SomeNotes247

CVE-2019-1652,1653 Cisco의 중소기업용 라우터(공유기) RV320, 325에서 원격으로 기기를 완전히 제어할 수 있는 취약점이 발견됐다. 취약점은 라우터를 관리하는 웹 인터페이스에 있었다. CVE-2019-1652는 command injection 취약점으로, 원격의 해커가 임의의 코드를 실행할 수 있다. 다만 이를 악용하려면 사용자 인증과 관리자 권한이 필요하다. CVE-2019-1653은 information disclosure 취약점으로, 설정 정보 및 자기진단 데이터로부터 중요한 정보를 탈취할 수 있다. 더 큰 문제는 이 취약점 악용에는 어떠한 인증도 필요치 않다는 것이다. 설정 내용을 관리하는 /cgi-bin/config.exp 페이지가 아무런 보호 없이 LAN(내부 네트워크)에, 일부 펌웨어 버전에서는 WAN(외부 네트워크 즉 인터넷에)에 그대로 노출돼 있기 때문이다. 유출 내용에는 해시된 암호(hashed password)도 포함되는데, 이를 이용해 라우터에 로그인해서 1652 취약점을 이용하게 된다. 즉시 업데이트해야 시스코는 1.23일 이를 해결한 업데이트를 발표했다. 그 직후에 취약점을 발견한 연구팀은 자세한 내용과 exploit code를 공개했다. 당연히 실전에 투입할 수 있는 악성코드가 나왔고, 이 취약점을 탐색하는 트래픽이 크게 늘고 있다. 따라서 해당 기종 사용자는 즉시 업데이트를 적용해야 한다. 요즘은 취약점 패치 직후에 상세한 내용과 샘플 코드가 공개되는 일이 많다. 보안업체 간의 과당경쟁 때문으로, 큰 문제라고 생각한다. 제조사가 패치를 내놔도 그것이 사용자에게 적용되는 데는 어느 정도 시간이 걸리기 마련이다. 그럴 여유도 주지 않고 성급하게 공개해 버리는 것은 사실상 범죄자를 돕는 무책임한 짓이다. 현실이 이런데 어쩌겠는가. 항상 뉴스를 주시하고 있다가 보안 이슈와 업데이트가 나오면 즉시 적용하는 수 밖에. 해시된 암호로 로그인(pass-the-hash attack) 이 취...

디링크(D-Link)의 모뎀과 라우터(공유기)를 해킹해, 브라질 은행 고객들을 가짜 은행 사이트로 이끄는 공격이 탐지됐다. 현재는 브라질의 은행만을 대상으로 하고 있지만, 간단한 설정 변경으로 목표물을 바꿀 수 있음은 물론이다. 공격에는 디링크 라우터의 취약점이 이용됐다. "/dnscfg.cgi?dnsPrimary= &dnsSecondary= &dnsDynamic=0&dnsRefresh=1"라는 악성 URL을 이용해 라우터의 DNS 설정을 원격으로 변경할 수 있는 취약점으로, 2015년에 알려진 것이다. 펌웨어 업데이트가 얼마나 중요하며, 실제로 잘 안되고 있다는 것을 알 수 있다. DNS 설정이 해커의 것으로 변경되면, 이 라우터를 통한 트래픽은 직접 입력이든 즐겨찾기든 해커가 의도한 가짜 사이트로 연결된다. 이런 공격 방법을 DNS 하이재킹이라 하는데, 근래 많이 발생하고 있다. 이를 알아채고 피하는 방법은 피싱과 같다. 어떤 방식이든 간에 가짜 사이트를 이용하는 것은 마찬가지이기 때문이다. 해킹된 라우터를 통해 브라질 은행에 접속하려던 사람은 가짜 사이트로 이동되며, 여기에 입력한 로그인 정보는 고스란히 해커의 손에 넘어갔다. 피해자 PC에는 아무 공격이 없으므로 일반적인 보안 소프트웨어에는 탐지되지 않으며, 가짜 사이트 접속 시 나타나는 SSL 인증서 관련 경고 메시지가 유일한 징후이다. DNS 하이재킹 사례를 살펴보면, 많은 사람들이 이 인증서 경고를 그냥 무시했다. 관련 자료 공유기 해킹하여 DNS 하이재킹하는 Roaming Mantis 악성코드 피싱(phishing) 사기 피하는 방법 참고 자료 Hackers Exploiting DLink Routers to Redirect Users to Fake Brazilian Banks DNS Hijacking Targets Brazilian Banks  

MikroTik(미크로틱)사의 라우터를 해킹해 가상화폐를 채굴하는 3개 이상의 대규모 작전이 발견됐다. 현재 파악된 것만 20만 대가 넘으며, 계속 늘어나고 있다. 미크로틱은 라트비아의 네트워크 장비 제조사인데, 세계 각국의 통신사와 조직에서 널리 사용되고 있다. 복수의 해커단은 미크로틱 라우터의 취약점(CVE-2018-14847)을 이용해 관리자 권한을 획득했다. 그리고 악성코드를 심어, 감염된 라우터를 통해 접속한 모든 웹 페이지에 가상화폐를 채굴하는 코인하이브(CoinHive) 스크립트를 삽입했다. 웹사이트나 사용자 PC를 직접 해킹한 게 아니라 라우터에서 트래픽을 변조한 것이다. 이 작전을 발견한 보안 전문가들은 이를 아주 현명한 것으로 평가했다. 소규모 웹 사이트나 개인 PC를 해킹하는 것보다 쉽고 효과적이기 때문이다. 흔히 공유기라고 하는 가정용 라우터는 2~3개, 통신사의 라우터는 적게는 수십 대에서 많게는 수백 대의 기기가 연결된다. 또한 이들 작전에 이용된 취약점은 4월에 발견돼 즉시 패치가 발표된 것이었다는 점에서 사용자와 사업자의 보안 불감증이 지적됐다. 미크로틱의 라우터는 취약점 공격에 많이 이용당하고 있다. 이슈가 된 것만 해도 3월에 슬링샷(Slingshot), 5월엔 VPNFilter라는 위험도 높은 악성코드에 공격당했다. 관련 자료 슬링샷(Slingshot), 공유기로 침투하는 은닉형 악성코드 정교한 봇넷(Botnet) 악성코드 VPNFilter 참고 자료 Hackers Infect Over 200,000 MikroTik Routers With Crypto Mining Malware  

IoT 기기를 공격하는 봇넷 악성코드는 아직까진 단순한 기능을 했다. 디도스, 가상화폐 채굴, proxy 서버 역할 등이 그것이다. 그런데, 최근 정교하고 다양한 기능을 하는 VPNFilter라는 봇넷 악성코드가 발견됐다. 이미 수십개 국가에서 50만 대 이상의 라우터(공유기)와 NAS(네트워크 저장장치)를 감염시켰다. 리부트 과정에서 기기에 침입하며, 로그인 정보를 비롯해 네트워크를 통해 오가는 정보를 탈취한다. 산업 시설이나 전력망 같은 기간 시설을 제어하는 시스템을 감시하기도 한다. 라우터 작동을 중단시키는 킬스위치도 갖췄다. 인터넷 대란을 일으킬 만한 잠재력이 있다는 평가다. 기기의 취약점이나 허술한 암호를 이용하여 침투하므로, 업데이트 등 관리에 신경써야 한다. 공유기가 이미 감염됐다면 공장 초기화를 해야 제거할 수 있다. <추가 사항> 5.29일 외신에 따르면, FBI는 모든 가정용 및 중소기업용 라우터 사용자들에게 기기를 재부팅하라고 경고했다. 현재 LinkSys, MikroTik, Netgear, TP-Link 제품들이 감염된 것으로 알려졌는데, 여기에 국한된다고 확신할 수 없으므로 모든 라우터 사용자들에게 경고한 것이다. 미국은 상황이 심각한 모양이다. 우리 나라 KISA도 주의보를 내린 상태다. 그러나 재부팅으로는 VPN필터를 완전히 제거할 수 없다. 탄두만 제거할 뿐이므로 재감염의 위험이 있다. FBI의 전술은 잠시 시간을 벌고, 재감염 시도를 역추적해서 감염된 기기를 탐지하려는 것이다. FBI는 재감염을 시도하는 트래픽을 자신의 관리 사이트로 리디렉션하고 있다. 완전히 제거하려면 공장 초기화를 해야 한다. 물론 FBI의 조치는 현명한 것이다. VPN필터는 라우터나 NAS, 기타 IoT 장치에 감염되는 것이므로 가정이나 소규모 기업의 백신 프로그램으로는 탐지가 어려울 것이다. 대기업이야 네트워크 보안 툴이 있으니까 자체 대응이 가능할 수도 있겠지만. 결국 감염 여부가 확실치도 않은데 초기화를 하랄 수는 없...

DNS hijacking으로 파밍(pharming) 카스퍼스키가 발견한 로밍 맨티스 악성코드는 취약한 라우터(공유기)를 해킹하여 DNS 서버 설정을 악의적으로 바꾼다. DNS 서버는 URL을 IP 주소로 연결해 주는 역할을 하는데, 이것이 조작됐다는 것은 피해자가 정확한 웹 주소를 입력해도 피싱 사이트로 연결되는 결과를 초래한다. 로밍 맨티스의 공격은 우리 나라에서부터 시작됐는데 이미 3월부터 피해 사례가 많이 나왔다(관련 자료 1). 또한 4월 말경에 발생한 마이이더월렛 사용자의 이더리움 탈취 사건도 DNS 하이재킹에 의한 것이었다(관련 자료 2). 2단계 인증 정보도 탈취 로밍 맨티스의 악행은 일단 피싱에서 시작된다. 피해자가 어떤 사이트에 접속하려 하든지 먼저 피싱 사이트로 연결한다. 이후의 과정은 운영체제에 따라 다르다. 안드로이드 기기에는 chrome.apk, facebook.apk 같은 가짜 앱 설치를 유도한다. 이 가짜 앱은 구글이나 뱅킹 계정을 탈취하는 트로이 목마다. 그림에서 주소창의 구글닷컴에 자물쇠 아이콘이 없음을 눈여겨 보자. 구글 계정 탈취 방법을 보면, 먼저 계정이 잘못됐으니 로그인하라며 로그인 정보를 수집한다. 또한 SMS 접근 권한을 이용해 2단계 인증을 위한 문자 메시지를 언제라도 가로챌 수 있다. 결국 해커는 피해자의 구글 계정에 언제라도 로그인할 수 있게 된다 애플 iOS의 경우에는 악성 앱 설치없이 .피싱 사이트에서 바로 애플 스토어 계정 설정을 구실로 로그인 정보와 신용카드 정보를 수집한다. 그림에서 주소창에 역시 자물쇠 아이콘이 없음을 볼 수 있다. 또한 시큐어리티_애플닷컴이란 URL은 실제로는 없는 것인데, 가짜 DNS 서버가 표시해 주는 것이다. PC에서는 코인하이브 스크립트를 이용하여 가상화폐를 채굴하는 크립토재킹을 수행한다. 위의 그림 2개는 카스퍼스키의 것(참고 자료 1)이다. https와 VPN이 해답 파밍은 가짜 사이트로 연결된다는 점에서 피싱의 일종이...

원격 관리 기능 해제해야 다산 네트웍스의 GPON(Gigabit-capable Passive Optical Network) 홈 라우터, 즉 기가비트 인터넷을 지원하는 광케이블 공유기에서 심각한 취약점이 발견됐다. 100만 대가 넘는 걸로 알려졌다. 첫째는 CVE-2018-10561로 공유기의 인증 절차를 우회하여 공유기를 관리할 수 있다. 예를 들어 "192.168.***.1"을 브라우저 주소창에 입력하면 공유기 관리자 페이지가 나오는데, 암호를 입력해야 메뉴에 진입할 수 있다. 그런데 취약한 공유기에서는 "192.168.***.1/menu.html?images/"처럼 공유기의 아무 페이지에나 "?images/"를 덧붙이면 암호 없이 관리 권한을 얻게 된다. 둘째는 CVE-2018-10562로, 10561을 이용하여 무단으로 접속한 해커가 원격으로 아무 명령어나 실행할 수 있는 버그이다. 결국 이 두 가지 취약점을 이용하면 해커는 공유기를 완전히 장악하게 된다. 공유기(라우터)는 단위 네트워크의 중심점이므로, 연결된 모든 기기가 위험해 지는 것은 물론이다. 예를 들어, 정확한 주소를 입력해도 가짜 사이트로 연결되는 파밍(Pharming)은 기본이다. 공유기를 통한 모든 인터넷 연결을 감시하고, 악성코드를 삽입할 수 있다. 해커가 내 IP로 사이버 범죄를 저질러 나에게 덮어씌울 수도 있다. 슬링샷(Slingshot)처럼 공유기에 잠복해 있다가 PC로 침투하는 악성코드도 있다. 5.10일 발표된 새로운 보고서에 따르면, 실제로 이 취약점을 이용해서 5가지 악성코드가 봇넷을 형성하고 있다. Mettle, Muhstik, Mirai, Hajime, Satori 봇넷이 그것이다. 아직도 패치는 나오지 않았다. 라우터 제조업체는 보안에 책임있는 자세를 보여야 한다. PC나 스마트폰은 자체 방어력이 있다. 그러나 IoT 기기는 라우터 선에서 방어해 주지 못하면 속수무책이다. 공유기 취약점은 ...

라우터(공유기) 통해 감염 최근 카스퍼스키 랩이 미크로틱이 만든 라우터에서 슬링샷이라는 새로운 악성코드를 발견했다. 아울러 미크로틱 제품에 국한된 것이 아닐 수도 있다고 밝혔다. 슬링샷은 2012년에 첫 샘플이 발견됐고 2018년에 특정될 때까지 최소 6년 동안 중동과 아프리카를 중심으로 100 대 이상의 PC를 감염시켰다. 라우터는 아직까지 보안에 크게 신경을 쓰지 않아 해킹이 상대적으로 쉽고, 악성코드를 라우터에 심어 두면 잘 탐지가 되지 않아 오래 동안 잠복할 수 있다. 슬링샷은 미크로틱 라우터의 취약점을 이용해 침투하여 잠복해 있다가, 미크로틱의 공식 라우터 관리 프로그램인 Winbox Loader를 실행할 때 해당 PC를 감염시킨다. 슬링샷은 2개의 모듈로 구성되어 있는데, 'Cahnadr'은 커널 모드 모듈로  은닉 기능을 수행하고 골룸앱을 지원한다. 슬링샷은 관리자 크리덴셜을 얻는 것이 주 목적인데, 이 역할은 'GollumApp'이라는 유저 모드 모듈이 수행한다. 골룸앱은 화면 캡쳐, 네트워크 정보, 키보드 입력 내용, 암호, USB 연결 정보 등을 수집한다. 네트워크 관리자의 크리덴셜을 얻게 되면 해커는 네트워크 내의 모든 시스템과 데이터에 접근할 수 있어, 원하는 모든 것을 할 수 있다. 보안 소프트웨어의 움직임이 감지되면 악성코드를 중단하고, PC가 종료되기 직전에 작업을 완료하는 등의 회피 기동을 한다. 레긴(Regin), 은닉형 악성코드의 대명사 이처럼 장기간 탐지되지 않은 채 은닉한 악성코드로는 레긴이 유명하다. 2008년부터 활동한 것으로 추정되는 레긴은 2014년 말에야 정체가 드러났다. 러시아, 사우디아라비아, 아일랜드, 멕시코, 인도 등의 인터넷 서비스 회사, 이동통신사, 정부 기관 등을 감시하는 역할을 했다. 참고 자료 라우터 대상으로 한 악성 코드 '슬링샷' 아프리카와 중동 노리는 정체불명 해커들, 단서는 반지의 제왕 가상파일...

네트워크를 해킹과 악성코드로부터 안전하게 지키는 설정 방법 라우터(공유기)는 가정 같은 단위 네트워크의 관문으로, 모든 인터넷 활동이 여기를 거치게 됩니다. 따라서 공유기가 해킹을 당하게 되면 연결된 모든 기기가 위험에 노출됩니다. 이처럼 공유기 보안이 중요함에도 상대적으로 허술하게 방어되고 있어, 근래 공유기를 대상으로 한 해킹 시도가 늘어나고 있습니다. 또한 공유기 특히 와이파이에 대한 보안 설정 방법으로 알려진 것들 중에는 이제는 더 이상 효과를 발휘할 수 없는 낡은 것들도 있습니다. 와이파이 암호 설정 와이파이(Wi-Fi)에 연결할 때와 이를 통해 오가는 통신 내용을 강력하게 암호화하는 것이 가장 중요합니다. 내 공유기에 아무나 접속하지 못하게 하고, 누가 무선 신호를 가로채더라도 내용을 보거나 변조하지 못하게 하는 것입니다. 무선 신호를 가로채는 것은 아주 간단합니다. 강력한 암호란 대,소문자, 숫자, 기호를 포함한 15자 가량의 암호를 말합니다. 와이파이 암호는 매번 입력할 필요가 없으니까 길고 복잡하게 설정하세요. WPS라고 암호 입력없이 원터치로 연결하는 기능이 있는데, 취약점이 있으므로 주의해서 사용해야 합니다. 보안 규칙은 WPA2-PSK, 암호화 방법은 AES로 설정하세요. WEP는 더 이상 보안이라고 할 수도 없게 된지 오래이고, WPA1, TKIP도 너무 낡았고 취약합니다. 2018년 1월 와이파이 연합체에서 WPA3를 발표했는데, 기존 기기와의 호환성 문제도 있고, 널리 보급되는 데는 시간이 꽤 걸릴 겁니다. 관리자 암호 설정 아무나 공유기의 설정을 바꿀 수 없도록 관리자 암호를 설정합니다. 이건 위에서 말한 와이파이 암호와는 다른 것입니다. 가정을 비롯한 소형 라우터에 대한 해킹 사례 중 가장 많은 것이 관리자 암호가 없거나 허술한 점을 이용하는 경우입니다. 대표적으로 DNS 서버를 변경하는 수법이 있습니다. DNS 서버는 내가 입력한 인터넷 주소를 실제 사이트로 연결해 주는 서버입니다. 해커가 이 DNS...