SomeNotes247

6.16~17일 동안 WeTransfer를 통해 전송한 파일들이 의도하지 않은 엉뚱한 사람들에게도 전달됐다. 어이없으면서도 치명적인 보안 사고다. WeTransfer는 인기있는 파일 공유 서비스로, 무료로 2GB의 대용량 파일을 전송할 수 있고, 유료 서비스에서는 20GB 전송과 파일 암호화 등 고급 기능을 제공한다. WeTransfer는 공식 사이트의 보안 공지를 통해, 회사의 서비스 이메일이 다른 사람들에게 보내졌다고 밝혔다. 그리고 예방 차원에서 사용자들을 강제로 로그아웃 시키거나 암호 재설정을 요청했으며, 파일 전송 링크를 차단했다고 밝혔다. 그러나 영향을 받은 사용자들에게 개별적으로 발송한 이메일에서는, 사용자들이 보내거나 받은 파일에서도 배달 사고가 발생했음을 인정했다. 현재 자세한 내용은 알려지지 않고 있다. 단순한 버그일 수도 있다. 그러나 예방적 조치라고는 하지만, 그 조치 사항들은 해킹 사고 발생시 취하는 조치들이다. 어떤 경우든 간에, 사생활이나 업무 자료가 노출될 수 있는 중대한 사건이다. 참고 자료 WeTransfer Security Incident Sent Files to the Wrong People

공장 초기화도 소용 없다 구글의 가정용 보안 IP 카메라인 Google Nest Cam Indoor 제품에서 심각한 취약점이 발견됐다. 전 소유자가 여전히 카메라에 접근할 수 있는 것으로, 사용자 몰래 집안을 엿볼 수 있다. 선물로 받거나 중고품을 구입한 경우가 주로 문제겠지만, 구입 후 바로 반품한 제품이 새 제품으로 팔리기도 하기 때문에, 새 제품도 안심할 수는 없다. 이 문제는 제품을 공장 초기화해도 해결되지 않는다. IT 기기를 팔거나 중고로 살 때는, 개인정보 보호를 위해 초기화하는 것이 기본 수칙이다. 그러나 이번 경우에는 이것도 소용이 없다. 이 버그는 Nest Cam Indoor 제품에서 확인됐는데, 다른 제품군도 해당되는지는 확실하지 않다. 구글은 이 버그를 해결한 패치를 이미 내놨으며, 업데이트는 자동으로 이뤄진다고 밝혔다. 정보 공유가 문제 이 버그는 'Works with Nest'라는 정보 공유 프로그램에서 비롯됐다. 이를 통해 네스트 캠을 제3자 홈 허브에 연결해 사용할 수 있다. 이번에 문제가 된 것은 Wink라는 제3자 계정을 사용했을 때이다. 이 경우 네스트 캠은 Nest 앱과 Wink 앱을 통해 접근할 수 있다. 주인이 바뀔 때, 넘겨주는 사람은 자신의 사생활을 지키기 위해 초기화를 수행한다. 이때 네스트 앱(계정)은 초기화되어 연결이 끊어지지만, Wink 앱(계정)은 초기화 과정에서 배제되어 있다. 넘겨받은 사람은 제품 사용을 위해 네스트 계정을 새로 연결해야 하는데, 이때 기존 연결된 네스트 계정이 있을 경우 에러가 나서 문제가 있음을 알 수 있다. 이 경우에는 전 주인이나 구글 서비스에 연락해 해결하면 된다. 문제는 새 주인으로서는 이전에 연결된 Wink 계정이 있는지 알 수가 없다는 것이다. 그냥 사용하게 되면 전 주인의 Wink 계정이 살아있기 때문에, 전 주인은 여전히 이 카메라의 사진과 동영상을 볼 수 있는 것이다. 초연결 시대의 어두운 이면 이번에 발견된 버그와는 별...

CVE-2019-5439, CVE-2019-12874 유명한 동영상 재생 앱 VLC 미디어 플레이어에서 원격으로 임의의 코드를 실행할 수 있는 취약점이 발견됐다. 위험도는 5439는 보통(moderate)이지만, 12874는 치명적(critical)이다. 특별하게 조작된 .avi 나 .mkv 파일을 열거나 실시간 스트리밍으로 감상하면 악용될 수 있다. 악용에 성공한 해커는 프로그램 충돌을 일으키거나 임의의 코드를 실행할 수 있다. 개발사는 취약점을 해결한 3.0.7 버전을 내놨다. 취약점이 알려진 이상, 토렌트나 웹하드 같은 파일 공유 사이트를 통해 악성 파일이 유포될 수 있으므로 빨리 업데이트 해야 한다. 참고 자료 Security Advisory 1901

CVE-2019-1105 Microsoft Outlook for Android에서 XSS(cross-site script) 공격에 악용될 수 있는 취약점이 발견됐다. 아웃룩 앱이 특별한 이메일 메시지를 분석하는 방법에 문제가 있었다. 해커는 특별하게 조작된 이메일을 보내, 이 취약점을 악용할 수 있다. 성공하면 해커는 현재 사용자의 권한 내에서, 임의의 스크립트를 실행할 수 있다. 현재 취약점의 상세한 내용은 알려지지 않고 있다. 악성 이메일을 보내기만 하면 되는지, 피해자가 열어봐야 하는지 명확하지 않다. 크로스 사이트 스크립트 공격은 권한 없이 외부의 스크립트를 실행하는 것이다. 일반적으로 쿠키 탈취, 피해자의 자격증명을 이용한 사이트 이용, 임의의 코드 실행 등 심각한 결과를 초래한다. 이 취약점은 공개적으로 알려진 적이 없고, 실제 악용 사례가 발견되지도 않았다. 또한 직전 2개의 버전은 영향을 받지 않는다. 따라서 상당히 오래 동안 업데이트를 하지 않은 경우를 제외하면, 별로 걱정할 필요는 없다. 이 취약점은 6.20일, 3.0.88 버전에서 수정됐다. 일단 취약점이 알려지면 악성코드는 금방 나타나므로, 서둘러 업데이트하는 것이 좋다. POC 공개됐다 MS가 보안 권고와 패치를 제공한 다음 날인 21일, 이 취약점을 MS에 알린 사람 중 하나인 Bryan Appleby는 상세 내용과 POC(Proof of Concept, 샘플 악성코드)를 공개했다(참2). 취약점 악용에는 피해자가 악성 이메일을 열어보는 것이 필요하며, 일반적인 XSS 공격과 마찬가지로 정보 탈취 등 사실상 모든 악행이 가능하다. "이 악성코드는 정보 탈취를 포함해, 해커가 원하는 모든 것을 할 수 있다. 해커가 악성 이메일을 보내고 피해자가 이를 읽기만 하면, 해커는 피해자의 받은 편지함 내용을 훔쳐갈 수 있다. 실전에 이용되면, 아주 불쾌한 악성코드가 될 수 있다" 참고 자료 CVE-2019-1105 | Outlook ...

Google Play에서 발견 안드로이드 스마트폰의 상단 알림 내용을 가로채, 2단계 인증을 우회하는 악성코드가 발견됐다. 구글 플레이에 터키의 가상화폐 거래소인 BtcTurk를 사칭한 앱으로 등록돼 있었다. 이와 유사한 다른 가짜 앱들도 발견됐는데, 이를 발견한 ESET은 Android/FakeApp.KP로 탐지한다. SMS(문자 메시지)는 낡은 기술로 보안성이 좋지 않다. 통신 인프라에서 전송 중 가로채질 수도 있고, SIM swapping(관1)으로 탈취당할 수도 있다. 스마트폰에서 악성코드에 의해 낚일 수도 있다. 구글은 악성코드에 의한 탈취를 막고자, 2019.3월부터 앱이 원칙적으로 SMS와 통화 기록에 접근하지 못하도록 했다. SMS를 가로채 2단계 인증을 우회하던 해커로선 다른 방법이 필요했다. 이런 배경에서 등장한 수법이 푸시 알림(push notification)을 가로채는 것이다. 푸시 알림 가로채기 SMS, 이메일, 카카오톡을 비롯한 SNS 등 알림이 오면, 내용 일부가 표시된다. 따라서 이들 알림을 보낸 앱에 직접 접근할 권한이 없더라도, 여기에서 내용이 노출될 수 있다. 스마트폰이 잠금 상태여서, 실제로 알림이 화면에 표시되지 않더라도 상관 없이 탈취할 수 있다. 물론, 알림에 접근하려면 사용자에게 그림처럼 권한을 요청해야 한다(참1). 알림 접근 권한은 꽤 강력하다. 알림의 내용을 읽을 수 있는데, 여기에는 연락처 이름이나 메시지 내용 등 개인 정보가 포함될 수 있다. 그리고 알림을 지우거나 그 안에 있는 버튼을 클릭하는 행동을 할 수도 있다. 알림 접근 권한을 얻은 앱은 방해 금지 모드를 켜거나 끄는 등 관련 설정을 변경할 수도 있다. 따라서 이 권한을 허용할 때는 특히 주의해야 한다. SMS나 이메일 인증은 취약 이번에 발견된 가짜 앱은 정상적인 서비스를 가장하여 로그인 화면을 띄운다. 입력한 정보는 해커의 서버로 전송된다. 그리고 일시적인 서비스 점검 등을 핑계로 지금은 이용할 수 없다고 ...

2019.6.11일 마이크로소프트가 정기 보안 패치를 통해 고친 취약점은 수십 개에 달한다. 그 중에서 유심히 볼 만한 것 몇 개만 추려 봤다. CVE-2019-0990 스크립팅 엔진 정보 유출 취약성 엣지 브라우저의 스크립팅 엔진이 메모리에 로드된 개체를 잘못 처리해서 생긴다. 이때 메모리의 일부 잔존 데이터(uninitialized memory)가 노출될 수 있다. 이 정보는 나중에 해커가 피해자의 PC를 공격하는데 도움이 될 수 있다. 이 취약점은 악성 웹 페이지를 열어 보는 것만으로 작동된다. 심각도가 치명적(critical)으로 높으며, 실제 악용 가능성도 크다(more likely). CVE-2019-1081 Microsoft 브라우저 정보 유출 취약성 위의 0990과 비슷한데, 엣지 뿐만 아니라 인터넷 익스플로러에도 해당된다는 점이 다르다. 정보 노출, 원격코드 실행 같은 브라우저의 취약점은 매번 꾸준히 발견되고 있다. 대체로 심각성과 악용 가능성 모두 높은 편으로, 위험성이 크다. 재미있는 것은, 0990과 1081은 직전 보안 패치로 인해 생긴 취약점이란 것이다. 구 버전에는 해당되지 않는다. CVE-2019-1034 Microsoft Word 원격 코드 실행 취약성 워드가 메모리에 로드된 개채를 잘못 처리할 때 발생한다. 이를 악용하면 해커는 현재 로그인된 사용자의 권한으로, 임의의 코드를 실행할 수 있다. 특별하게 조작된 악성 문서를 열기만 하면 취약점이 작동한다. 사용자의 별다른 상호작용은 필요치 않다. 이와 같은 취약점 역시 매번 꾸준히 발견되고 있다. 오피스 문서에서 매크로만 허용하지 않으면 안전하다고 생각할 수 있지만, 그렇지 않다. 악성 rtf 파일, 수식편집기를 개체로 삽입한 문서 등 매크로와 관련 없는 악성 오피스 문서는 많다. 이에 대한 방어 장치도 갖춰져 있지만, 항상 효과가 있는 것은 아니다(관1). 마이크로소프트는 이런 취약점들에 대해 악용 가능성을 낮게(less likely) ...

안드로이드용 크롬 브라우저의 '사이트 알림' 기능을 악용하는 악성코드가 발견됐다. Google Play에 유명 회사의 앱으로 위장한 가짜 앱으로 등록돼 있었다. Doctor Web은 이를 Android.FakeApp.174라고 불렀다. 웹 푸시(web push) 기능은 별도로 앱을 설치하지 않더라도 뉴스나 SNS 글 등 업데이트되는 내용을 받아볼 수 있어 편리하다. 반면 피싱(phishing)이나 스팸(spam)에 악용되기도 한다. PC에서는 이미 기승을 부리고 있다(관1). 가짜 앱을 실행하면 앱 내에 설정된 사이트를 크롬 브라우저로 연다. 악성 사이트는 그림(참1)처럼 로봇이 아님을 입증하는 등 사이트의 정상적인 이용을 위해 필요하다며 허용을 유도한다. 그러나 사실은 알림 허용 여부는 사이트 이용과 전혀 관계가 없다. 알림을 허용하면 스마트폰의 상태 표시줄에 알림이 쏟아져 들어오기 시작한다. 이때 유명 사이트를 도용하기도 한다. 그림(참1)에서는 페이스북의 아이콘과 제목을 사용했다. 그러나 잘 보면 사이트 주소는 엉뚱한 곳임을 알 수 있다. 가짜 알림을 클릭하면 피싱 사이트로 이동한다. 개인정보 입력을 요구해 탈취하거나 악성코드 설치를 유도할 수 있다. 단순한 불건전 사이트일 수도 있다. 알림 기능의 특성 상, 브라우저를 실행 중이 아니라도 표시된다. 악성 앱을 삭제해도 마찬가지다. 이 악성 앱은 그저 악성 사이트를 띄우기 위한 수단에 불과하기 때문이다. 이런 악성 사이트는 그냥 웹 서핑 중에도 만날 수 있다. 만약 걸려들었다면 크롬의 설정에서, 해당 사이트를 알림 허용 목록에서 삭제하면 된다. 설정/사이트 설정/알림 경로로 들어가면 그림과 같은 화면이 나온다. 여기서 문제의 사이트를 클릭해 삭제하면 된다. 관련 자료 사이트 알림을 이용한 스팸 참고 자료 Android users threatened by fraudulent push notifications