SomeNotes247

관심 있는 뉴스와 소식을 한 군데에 모아서 볼 수 있는 서비스인 플립보드가 해킹 당했다. 세계적으로 인기 있는 사이트이고, 우리 나라 사용자도 꽤 있는 걸로 알고 있다. 해킹은 2차례에 걸쳐 이뤄 졌다. 2018.6.2~2019.3.23일과 2019.4.21~22일에 발생했다. 실제 피해를 입은 계정이 얼마나 되는 지는 밝히지 않았다. 그러나 해킹된 기간이 길기 때문에 많은 계정이 위험에 노출됐을 것이다. 해시된 암호 유출 이 사건으로 일부 사용자의 개인 정보가 유출됐는데, 이름, ID, 암호, 이메일 주소 등이 포함됐다. 주민등록번호 등 공공 ID, 은행 계좌나 신용카드 등 금융 정보는 수집하지 않으므로 이번 사건과는 관계가 없다. 암호(password)는 salted hashing으로 보호된 상태로 유출됐다. 즉 평문(plain text)이 아닌 암호화된 상태이므로 해독(크래킹, cracking)이 쉽지는 않다. 그러나 불가능하지는 않다. 더구나 요즘은 고가의 컴퓨터를 갖추지 않더라도, 아마존 같은 클라우드를 저렴한 비용으로 임대해 사용할 수 있으므로 암호 크래킹은 점점 쉬워지고 있다(관2). 솔트(salt)는 이에 대응하는 수단이다. 각 계정에 고유한 값을 부여해서, 암호 해시에 덧붙이는 것이다(관1). 플립보드의 해시 방법은 2012.3.14일을 기점으로 강력함에 차이가 있다. 그 이전에는 SHA-1 해시 함수를 사용했는데, 이것은 상당히 취약해서 쉽게 깨진다. 그 이후에는 bcrypt 해시 함수를 사용했는데, 이것은 상당히 강력해서 크래킹이 쉽지 않다. 따라서 기준 일 이후에 생성됐거나 암호를 변경한 계정은 비교적 안전하다고 볼 수 있다. 플립보드는 모든 사용자들의 암호를 초기화했다. 따라서 사용자들은 암호를 다시 설정해야 한다. 그리고 플립보드와 동일한 암호를 다른 사이트에도 사용한 경우에는, 그들도 바꾸는 것이 안전하다. 디지털 토큰 유출 피해를 키울 수 있는 우려가 있는 부분은 계정 연결에 사용된 Digital To...

메일 발신 주소 조작 최근 가상화폐 시세가 일부 회복 조짐을 보이자, 관련 피싱(phishing) 공격이 크게 늘고 있다. 특히 메일 발신자를 실제 합법적인 조직의 도메인의 것처럼 보이게 조작하여, 구별이 어렵다. 메일 발신자 조작은 오래된 수법이다(관1). 메일 서버 차원에서 이를 방지하는 SPF 등 대응 수단이 있지만, 완전한 것은 아니다. 결국 발신자 조작을 완벽히 차단하는 방법은 없는 것이 현실이다. 업비트 이벤트 사칭 가상화폐 거래소 Upbit의 이벤트에 당첨됐고, 경품 수령 절차를 안내하는 내용을 담고 있다. 그림에서 보이 듯(출처: 참1), 공식 업비트의 메일 계정에서 발송된 것처럼 보인다. 그러나 실제로는 해외에서 발송된 것이다. 경품 수령을 위해 개인 정보 이용이 필요하다며, 첨부 파일 열기를 유도한다. 첨부 파일은 암호화된 hwp문서이며, 열면 hwp의 포스트 스크립트 취약점을 이용해 악성코드를 설치한다. 악성 문서에 암호를 설정하는 것은 보안 앱의 탐지를 회피하기 위한 것으로, 요즘 많이 이용되는 방법이다. 해당 hwp 취약점은 오래 전에 패치된 것인데, 지금까지도 계속 악용되고 있다. 경찰청 민원 안내 사칭 경찰청 사이버 안전국을 사칭했다. 가상화폐 거래소를 사칭한 랜섬웨어 공격이 있었으니, 첨부한 검사 프로그램으로 컴퓨터를 진단해 보라는 내용을 담고 있다. 그림처럼(출처: 참2), 경찰청 도메인에서 발송된 것 같이 위장하고 있다. 물론 조작된 것이다. 첨부된 egg 압축 파일을 풀면, 사이버안전국.exe라는 실행 파일이 나온다. 이것은 개인 정보를 수집하는 악성코드이다. 국가 기관에서 실행 파일을 메일로 보내는 경우는 없으므로, 이런 것은 열지 말아야 한다. 관련 자료 피싱(phishing) 사기 피하는 방법 참고 자료 김수키 조직, 한국 암호화폐 거래소 이벤트 사칭 APT 공격 발생 김수키 조직, 사이버 안전국 암호화폐 민원안내로 사칭해 APT 공격 수행   ...

걸그룹 EXID가 전환기를 갖는다고 한다. 공식적인 해체는 아니라지만, 제대로 활동하기는 어려울 것 같다. 저녁에 쉬는 시간이면, 영화 한 편 보거나 EXID 공연 보는 게 낙이었는데 아쉽다. 7년이면 짧은 시간은 아니다. 특히나 가요계에선. 새롭게 보여줄 뭔가를 찾기도 어렵고, 예능 프로그램 같은 데 동원되어 몸과 마음이 지치기도 했을 것이다. 특히 하니가 많이 힘들었을 것이다. 많이 고민한 끝에 나온 결정인 만큼, 나도 끝까지 응원한다. 그리고 마지막 곡 미앤유가 너무 잘 나와서 기쁘다. 처음엔 너무 어렵게 느껴졌고 귀에 착 달라붙지가 않았다. 그런데 들을수록 세련되고 중독성이 있다. 얼마 전 모 평론가의 글을 봤는데, BTS(방탄소년단)의 노래가 그렇다지. 2가지 면에서 특히 좋았다. 첫째로 2명의 뛰어난 보컬을 균형있게 활용했다는 점이다. 2017, 18년은 혜린이 혼자서 이끌었지만, 그 이전의 노래들을 보면 혜린을 제대로 활용하지 못했다. 미앤유 라이브 영상이다. 솔지는 말할 것도 없고, 혜린 최고! 두번째로는 안무가 진짜 멋있다. EXID 노래 중에 안무에 빠져든 것은 이번이 처음이다. 특히 후반부의 역동적인 부분이 맘에 든다. 역주행의 신화를 쓴 것은 위아래였지만 안무는 싫었다. 나도 섹시한 거 좋아한다. 그런데 위아래와 아예의 안무를 보고 있으면, 섹시하다는 생각은 안들고 그냥 바보같이 보인다. 폭 넓은 팬 층을 확보하는 데 걸림돌이 됐을 수도 있다고 생각한다. 이 표현에 대해 불쾌함을 느끼는 분도 있을 것이다. 그러나 나도 팬이고 나쁜 뜻으로 한 말은 아니다. 꼰대라고 욕 한번 하고 넘어가기 바랍니다. 뮤직 비디오는 무난했다. EXID의 뮤비 중에서는 낮보다는 밤을 가장 좋아했다. 세련된 멜로디와 아늑하고 편안한 분위기가 좋아서 수없이 봤다. 내일해와 핫핑크 뮤비도 좋았다. 반면 알러뷰 뮤비는 최악이었다. 좋은 노래를 뮤비가 망쳐놨다. 요즘 음주 운전, 폭행, 범죄 등 과도한 음주에 따른 폐해가 사회 문제로 ...

CVE-2019-0708: RDS의 취약점 Windows 7을 비롯한 구식 윈도우의 RDS(Remote Desktop Service, 원격 데스크톱 서비스)에서 치명적인 취약점이 발견됐다. Window 8, 10 등 최신 윈도우는 해당되지 않는다. BlueKeep이란 별명을 얻었다. RDS는 예전에는 터미널(Terminal Service)이라고 불렸으며, RDP(Remote Desktop Protocol)를 통해 연결된다. 원격 데스크톱은 원격 제어의 일종으로, 재택 근무나 외근 등 인터넷을 통해 컴퓨터를 사용할 수 있는 기능이다. 이 취약점은 원격 코드 실행을 가능케 한다. 해커는 RDP를 통해 특별하게 조작된 요청을 RDS에 보내기만 하면 된다. 어떠한 인증이나 사용자의 상호 작용이 필요 없다. 따라서 웜(worm, 자가 증식형 악성코드)처럼 네트워크를 통해 자동으로 퍼지는 악성코드를 만들 수 있다. 해커는 원격 데스크톱 서비스를 실행 중인 서버에서 임의의 코드를 실행할 수 있다. 원격 데스크톱 사용자의 모든 권한을 행사할 수 있다. 예들 들어 프로그램 설치, 파일을 보고 변경하고 삭제하기, 새로운 계정 만들기 등이 가능하다. WannaCry급 위력 웜에 이용될 수 있다는 점에서, 2017년의 워너크라이 랜섬웨어 대란을 상기시키는 경고가 많이 나오고 있다. WannaCry는 윈도우의 SMB 취약점을 이용해, 네트워크를 통해 급속히 퍼져나갔다. 이때도 2달 전에 패치가 나왔지만, 많은 시스템이 업데이트를 하지 않아 피해를 입었다. 근본적인 대응책은 윈도우를 업데이트하는 것이다. 마이크로소프트는 지원이 중단된 Windows XP와 Windows 2003에 대해서도 패치를 내 놨다(참3). 또한 다음과 같은 팁을 제시했다. 원격 데스크톱 기능이 필요치 않다면 아예 꺼버린다. 사용하지 않는 기능은 꺼 두는 것이 잠재적인 위험을 줄이는 좋은 방법이다. NLA(Network Level Authentication)을 활성화한다. 이것은 ...

블루투스 버전에서 인증 취약점 Google이 2단계 인증에 사용되는 보안 키 제품인 Titan Security Key를 리콜한다. Bluetooth 버전에서 해킹에 악용될 수 있는 취약점이 발견됐기 때문이다. USB 버전과 NFC 버전은 해당되지 않는다. 블루투스 버전은 제품 뒷면에 'T1" 또는 "T2"라고 표기돼 있다. 구글의 보고서에선 페어링 프로토콜의 구성 오류("Due to a misconfiguration in the Titan Security Keys’ Bluetooth pairing protocols") 때문이라고 설명한다. 내용을 살펴 보니, 페어링된 기기에 대한 검증이 불완전한 것으로 생각된다. 페어링이란 결국 기기 상호간의 인증이다. 일단 페어링 되면 다음에는 바로 연결을 수락한다. 그런데 인증이 불완전해서, 페어링 되지 않은 기기가 연결이 될 수 있는 것이다. 따라서 연결되는 순간, 즉 타이탄 키의 버튼을 누르는 순간이 위험한 것이다. 피해자를 망원경 등으로 직접 감시하지 않는 한 악용하기 쉽지 않은 이유다. 블루투스 도달 거리인 10미터 이내에 있어야 함은 물론이다. 구글이 밝힌 2개의 공격 시나리오를 살펴 보자. 타이탄 시큐리티 키 무단 사용 하나는 해커가 피해자의 타이탄 키를 사용해 피해자의 계정에 로그인하는 경우이다. 타이탄 키를 이용한 로그인 과정은 다음과 같다. 먼저 ID와 password를 성공적으로 입력하면 2단계 인증을 요구한다. 이때 타이탄의 버튼을 누르면 인증이 완료된다. 그런데 타이탄의 버튼을 누르는 순간에, 사용자의 기기에 연결되기 전에, 해커가 이를 가로채서 해커의 기기에 연결할 수가 있다. 타이탄과 해커의 기기는 페어링된 적이 없으므로, 원래는 연결될 수 없어야 한다. 그러나 인증 취약점이 있기 때문에 가능한 것이다. 이제 해커는 자신의 기기에서 피해자의 계정에 로그인할 수 있다. 단 전제 조건이 있다. 미리 피해자의 ID와 passwo...

Intel CPU만 해당 인텔의 CPU에서 중요한 정보를 빼낼 수 있는 취약점 4개가 새로 발견됐다. AMD, ARM 등 다른 제조사의 CPU는 해당되지 않는다. 최신 9세대 CPU를 비롯해 거의 모든 인텔 CPU가 취약하다. 이 취약점들은 멜트다운(Meltdown), 스펙터(Spectre), 포어섀도우(Foreshadow) 등 2018년에 큰 문제가 됐던 CPU 취약점들의 연장선에 있다. speculative execution 기능의 결함에 근본을 두고 있기 때문이다. 그러나 이전 것들이 CPU에 장착된 캐시(cache) 메모리를 공격하는 것과 달리, CPU 내부의 버퍼(buffer)에서 처리 중인 데이터(in-flight data)를 유출하는 것이 특징이다. 이런 차이 때문에 기존 스펙터 류의 취약점에 대한 완화 조치는 소용이 없으며, 경우에 따라서는 이런 조치가 오히려 새 취약점 악용을 쉽게 만들기도 한다. MDS 취약점 이번에 발견된 취약점은 인텔 CPU 내부의 버퍼(임시 저장 공간)에서 처리 중인 데이터를 빼내는 것이다. 이것을 인텔에서는 MDS(Microarchitectural Data Sampling)라고 부른다. VM(가상 머신)이나 브라우저의 사이트 격리 같은 보호 장치, SGX enclave(인텔 CPU의 보안 영역)등 보안 수단을 모두 돌파한다. 따라서 클라우드 같이 여러 사람이 사용하는 환경에서는 다른 사람의 데이터를 빼낼 수 있다. CPU에서 처리 중인 모든 데이터가 대상이므로, 암호 등 중요 정보도 포함될 수 있다. 특정 정보만 골라서 노리는 것은 어렵다. MDS 취약점은 모두 4개로 구성되는데, 공격 방법에 따라 RIDL, Fallout, ZombieLoad로 구별된다. RIDL(Rogue In-Flight Data Load)은 Fill buffers와 Load Ports를 공격하는 것이다. 일반적인 악성코드 뿐만 아니라 공유된 클라우드 자원이나 웹 페이지의 자바 스크립트를 사용해 악용할 수 있다. F...

전화 발신만으로 해킹 왓츠앱의 원격 코드 실행 취약점이 실전에서 활용되고 있다. CVE-2019-3568인데, iOS와 Android 버전에 해당된다. 표적에게 음성 전화를 거는 것만으로 해킹 끝이며, 상대방이 전화를 받을 필요도 없다. 수신 기록은 바로 삭제되기 때문에 공격을 받았는지조차 알 수 없다. 이 취약점은 5.13일 패치됐으므로, 왓츠앱 사용자는 서둘러 최신 버전으로 업데이트해야 한다. 악용 방법이 워낙 간단하므로, 일단 내용이 알려진 이상 유사 공격이 빈발할 수 있다. Pegasus 스파이웨어 설치 이 취약점은 패치되기 이전에 이미 악성코드 설치에 악용되고 있는 것이 발견됐다. 왓츠앱의 엔지니어에 따르면, 소수의 표적이 페가수스 스파이웨어에 감염됐다고 밝혔다. 한편 Citizen Lab은 지난 일요일까지도 영국의 한 인권 변호사를 공격하는 데 사용됐다고 덧붙였다. 페가수스 스파이웨어는 이스라엘의 NSO Group에서 개발해, 주로 정부 기관을 상대로 판매하고 있다. 사용자 모르게 광범위한 정보를 탈취한다. 문자 메시지, 이메일, 왓츠앱 등 메신저, 연락처, 통화 기록, 위치, 카메라와 마이크를 사용한 도촬/도청 등 이루 헤아릴 수 없다. 참고 자료 Hackers Used WhatsApp 0-Day Flaw to Secretly Install Spyware On Phones