라는 프로그램에서 발견됐다. 골든 택스는 명세서를 제출하고 부가세를 납부하기 위해 중국 정부에 의해 설치가 요구된다. 골든헬퍼는 2018.1월~2019.7월 사이에 유포됐다. GoldenSpy는 Intelligent Tax Software에 숨어 있었다. 이 프로그램은 중국의 은행들과 거래를 하기 위해서 설치가 요구된다. 골든스파이는 2020.4월부터 유포되기 시작했다. 중국 정부와 은행들에 의해 필수적으로 설치가 요구되는 이들 세금 프로그램은 정상적으로 작동한다. 그러나 한편으로 시스템을 완전히 장악할 수 있는 백도어를 몰래 설치한다. GoldenSpy와 GoldenHelper는 원격의 해커가 임의의 코드를 실행하고, 추가 악성코드를 설치할 수 있다. 사용자의 허락은 필요없다(UAC bypass). 악성 파일의 이름을 무작위하게 생성하고, 파일의 타임 스탬프(만든 날짜와 수정한 날짜)를 임의로 수정해서(timestomping) 탐지를 어렵게 한다. 골든스파이와 골든헬퍼 작전에서는 Aisino라는 소프트웨어 회사가 중심 역할을 했다. 중국에서 사업을 하기 위해서는 이들 세금 프로그램을 반드시 설치해야 하기 때문에 완전히 피하기는 어렵다. Trustwave는 잠재적으로 해킹의 통로가 될 수 있는 프로그램을 설치한 기기는 네트워크에서 고립시키고, 면밀하게 감시하라고 권고했다. 참고 자료 New GoldenHelper malware found in official Chinese tax software

지금은 안전 이 사건은 2019.8월에 있었던 것으로, 바로 해결됐고 지금까지 정상적으로 서비스되고 있다. 지난 일이지만 비슷한 사건은 언제라도 일어날 수 있는 유형이다. CamScanner는 문서를 스마트폰 카메라로 찍어 pdf 파일로 저장하는 앱이다. Google Play 스토어에서 1억 건 이상의 다운로드 수와 4.5가 넘는 평점을 받고 있는 인기있는 앱이며, 에디터 추천 목록에도 올라있는 신뢰할 수 있는 앱이다. 광고 모듈에 dropper 그런데 어느 순간 업데이트 시에 악성코드가 삽입됐다. 캠스캐너 개발자가 부도덕한 광고주와 파트너십을 맺은 것이 화근이었다. 무료 버전에는 광고가 들어가는데, 악의적인 광고주가 제공한 광고 라이브러리에 dropper 혹은 downloader 악성코드가 있었다. 다운로더라고도 불리는 드로퍼는 다른 악성코드를 다운로드하여 설치하는 악성코드 유형으로, 근래 구글 플레이 스토어의 보안 검색을 통과하는 방법으로 많이 이용되고 있다. 캠스캐너에서 발견된 드로퍼는 지독하게 광고를 표시하고, 사용자 몰래 유료 서비스에 가입하여 돈을 훔치는 역할을 한다. 저가 중국제 스마트폰들에 사전 설치된 적도 있다. 이런 경우는 사용자 입장에선 대책이 없다. 가짜 앱이 아니라 신뢰할 수 있는 앱을 이용하기 때문이다. 잘 사용하던 정상적인 앱이 어느 순간에 악성코드로 돌변할 수 있다. 공급망 공격의 일종이므로, 개발자가 자신의 명예와 비즈니스를 지키기 위해 더 노력해야 한다. 리뷰의 신뢰성 당시 구글은 문제된 버전을 스토어에서 삭제했고, 개발자는 바로 업데이트된 버전을 내놓았다. 그런데 안드로이드 앱은 기기에 따라, 즉 안드로이드 버전에 따라 다른 버전의 앱이 설치될 수 있으므로 주의가 요구됐다. 그리고 사용자 리뷰의 중요성이 강조됐다. 악성코드가 들어있음이 발견된 계기가, 이상한 행동을 한다는 불평 리뷰들이 특정 시점에 집중적으로 올라온 것이었다. 그런데 사용자 리뷰를 참고한다는 것이 말처럼 쉬운 것은 ...

Avast 해킹 2019.5.14~10.4일에 걸쳐 씨클리너를 노린 공급망 공격(supply chain attack)이 있었다. 이는 보안회사 어베스트에 대한 해킹을 통해 이루어졌다. 어베스트는 이 작전을 'Abiss'라고 불렀다. 해커는 어베스트의 임시 VPN profile을 이용해 내부 네트워크로 침투할 수 있었다. 이 프로필은 더 이상 사용하지 않는 것이라 비활성화됐어야 하는 것인데 그대로 방치돼 있었고, 2단계 인증으로 보호되지도 않았다. 로그에 의하면 이 계정에 대한 로그인 시도는 여러 credential(자격증명, 즉 ID와 PW의 조합)을 통해 이루어졌다. 다른 경로로 이미 탈취한 크리덴셜을 이용한 것이다. 결국 허술한 계정 관리가 해킹으로 이어진 것이다. 침해된 계정은 관리자 권한이 없었으므로, 해커는 권한 상승 공격에도 성공한 것으로 보인다. 5.63 버전으로 업데이트 이 사건은 아직 조사 중으로, 상세한 내용이 공개되지는 않았다. 씨클리너를 노려 악성코드를 삽입하려 한 것으로 보이는데, 성공 여부는 확실하지 않다. 어베스트는 15일 예방적 차원에서, 공격이 진행된 기간에 배포된 CCleaner 5.57~5.62 버전에 대해 자동 업데이트를 실시했다. 해당 버전은 잠재적인 위험이 있으므로, 최신 5.63 버전으로 업데이트해야 한다. 씨클리너는 참 말썽이 많은 녀석이다. 참고 자료 Hackers Breach Avast Antivirus Network Through Insecure VPN Profile

오픈소스 이용한 공급망 공격 6.5일 블록체인 회사 KOMODO(보안 회사 Comodo가 아니다)가 자신의 AGAMA wallet 고객을 해킹했다. 악의적인 것은 아니고, 아가마 월렛의 악성 버전으로부터 보호하기 위한 것이었다. 아가마 월렛은 electron-native-notify라는 오픈소스 라이브러리를 사용했다. 이것은 익명의 개발자가 npm 자바스크립트 저장소에 업로드한 것인데, 2달 쯤 전에 업데이트를 통해 악성코드가 삽입됐다. 다른 개발자가 다운로드해서 사용할 때까지 기다렸다가 악성코드를 삽입한 것으로, 요즘 유행하는 공급망 공격 수법이다. 따라서 4.13일 이후에 KOMODO의 사이트나 구글, 애플 등 공식 앱 스토어에서 다운로드한 아가마 월렛 앱은 지갑 정보를 훔치는 백도어가 삽입돼 있다. 윈도우, 맥, 리눅스, 안드로이드, iOS용 버전이 포함된다. 다만 KOMODO가 아니라 VerusCoin에서 배포한 아가마 월렛은 해당되지 않는다. 이 사실을 깨달은 KOMODO는 그 백도어를 이용해, 고객의 KMD와 BTC 자산을 회사 계정으로 옮겼다. 해커가 백도어를 이용해 고객의 가상화폐를 훔치기 전에, 먼저 훔친 것이다. 물론 이것은 반환을 요청할 수 있게 했다. KOMODO가 모든 고객의 KMD와 BTC를 옮긴 것은 아니다. 그리고 그 외의 가상화폐 자산은 조치를 취하지 않았다. 그래서 KOMODO는 고객들에게 아마가 월렛의 모든 자산을 다른 주소로 옮기라고 경고했다. 가장 큰 보안 위협은 앱 이번 사건은 검증되지 않은 open source 사용이 얼마나 위험한 것인지를 잘 보여 준다. 이런 무신경한 혹은 무책임한 개발자가 적지는 않을 것이다. 그리고 취약점 악용은 그리 간단하지 않다. 매일 같이 취약점 발견 뉴스가 무수히 쏟아지지만, 이것은 버그 바운티 프로그램과 보안 회사의 홍보 수단 활용에 따른 영향이 크고, 실전 활용이 가능한 것은 일부분에 불과하다. 오히려 최종 사용자나 다른 개발자를 속여 악성코드를 설치하게...

공급망 공격 우려 삼성전자의 앱과 서비스에 관련된 소스 코드, 자격증명, 개인 키 등 민감한 정보가 외부에 무방비로 노출돼 있던 사실이 알려졌다. Mossab Hussein(모사브 후세인)이라는 전문가에 의해 밝혀졌다. 삼성의 엔지니어들은 자사 도메인인 Vandev Lab에 호스팅된 GitLab(깃랩, 저장소 관리 프로그램)을 통해 코드를 공유하고 협업을 한다. 그런데 깃랩에 있는 프로젝트들이 암호도 없이 공개로 설정돼 있어서, 아무나 각종 프로젝트의 자료를 보고 다운로드할 수 있었다. 후세인은 그 중 하나의 프로젝트에서 AWS(아마존 웹 서비스) 계정에 대한 credentials(자격증명)을 발견했다. 이 계정은 S3(Simple Storage Service, 클라우드 저장소) bucket(저장소 단위, 폴더처럼 자료를 그룹화하는 역할을 한다) 100개 이상을 갖고 있는데, 여기에는 SmartThings와 Bixby에 관한 로그와 분석 데이터가 대량으로 들어있었다. 게다가 깃랩의 몇몇 개인 프로젝트들(위에서 말한 협업용이 아닌)의 개인 토큰들이 암호화되지 않은 채 저장돼 있었다. 후세인은 이 토큰들을 이용해 추가로 170여 개의 프로젝트에 접근할 수 있었다. 디지털 인증서도 노출됐으므로, 악의적인 해커였다면, 삼성 앱을 수정해 악성코드를 삽입할 수도 있었던 것이다. 삼성은 후세인에게, 그것들은 테스트용 파일일 뿐이라고 해명했지만, 후세인은 이를 반박했다. 그가 얻은 스마트씽스 앱은 4.10일에 구글 플레이에 등록된 것과 동일한 코드라는 것이다. 후세인이 삼성에 이 사실을 알린 건 4.10일이었는데, 삼성이 관련 토큰들을 무효 처리한 것은 4.30일이나 돼서 였다. 또한 삼성은 여전히 이 사건을 조사 중이며, 실제 외부에서 접근이 있었는지 증거를 찾고 있다고 밝혔다. 후세인은 이전에도 데이터 유출 건을 여럿 발견했는데, 이만한 규모의 기업에서 인프라를 이렇게 엉성하게 관리하는 것은 처음 봤다고 덧붙였다. 참고 자료 Samsun...

공급망 공격 위험 미국에 있는 3개 주요 보안 회사가 해킹당한 것으로 보인다. 3월에 Fxmsp라는 해커단은 이와 같이 주장하며, 보안 프로그램의 소스 코드와 보안 회사 네트워크에 대한 접근권을 암시장에서 판매하려고 시도하고 있다. Fxmsp는 최상위권의 해커단으로, 극도로 보안된 중요 조직의 네트워크에 침투하여 자료를 빼돌리는 데 특화돼 있다. 이들이 제시한 스크린샷 등 증거와 이 분야에서 오랫동안 쌓아온 악명을 고려할 때, 이 주장은 사실일 것으로 판단됐다. 이를 밝혀낸 보고서에서는 피해 회사의 이름을 공개하지는 않았다. Fxmsp는 RDP(원격 데스크톱)와 AD(액티브 디렉토리) 서버를 즐겨 노린다. 로그인 정보와 쿠키 등 credentials를 탈취하는 봇넷을 운영하기도 한다. 보안 회사 해킹은 많은 위험을 초래한다. 보안 회사는 기밀 정보 백업, 암호 관리 등 부가 서비스를 제공하기도 한다. 고객의 이런 개인 정보가 유출될 수 있는 것이다. 보안 프로그램의 소스 코드 유출은 악성코드 탐지 회피에 이용될 수 있다. 단기간에 프로그램을 완전히 수정할 수는 없으므로, 상당 기간 이들 회사의 제품은 경쟁력을 상실할 수 있다. 가장 큰 위험은 공급망 공격에 있다. 보안 프로그램 업데이트를 통해 악성코드가 설치된다고 생각해 보라. 끔찍한 일이다. 참고 자료 Top-Tier Russian Hacking Collective Claims Breaches of Three Major Anti-Virus Companies  

인기 있는 동영상 편집기 VSDC의 공식 사이트가 해킹 당해, 1달 여 동안 악성코드를 배포했다. 올해 2.21~3.23 동안에, VSDC를 다운로드하는 링크가 악성코드를 다운로드하는 것으로 바뀌어 있었다. 그 동안에 VSDC를 다운로드한 사용자는 Win32.Bolik.2와 KPOT라는 악성코드에 감염됐다. 이들 악성코드는 은행 등 각종 계정과 브라우저, 메신저 등 프로그램에 저장된 정보를 탈취한다. 따라서 해당되는 사용자는 보안 앱으로 정밀 검사를 하고, 주요 정보 유출에 대비해 암호를 변경하는 등 조치가 필요하다. 이 사이트는 과거에도 수 차례 해킹당해, 악성코드를 유포한 전례가 있다. 참고 자료 Popular Video Editing Software Website Hacked to Spread Banking Trojan

공급망 공격에 당해 에이수스의 업데이트 서버가 해킹 당해, 라이브 업데이트 유틸리티에 악성코드가 삽입돼 배포됐다. ASUS Live Update는 BIOS, UEFI, 드라이버, 전용 앱 등을 자동으로 업데이트 하는 프로그램으로, 에이수스의 PC에 사전 설치돼 있다. 대형 PC 제조업체는 대부분 이런 툴을 제공한다. 이 supply-chain attack은 2018년 6~11월에 걸쳐 진행됐다. 이 기간에 공식 홈페이지에서 라이브 업데이트를 다운로드한 사람들은 악성 버전을 받은 것이다. Kaspersky는 올 1월에 이를 발견했고, Operation ShadowHammer라고 불렀다. 에이수스는 세계 5위권 안에 드는 대형 PC 업체로, 카스퍼스키는 악성 버전을 다운로드한 사람이 1백만 명이 넘을 것으로 추산했다. 섀도우해머 작전에 동원된 악성코드, 즉 트로이 목마가 된 라이브 업데이트 유틸리티는 다수의 버전이 발견됐다. 그리고 특정한 대상만을 노린 것이 특징이다. 악성코드 내에 고정된(hard-coded) MAC Address 목록을 갖고 있으며, 이에 일치하는 PC에서만 악성 행위를 수행한다. 카스퍼스키는 200 여 개의 샘플에서 600개의 맥 주소를 추출했다. 또한 이 악성 버전은, 에이수스의 업데이트 서버에 있는 합법적인 인증서로 디지털 서명돼 있다. 사용자의 의심과 보안 앱의 탐지를 피하려는 것이다. 하드코딩된 맥 주소를 가진 PC에서는 해커의 C2 서버에 접속해 payload, 즉 본격적인 악성코드를 다운로드한다. 그러나 이 작전은 발견되기 전에 이미 종료됐기 때문에, 카스퍼스키는 페이로드를 입수하지는 못했다. ASUS는 지원 페이지를 통해 진단 도구와 업데이트된 버전을 제공하고 있다(참2). 참고 자료 ASUS Live Update Infected with Backdoor in Supply Chain Attack ASUS Live Update 안내

구글 플레이의 버스 앱에서 발견 Google Play 스토어에서 중요한 정보와 문서를 탈취하는 악성코드가 발견돼 삭제됐다. 플레이 스토어에서 발견된 악성코드 치고는 위험도가 높은 편이다. 맥아피에서 발견해서 MalBus라고 불렀다. 대구버스, 광주버스, 전주버스, 창원버스의 4개 앱으로, 모두 동일한 개발자의 것이다. 버스 앱은 정류장과 노선, 도착 시간을 알려주는 앱으로, 많이들 이용한다. 이 4개의 앱은 2013~17년에 출시된 것으로, 원래 정상적인 앱이었다. 그런데 2018.8.9일 업데이트 버전에서 동시에 악성코드가 삽입됐다. 가능성은 여러 가지인데, 개발자가 처음에는 순수한 의도로 개발했지만 후에 악의적으로 변심했을 수 있다. 또는 처음부터 악의적인 목적을 갖고 있었지만 적당한 사용자 수가 확보될 때까지 발톱을 숨기고 있었을 수도 있다. 아니면 개발자 계정을 해킹당했을 수도 있다. 플러그인으로 가장 앱 설치 직후에 플러그인 설치를 가장한 업데이트 절차가 시작된다. 가짜 플러그인은 mov라는 확장명으로 위장해 다운로드된다. mov는 동영상 파일 형식으로, 요즘은 찾아보기 힘들다. 가짜 플러그인이 설치돼 실행되면 악성 행위가 시작된다. 주된 페이로드라 할 수 있는 트로이 목마를 다운로드하고, 부수적으로 피싱도 한다. 트로이 목마 일반적인 trojan의 특성을 모두 갖고 있다. 파일의 다운로드, 업로드, 삭제와 중요 정보 유출 등이 대표적이다. 특징적인 부분은, 기기의 문서 파일을 인덱싱해서, 북한과 국방 관련 키워드가 있는 문서만을 해커의 서버에 업로드한다는 점이다. 암호 복구 요청 가짜 구글 로그인 화면을 띄워 로그인 정보를 탈취한다. 주목할 부분은, 특정 계정에 대해 암호 복구 요청을 보내는 기능도 있다는 점이다. 스마트폰이 해킹당했고, 암호 복구 메일이 그 폰으로 온다면, 다른 계정도 털릴 수 있다. 예를 들어 abc123@gmail.com이라는 사용자는 abc123@naver.com이라는 계정도 갖고 있...

웹 사이트 개발에 많이 쓰이는 프로그래밍 언어 PHP용 라이브러리에 장기간의 공급망 공격(supply chain attack)이 있었다. PEAR(PHP Extension and Application Repository)는 PHP용 확장 기능과 응용 프로그램 저장소로, 커뮤니티에 의해 오픈소스로 운영된다. 이를 이용해 개발자는 자신의 프로젝트에 쉽게 기능을 추가할 수 있다. 1.19일 PEAR 관리자는 공식 사이트에 있는 PEAR package manager(go-pear.phar)가 악성코드에 감염된 것을 발견하고, 사이트를 임시로 폐쇄했다. PEAR package manager는 공식 사이트(pear-php.net)와 GitHub를 통해 배포되는데, 공식 사이트의 것만 악성코드에 감염됐다. 조사가 아직 진행 중이므로 상세한 내용은 알려지지 않았지만, 악성코드 감염은 최소 6개월 전에 이루어진 것으로 추정됐다. 따라서 이 기간 공식 사이트에서 package manager를 다운로드한 사람은 악성 버전을 받았을 가능성이 크다. 현재 정상 버전이 깃허브에 pearweb_phars 1.10.10로 올라와 있으므로, 이것과 파일 해시 값이 다르다면 악성 버전이다. 파장은 상당히 클 전망이다. PHP는 웹 사이트에서 캐싱, 인증, 암호화 등 중요한 서비스에 많이 이용되고, 감염된 라이브러리를 사용한 웹 사이트와 그 방문자들까지 위험에 노출돼 있기 때문이다. 참고 자료 Someone Hacked PHP PEAR Site and Replaced the Official Package Manager  

중국에서 10만 대 이상의 PC가 감염되는 대규모 ransomware 사건이 발생했다. 중국 사용자만을 노린 이 악성코드는 파일을 암호화한 후 복구해 주는 몸값으로 위안화를 요구한다. 또한 알리페이, 바이두 같은 인기 사이트의 로그인 정보를 탈취한다. 공급망 공격 빠른 시간 내에 대규모 감염은 supply-chain attack을 통해 가능했다. 많은 개발자들이 사용하는 EasyLanguage라는 개발 도구에 악성코드를 삽입해서, 이를 이용해 만들어진 모든 소프트웨어가 랜섬웨어에 감염된 것이다. 그리고 텐센트의 인증서를 훔쳐 디지털 서명을 해서 사용자와 보안 소프트웨어를 속였다. 이처럼 공격 방식은 좋았음에도 랜섬웨어 자체는 엉성했다. 취약한 XOR 암호화를 사용했고, 암호해독키를 피해자의 컴퓨터 특정 위치에 저장한 것이다. 그래서 Velvet security라는 현지 보안회사가 복구 프로그램을 만들 수 있었다. 몸값 지불은 금물 랜섬웨어에 감염됐을 때 해커의 요구에 응해 대가를 지불하는 것은 삼가야겠다. 일단 돈을 준다고 해서 약속대로 파일을 복구해 준다는 보장이 없다. 그리고 이제는 법적인 문제가 될 수도 있다. 미국은 사이버 범죄자를 제재 대상으로 올리기도 한다. 제재 대상과 거래하면 2차 제재 대상이 된다. 따라서 랜섬웨어 제작자가 미국의 제재 대상이 되면, 몸값을 지불한 사람도 범죄자가 되는 것이다. 물론 개인의 소액 지불이 실제 문제가 되진 않겠지만 이론적으로 그렇다. 랜섬웨어 복구업체는 실제 법적 문제에 휘말릴 수도 있다. 이런 업체들은 대부분 암호를 해독하는 기술이 있는 것이 아니라, 해커와 피해자 사이에서 흥정을 하는 것이기 때문이다. 기다리는 것도 요령 랜섬웨어에 감염됐을 때 PC 사용을 중지하고 복구 프로그램을 기다려 보는 것도 한 방법이다. 복구 프로그램이 꼭 나온다는 보장은 없지만, 보안회사에서 개발하여 무료로 배포하는 경우도 적지 않다. 관련 자료 랜섬웨어 대응책 알서포트, 해킹으로 코드 서...

개인키 노출 BitPay의 bitcoin wallet 앱인 Copay에 악성코드가 삽입된 사실이 밝혀졌다. 지갑에 있는 가상화폐를 훔치는 악성코드다. Copay 버전 5.0.2 ~ 5.1.0이 해킹당했으며, 악성코드가 제거된 5.2.0 버전으로 빨리 업데이트해야 한다. BitPay 앱은 감염되지 않았다. BitPay의 권고에 따르면, private key가 노출됐을 가능성이 크므로 우선 지갑 앱을 업데이트한 후에, 모든 비트코인을 'Send Max' 기능을 이용해 새 지갑으로 이동해야 한다. 오픈소스 모듈 Node.js 공급망 공격 Copay 해킹은 이 지갑에 사용된 제3자 모듈인 Node.js library를 악성코드에 감염시킴으로써 이루어졌다. Supply-chain attack인 것이다. Node.js는 1주일에 2백만 번 다운로드될 정도로 인기있는 개발도구이다. 문제가 된 부분은 Node.js 라이브러리의 Event-Stream이라는 모듈이다. 몇 달 전부터 이 모듈의 개발 및 유지보수를 맡은 right9ctrl이라는 불량 개발자가 Event-Stream 3.3.6 버전에 악성코드를 삽입한 것이다. 악성 버전은 9.9일 업로드되어 최근까지 8백만 번 다운로드됐다. Node 프로젝트를 관리하고 있는 NPM은 11.26일 악성코드를 제거했다. 참고 자료 Rogue Developer Infects Widely Used NodeJS Module to Steal Bitcoins  

StatCounter에 대한 공급망 공격 가상화폐 거래소 Gate.io가 해킹당해 11.3~6일 동안 비트코인을 탈취하는 악성코드가 실행되고 있었다. Gate.io를 직접 공격한 것이 아니라, 여기에 스크립트를 제공하는 StatCounter를 해킹해 악성 스크립트로 변조했다. Supply-chain attack인 것이다. 위험한 상황이었지만 실제 피해 사례는 발견되지 않았다. 11.3일 해커는 StatCounter 해킹에 성공했고, 11.5일 보안업체 ESET이 이 사실을 발견해 통보했다. 11.6일 게이트와 스탯카운터는 악성코드를 제거했다. 스탯카운터는 웹사이트의 방문자 통계를 분석하는 자바 스크립트를 제공한다. 2백만 개 이상의 사이트가 이용하고 있는 인기있는 서비스다. 이번에 해킹당해 악성코드가 삽입된 스크립트도 70만 개 이상의 사이트에 노출됐다. 수취 지갑 주소 바꿔치기 그러나 이번 공격의 타겟은 게이트 뿐이었다. 악성코드는 페이지 주소가 "myaccount/withdraw/BTC"를 포함하고 있을 때만 작동한다. 비트코인을 노리고 있다는 것을 알 수 있으며, 이런 주소를 사용하는 가상화폐 사이트는 게이트 뿐이다. 해당 주소는 게이트에서 비트코인을 출금하거나 송금할 때 사용된다. 사용자가 이 페이지를 열면 악성코드가 작동한다. 수취인의 가상화폐 지갑 주소를 해커의 것으로 바꿔치기 한다. 해커의 지갑 주소는 매번 새로 생성되어, 추적과 범죄 수익 규모 파악이 어렵다. 피해자는 알아차릴 수 없어 지갑 주소를 바꿔치기하는 악성코드는 이미 많이 있었다. 이들은 사용자의 PC에서 클립보드의 내용을 조작하는 방식이었다. 지갑 주소를 일부라도 확인하면 알아챌 수 있다. 그러나 이번엔 가상화폐 거래소에서 작동하는 악성코드라는 점에서 훨씬 위험하다. 단번에 대량의 피해자를 양산할 수 있다. 게다가 게이트의 doSubmit 함수 자체를 변조하여, 사용자가 송금 버튼을 클릭하면 지갑 주소가 바뀐다. 아마도 화면엔 표시되지...

SuperAntiSpyware로 위장 Kraken Cryptor 랜섬웨어는 8월에 처음 발견된 신종 악성코드인데, 9.14일 변종인 Kraken Cryptor 1.5가 발견됐다. 이것은 보안 소프트웨어인 슈퍼안티스파이웨어로 위장하고 있었다. 슈퍼안티스파이웨어는 바이러스토탈에서 봤을 뿐 나한테도 생소한 것인데, 나름대로 어느 정도 사용자 층은 갖고 있는 것으로 보인다. 파일 복구는 불가능 크라켄 크립토 1.5 랜섬웨어는 세밀하게 작성된 구성 파일에 따라 감염 PC의 파일을 암호화한다. 암호화된 파일은 일련번호-lock.onion이라는 이름을 갖게 된다. 복구를 시도할 때 원래 무슨 파일이었는지 알 수가 없다. 많은 랜섬웨어들이 단지 확장명만을 바꾸는 것과 대비된다. 현재로선 암호화된 파일을 해독할 방법이 없다. 그리고 이 악성코드는 복구가 어렵도록 파괴적인 활동을 한다. 부팅 시 복구 모드에 들어갈 수 없게 만들고, 윈도우의 백업 파일과 shadow volume 복사본까지 삭제한다. 결국 평소의 백업만이 유일한 대비책이다. Shadow volume copies로 복구 시도 크라켄 크립토 1.5는 섀도우 볼륨 복사본을 삭제하지만 드물게 실패하는 경우가 있다. 이때는 복구 가능성이 열려 있다. 자세한 방법은 <참고 자료 2>에 있다. 한 마디로 말하면, 파일이나 폴더를 오른쪽 버튼으로 클릭했을 때 나타나는 '속성/이전 버전' 기능을 이용하는 것이다. 내 생각에는 미리 백업(파일 히스토리)을 해놓지 않는 한, 시스템 파일이 아닌 개인 파일을 이 방법으로 복구하기는 어려울 것 같다. SuperAntiSpyware 사이트 해킹, 공급망 공격 이 악성코드는 슈퍼안티스파이웨어의 공식 사이트를 통해 유포됐다. 해커는 이 사이트를 해킹해 가짜 보안앱을 업로드했다. 정상 보안 앱은 SuperAntiSpyware.exe인데, 랜섬웨어는 끝에 s자를 하나 붙인 SuperAntiSpywares.exe였다. 정상 앱을 바꿔...

Feedify 해킹으로 공급망 공격 고객사 웹 사이트에 실시간 알림 기능을 제공하는 피디파이가 해킹 당했다. 피디파이는 알림 기능을 자바 스크립트로 제공하는데, 고객사는 그 코드를 자신의 웹 사이트에 삽입한다. 피디파이의 스크립트가 메이지카트라는 정보탈취 악성코드에 감염됐는데, 결국 이를 이용하는 고객사 사이트 역시 감염됐다는 얘기다. 피디파이의 고객사는 주로 전자상거래 사이트로 4천 개가 넘는다. MageCart라는 이름은 원래 웹이나 ATM에서 금융정보를 비롯한 개인정보를 탈취하는 것을 주로 하는 해커단의 이름인데, 이들이 사용하는 악성코드를 통칭해서 메이지카트라고 부르기도 한다. 메이지카트는 자바 스크립트로, 기기에 저장된 정보를 탈취하는 것이 아니라, 웹 페이지의 form 등에 입력하는 카드번호 등 개인정보를 가로채는 scraping 스크립트다. 표적에 따라 최적화(customized)되어 사용된다. 피디파이에 대한 공격은 Placebo라는 트위터 이용자에 의해 발견됐는데, 그의 제보로 바로 삭제됐다. 그러나 피디파이 내의 다른 스크립트에 여전히 남아있는 것이 발견됐다. 이것은 알아보기 어렵도록 난독화되어(obfuscated) 정상 스크립트에 삽입되어 있었다. British Airways 해킹 메이지카트는 며칠 전에 있었던 영국의 항공사 BA 해킹에서도 발견됐다. 정상적인 스크립트의 끝부분에 덧붙여져 있었으며, 이로 인해 38만 명 가량의 카드정보와 개인정보가 유출됐다. 마찬가지로 스크래핑 악성코드이기 때문에, BA에 저장된 고객 정보는 영향을 받지 않았으며, 메이지카트가 활성화된 동안에 감염된 페이지에 입력한 정보가 탈취됐다. RiskIQ라는 보안회사는 2016년부터 메이지카트의 활동을 감시해 왔는데, 매 시간마다 탐지될 정도로 사방에 널려 있다. 이들은 피디파이의 예처럼, 다른 사이트들에 널리 이용되는 구성 요소를 감염시킴으로써 한 번의 해킹으로 여러 사이트를 감염시키는 작전을 구사하기 때문이다. 공급망 공격(supply-cha...

공급망 공격에 당해 크롬 브라우저의 확장 프로그램인 '메가'가 해킹을 당해 악성코드가 삽입된 채로 유통됐다. 메가는 대용량 클라우드 서비스로 인기를 끌고 있다. 9.4일 메가의 크롬 웹스토어 계정이 해킹을 당해 악성코드가 담긴 3.39.4버전이 업로드됐다. 사건 발생 4시간 후에 메가 측은 정상 버전인 3.39.5를 업로드했다. 그 4시간 사이에 메가 확장을 새로 설치했거나 업데이트한 사용자가 영향을 받았다. 자동 업데이트 때문에 많은 기존 사용자들이 영향을 받았을 가능성이 있고, 수천만 명이 악성 버전을 다운로드했을 것으로 추산되고 있다. 공급망 공격은 개발자의 허술한 관리 때문에 발생한다. 공식 스토어가 공급망 공격에 이용되는 경우는 거의 없었는데, 유독 크롬 웹스토어에서 발생하고 있다. 7월에는 Hola VPN 크롬 확장이 공급망 공격에 당했다. 메가 측의 해명에 따르면, 크롬 확장에 대해 개발자는 디지털 서명을 할 권한이 없고 구글이 자동으로 서명을 한다. 반면 파이어폭스 확장이나, 구글/애플/마이크로소프트 스토어 앱은 개발자가 직접 디지털 서명을 하기 때문에 침해당하지 않았다는 것이다. 일리가 있다고 생각한다. 개발자가 직접 디지털 서명을 하는 경우라면, 계정 탈취에 더해 코드 서명 인증서까지 탈취해야 하기 때문이다. 피해자는 암호 변경해야 이 악성코드는 계정 크리덴셜(로그인 정보)을 훔치는 것으로, 설치 시나 업데이트 시 개인정보에 접근할 수 있는 권한을 요청한다. 아마존, 마이크로소프트, 깃허브, 구글 계정에 대한 로그인은 특정해서 감시한다. 그리고 여타 계정에 대해서도 로그인 절차로 생각되는 트래픽을 감시한다. 수집된 크리덴셜은 해커의 서버로 전송된다. 또한 myetherwallet, mymonero, idex market 같은 가상화폐 사이트 접속이 탐지되면, 개인키를 탈취하는 자바 스크립트를 실행한다. 가상화폐를 훔칠 수도 있는 것이다. 모네로 측은 공식 트위터를 통해 모네로 탈취 가능성을 경고했...

공급망 공격(supply-chain attack) 원격 지원/제어 솔류션 회사인 알서포트의 내부 PC가 해킹당해 코드 서명 인증서(code sign certificate)가 유출됐다. 알서포트가 해킹 사실을 안 건 7.18일이었는데, 8.6일에야 이 사실을 알렸다. 코드 서명 인증서는 파일이 신뢰할 수 있는 제작자에 의해 만들어졌고, 이후 변조되지 않았다는 것을 증명하는 표식이다. 이것을 제3자가 탈취하면 악성코드를 정상적인 프로그램으로 위장해 배포할 수 있다. 공급망 공격의 일종이다. 알서포트에 따르면 코드 서명 인증서가 유출된 것을 안 즉시 해당 인증서를 폐기했고, 업데이트 서버가 침해되지는 않았다. 애초에는 업데이트 서버가 해킹당해 고객사에 악성코드를 유포한 것으로 보도됐지만 사실이 아니었다. 어쨌거나 사건 발생 후 20일 가까이 지나서야 알린 것은 비난받아 마땅하다. 폐기된 인증서로 서명됐더라도 파일이 실행되지 않는 것은 아니다. 잘 모르거나 부주의로 경고를 무시하고 실행할 수도 있는 것이다. 이런 위험이 있는데도 쉬쉬하고 넘어가려 한 것은 무책임한 처사이다. Operation Red Signature 8.22일의 추가 보도(참고 자료 3)를 반영한 업데이트다. 트렌드마이크로는 이 사건을 자세히 분석했고, '붉은 서명 작전'이라고 명명했다. 내용을 보면, 알서포트가 밝힌 것과는 달리 업데이트 서버가 해킹당했고, 코드 서명 인증서는 훤씬 이전에 유출된 것으로 보인다. 고객사에 악성코드가 실제로 전달됐는지는 명확하게 언급되진 않았지만, 피해가 발생한 듯한 느낌을 준다. 해커는 먼저 코드 서명 인증서를 탈취했다. 4.8일에 이 인증서로 서명된 악성코드가 몇 개 발견됐는데, 이를 통해 알서포트 해킹은 오래 전부터 진행된 것으로 추측했다. 다음으로 '9002 RAT'라는 원격제어 악성코드를 삽입한 업데이트 파일을 만들어, 훔친 인증서로 서명했다. 그리고 알서포트의 업데이트 서버를 해킹해, 해커의 서버에...

한 PDF 편집기 앱이 공급망 공격(supply chain attack)을 당해 몰래 가상화폐를 채굴하는 악성코드를 퍼뜨리는 데 이용됐다. PDF 편집기 개발사가 직접 해킹을 당한 것이 아니라, 이 개발사 및 다른 곳에 폰트를 공급하는 제휴사의 클라우드가 해킹 당했다. 따라서 다른 6개의 앱 개발사도 피해를 입었을 가능성이 있지만 확인되지는 않았다. 이 폰트는 msi 파일 형식으로 제공되므로 윈도우가 표적이었으며, UWP 앱(스토어 앱)이 아니라 데스크탑 프로그램을 노린 것임을 알 수 있다. 해커는 여러 개의 msi 파일 중에 아시안 폰트를 설치하는 것 1개만을 변조하여 악성코드를 심었다. 문제의 편집기 사용자 중 아시안 폰트를 설치한 사람만이 감염되는 것이다. 이 편집기 개발사는 비주류여서 피해자가 많지는 않았다. 이 사건의 중요한 교훈 중 하나는 관리자 권한으로 실행되는 앱을 조심해야 한다는 것이다. 설치나 실행시 사용자 계정 컨트롤(UAC)에 의해 경고창이 뜨는 것 말이다. 이것은 시스템 설정에 변경을 가한다는 사실을 확인하는 것인데, 편집기 같은 일반적인 앱은 관리자 권한이 필요없다. 그러나 문제의 PDF 편집기는 관리자 권한을 요구했다. 악의적이거나 무개념이라는 점을 암시한다. 앞서 말했듯 동일한 폰트를 공급받은 개발사가 6개나 더 있었음에도 유독 이 회사만 피해가 확인된 것만 봐도 알 수 있다. 같은 맥락에서 Windows 10 사용자라면 UWP 앱(스토어 앱)을 사용하는 것이 좋다. 이는 제한된 권한만을 갖고, 샌드박스에서 실행되기 때문이다. 공급망 공격은 일단 성공하면 대박이므로 최근 증가하는 추세이다. 해당 프로그램을 사용하는 모든 사람에게 쉽게 악성코드를 감염시킬 수 있기 때문이다. 근본적으로는 개발사가 보안에 철저해야 하지만, 사용자도 프로그램 및 개발사를 선택하는 데 신중해야 한다. 뛰어난 성능도 중요하지만 신뢰성을 더 우선시 해야 한다. 참고 자료 Font of pwnage: Crims poison we...

최근 잇단 가상화폐 거래소 해킹으로 하드웨어 지갑에 관심을 갖는 사람이 많다고 한다. 그러나 하드웨어 지갑도 결국 소프트웨어에 의해 구동되고, 구동 소프트웨어에 취약점이 있을 경우 해킹 위험이 있다. 실제로 보안전문가 세르게이 볼로키틴은 하드웨어 지갑의 운영체제와 관련 솔류션의 취약점을 이용해 원격으로 해킹할 수 있음을 밝혀냈다. 물리적으로 지갑에 접근할 경우엔 개인키와 데이터를 빼낼 수 있다. 공급망 공격으로 소매점 혹은 중고거래의 경우 판매자가 사전에 악성코드를 설치한 채 판매할 수도 있다. 이 연구의 자세한 내용은 8월초에 열리는 블랙햇 행사에서 발표할 예정이다. 그리고 이번 연구에서는 생체인증 솔류션의 취약점도 이용했는데, 이것은 지갑 외에도 많은 용도로 사용되고 있어 문제가 확대될 수도 있다. 하드웨어 지갑의 취약점을 이용하는 해킹이 구체적으로 어떤 모습일지는 모르겠지만, 그리 쉽지는 않을 것이다. 그러나 하드웨어 지갑 사용자를 노리는, 쉽고도 효과적인 공격이 이미 행해지고 있다는 점을 주의해야 한다. 가상화폐 거래시 수취인 지갑주소를 해커의 것으로 바꿔치기하는 악성코드는 오래 전에 나왔다. 이것은 소프트웨어 지갑이든 하드웨어 지갑이든 가리지 않는다. 또한 하드웨어 지갑의 복구코드를 탈취하는 피싱 시도도 있었다. 복구코드를 알면 지갑을 복제할 수 있다. 아직 많이 알려지지 않은 사실이라 피해자가 많이 발생할 수도 있겠다. 결론을 말하자면 하드웨어 지갑이 비교적 안전한 것은 사실이지만 취약점이 있을 수 있고, 역사가 오래되지 않기 때문에 제조업체의 역량이 충분히 검증되지 않은 면도 있다. 따라서 악성코드나 피싱에 대해 항상 경계를 늦추지 말아야 한다. 관련 자료 하드웨어 지갑 트레조 노린 피싱 공격 가상화폐 지갑을 해킹으로부터 지키는 방법 참고 자료 Software is Achilles Heel of Hardware Cryptocurrency Wallets