SomeNotes247

갤럭시A 퀀텀은 해킹 불가능? 지난 6월, 삼성전자는 갤럭시A 퀀텀을 출시했다. 이는 세계최초로 양자보안 기술을 적용한 스마트폰이라며, 해킹이 불가능하다고 광고됐다. 그때 이게 말이 돼? 하는 의구심이 들었지만, 관심 없던 기종이라 별 생각 없이 넘어갔다. 그런데 반 년이 지난 며칠 전, 이런 자료(참 1,2)가 눈에 띄었다. 양자보안이라 하기도 어렵고, 실제 해킹 방지 효과도 거의 없다는 것이다. 양자암호를 이용한 보안은 해커가 추론하기 어려운 강력한 암호 키를 일회성으로 생성하여 송/수신자가 공유하고, 해킹 시도 시 암호 키가 자동으로 파괴되어 해킹을 차단한다. 통신 인프라에 적용하여 도청이나 감청을 방지하는 데 활용이 시작되고 있다. 그러나 갤럭시A 퀀텀에 적용된 양자 기술이란 것은 강력한 암호 키를 생성하는 데 그친다. 실제 스마트폰 해킹은 악성코드에 의한 것이 대부분이라는 점에서 무용지물인 셈이다. 공인인증서를 예로 들어 보자. 공인인증서는 일종의 개인 암호 키인데, 이것이 해킹당했다는 뉴스를 가끔 볼 수 있다. 그러나 이것은 공인인증서의 암호화 알고리즘이 뚫리는 것이 아니다. 공인인증서의 암호화는 양자 생성기 없이도 지금도 충분히 강력하다. 공인인증서를 복호화(decrypt)하는 또 다른 키인 사용자 암호가 약한 고리인 것이다. 다른 인증 수단들도 마찬가지로 password, PIN, 혹은 생체 정보 등 고정된 요소가 brute force 공격이나 도용에 의해 해킹 당하는 것이다. 또한 스마트폰에 있는 악성코드는 인증을 마친 정당한 사용자가 사용하는 도중에도 정보를 탈취한다. 이런 악성코드는 사용자를 속여 자발적으로 설치하게 만들거나, 시스템의 취약점을 이용해 사용자 몰래 설치된다. 양자보안이 힘을 쓸 수 있는 영역이 아니다. 한참 늦었지만, 혹시나 해당 기종 사용하는 분들 중에, 이런 사실을 모른 채 기본적인 보안 수칙을 소홀히 하는 일이 있지 않을까 하는 생각에 적어본다. 참고 자료 1. 세계 첫 양자보안폰? 갤럭시A 퀀텀에 학계는 '갸...

시스코(Cisco)의 영상 회의 소프트웨어인 웨벡스(Webex)에 있던 심각한 취약점이 오늘 공개됐다. 시스코는 이미 패치를 내놨으므로, 웨벡스 사용자는 바로 업데이트해야 한다. 유령 참가자(ghost participants)는 웨벡스 미팅에 초대받지 않았고, 참가자 목록에 보이지도 않는다. 그러나 정상적인 참가자와 마찬가지로 음성, 영상, 문자 채팅, 화면 공유에 완전히 접근할 수 있다. 이 취약점은 CVE-2020-3419로 등록됐다.  유령 참가자는 또한 미팅에서 추방된 이후에도 음성 연결은 계속 유지된다. 이 점은 CVE-2020-3471이다. 유령 참가자는 미팅 대기실(meeting room lobby)에서 참가자들의 정보를 볼 수 있다. 여기에는 이름, 이메일 주소, IP 주소 등이 포함된다. 이 점은 CVE-2020-3441이다. 참고 자료 1. Cisco fixes WebEx bugs allowing 'ghost' attackers in meetings

Veraport 사용 사이트에 대한 공급망 공격 Wizvera의 보안 소프트웨어인 Veraport를 이용해, 사이트 방문자의 PC에 악성코드를 설치하는 북한 해커단 Lazarus의 공격이 ESET에 의해 포착됐다. 베라포트는 금융이나 정부 사이트 등에서 많이 볼 수 있는데. 이들 사이트를 이용하려면 강제로 설치해야 하는 여러 보안 모듈을 한번에 설치하는 통합 설치 앱이다. 베라포트는 설치할 프로그램 목록과 다운로드 URL을 포함하는 구성 파일(configuration file)을 사용하는데, 해커는 그 다운로드 위치에 있는 정상 프로그램을 악성코드로 바꿔치기했다. 즉 베라포트를 해킹한 것이 아니라 이를 사용하는 사이트를 해킹한 것이다. 예를 들어, A 은행 사이트가 베라포트를 통해 B 키보드 보안 앱을 제공한다고 하자. 해커는 A 사이트를 해킹해 보안 자료실에 있는 B를 악성코드로 바꿔놓는 것이다. A에 방문한 이용객의 PC는 악성코드에 감염된다. 베라포트는 유명한 앱이므로 보안 경고에 의심없이 수락할 것이다. 베라포트는 구성 파일에 있는 각 프로그램을 설치할 때, 기본적으로 디지털 서명을 확인한다. 그러나 디지털 서명에 사용된 인증서가 유효한지만 확인할 뿐, 소유자는 확인하지 않는다. 라자루스는 다른 곳에서 훔친 인증서를 사용해, 베라포트의 검증을 통과했다. 탈취된 인증서 중에는 Dream Security라는, 한번쯤 들어본 듯한 보안 회사의 것도 있었다. 베라포트는 설치할 프로그램의 해시값을 검증하는 옵션도 제공한다. 이는 선택 사항인데, 활성화하면 이런 식의 해킹을 상당히 어렵게 하는 효과가 있다. 프로그램을 1 글자만 바꿔도 해시값이 달라지기 때문이다. 이 작전의 최종 페이로드는 원격제어 툴이다. 가짜 보안 모듈은 윈도우의 기본 프로세스인 svchost.exe를 감염시켜 RAT(Remote Access Tool)를 설치한다. PC의 제어권이 해커의 손에 완전히 넘어가는 것이다. 참고 자료 Trojanized Security Software Hits So...

클라우드(cloud) 해킹 대응책은 계정 분리 2020.10.9일 아이클라우드(iCloud)를 포함한 애플(Apple) 서비스에서 발견된 55개 취약점이 공개됐다. 이들은 7~9월에 걸쳐 애플에 보고됐는데, 애플이 패치를 완료하기를 기다려 공개된 것이다. 이 중 11개는 원격코드 실행, 정보 유출, 계정 탈취 등 심각한 것이다. 사용자와 애플 직원 앱을 완전 장악, 아이클라우드 계정 탈취, 애플 프로젝트의 소스코드 탈취, 관리 도구와 민감한 고객 정보에 접근할 수 있는 애플 직원의 세션 탈취 등이 포함됐다. 몇 가지 구체적인 사례를 본다. ade.apple.com(Apple Distinguished Educators) 사이트는 인증 우회 취약점이 있었다. 해커는 기본 암호를 이용해 관리자 콘솔에 접근하고 임의의 코드를 실행할 수 있다. Delmia Apriso라는 창고 관리 솔루션은 암호 재설정 기능에 결함이 있었다. 이를 악용해 해커는 선적 정보와 상품 목록을 조작하고, 직원 배지를 인가할 수 있다. 심지어 악의적인 계정을 새로 만들어 이 소프트웨어를 완전히 장악할 수 있다. authors.apple.com은 작가들이 창작물을 애플 북스에 출판할 수 있는 사이트인데, 해커는 ePub 전자책 파일 업로드 툴을 이용해 임의의 코드를 실행할 수 있다. 일반인들에게 가장 충격적인 것은 아이클라우드의 XSS(cross-site scripting) 취약점일 것이다. 이를 악용하기 위해 해커가 할 일은 오직 표적에게 icloud.com이나 mac.com 주소로 특별하게 조작된 이메일을 보내는 것 뿐이다. 악성 메일을 Apple Mail에서 열어보면, 그 계정은 해커에게 완전히 장악된다. 그 결과는 개인 정보를 완전히 탈탈 털리는 것이다. 아이클라우드에 저장한 문서, 사진, 동영상, 주소록, 일정 등 모든 데이터를 탈취당할 수 있다. 게다가 이 취약점은 wormable이다. 한 피해자의 주소록에 있는 연락처로 자동으로 퍼져나간다. 이렇게 클라우드 서비스 자체의 취약점을 이...

PC의 UEFI에 침투하여 악성 모듈을 삽입하는 악성코드가 발견됐다. LoJax에 이어 역사상 두번째의 UEFI rootkit이다. 카스퍼스키(Kaspersky)가 발견했으며, MosaicRegressor라고 이름 붙였다. 메인보드의 UEFI(에전의 BIOS)에 존재하기 때문에 보안 소프트웨어에 잘 탐지되지 않으며 제거도 어렵다. 물론 HDD나 SSD 같은 저장장치를 초기화하거나 교체해도 소용없다. 모자이크리그레서는 모듈화된 다단계 다운로더이다. 해커로부터 최종 페이로드(payload)를 다운로드해서 설치하는 것이 임무다. 모자이크리그레서의 초기 감염 경로, 즉 UEFI에 어떻게 침투하는 지는 확인되지 않았다. 다만 카스퍼스키는 물리적으로 PC에 접근하는 것을 유력한 시나리오로 보고 있다. USB 드라이브로 부팅하는 과정에서 전용 UEFI 업데이트 툴을 이용해, 악의적으로 변조된 UEFI 이미지를 심는 것이다. 또한 원격에서 해킹하는 것도 가능할 것으로 봤다.  UEFI의 인증 취약점, 즉 정상적인 UEFI 이미지인지 확인하는 과정의 취약점을 이용해 원격에서 변조된 이미지로 업데이트하는 것이다. 이를 수행할 악성코드는 스피어 피싱 등으로 전달될 수 있다. 카스퍼스키에 따르면, 이런 UEFI 루트킷이 발견되는 것은 상당히 드문 경우라고 한다. 방어자 입장에서는 보안 앱에 잘 탐지되지 않기 때문이고, 공격자 입장에서도 고도의 기술이 필요하고 위험 부담이 크기 때문이다. 관련 자료 LoJax Rootkit, UEFI로 침투하는 악성코드 참고 자료 MosaicRegressor: Second-ever UEFI rootkit found in the wild  New 'MosaicRegressor' UEFI Bootkit Malware Found Active in the Wild 

잘라내기는 숨겨진 셀도 포함한다 마이크로소프트 엑셀(Microsoft Excel)로 데이터베이스 작업을 하다보면, 원하는 데이터만 보이도록 필터링을 한 다음, 다른 위치에 붙여넣기를 할 때가 있다. 그런데 필터라는 것이 불필요한 셀을 화면에 보이지 않게 숨기는 것이므로, 특정 범위를 선택할 경우 보이는 셀과 숨겨진 셀을 어떻게 처리하느냐에 따라 결과가 달라질 수 있다. 기본적으로 엑셀은 보이는 셀을 기준으로 작업을 한다. 그러나 수행하는 작업에 따라 달리 처리하기도 한다. 셀 단위로 범위를 선택할 때, 복사는 보이는 셀만을 포함하지만, 잘라내기는 숨겨진 셀까지 포함한다. 아래 예는 엑셀 2010과 오피스 온라인에서 수행한 것이다. 오피스 온라인은 마이크로소프트 계정만 있으면 무료로 사용할 수 있다. 기능은 상당히 제한적이지만 일반적인 작업에는 쓸 만하고, 항상 최신 버전으로 유지된다는 장점이 있다. 먼저 간단한 데이터베이스를 만들어 표(테이블) 삽입을 했다. 데이터베이스는 표로 만드는 것이 여러 모로 좋다. 여기서 서울에 사는 사람만 골라내서 별도의 시트로 만들려고 한다. 다음과 같이 필터를 적용했다. 여기서 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '복사'한 다음, 새 시트에 붙여넣으면 다음과 같이 된다. 정확히 원하던 결과다. 그러나 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '잘라내기'한 다음, 새 시트에 붙여넣으면 엉뚱한 결과를 낳는다. 범위 안에 있는 숨겨진 셀까지 이동된 것이다. 행 단위 선택은 숨겨진 행도 포함한다 위에선 셀 단위로 범위를 선택한 경우를 본 것이다. 그런데 엑셀에서 데이터베이스를 다룰 때는, 행 단위로 선택을 하는 것이 편할 때가 많다. 행 번호를 클릭하면 해당 행 전체가 선택된다. 행 단위로 범위를 선택하면, 그 안에 있는 숨겨진 행도 포함된다. 이때는 복사든 잘라내기든 마찬가지다. 위의 필터 적용된 데이터베이스에서 행 번호를 드래그해서, 행 단위로 범위를 선택한 후 '복사...

전자 서명 우회해서 변조 문서에 전자 서명(디지털 서명)을 하는 것은 작성자를 확인하고, 서명 이후 변경되지 않았음을 보증하는 보안 수단이다. 그런데 서명된 PDF 문서의 내용을 바꿔치기할 수 있는 Shadow Attack이라는 공격 방법이 발견됐다. PDF 파일은 개체(object)들의 집합인 레이어(layer, 층)를 여러 개 쌓을 수 있는 다층 구조를 하고 있다. 그리고 전자 서명 됐더라도, 사용되지 않는 개체를 포함할 수 있다. 이런 구조적인 특징을 악용한 것이 섀도우 어택이다. 공격자는 정상적인 내용을 담은 레이어와 악의적인 내용의 레이어를 모두 포함한 PDF 문서를 만든 다음, 정상 레이어를 맨 위에 놓아 이것만 보이게 한다. 이를 피해자에 전달하면, 피해자는 정상 문서로 오인하고 전자 서명을 한다. 이를 다시 받은 공격자는 레이어 순서만 바꿔, 악의적인 레이어가 보이게 한 후, 다른 사람들에게 배포한다. 권한 있는 피해자를 이용해 악성 문서를 배포하는 것이다. 여기서 알 수 있듯이 Shadow Attack은 서명된 아무 PDF 문서나 변조할 수 있는 것은 아니다. 애초에 악의적인 레이어를 포함해서 만든 문서라야 가능하다. 예를 들어 어떤 기업에서 모금을 해서 복지 단체에 기부하려 한다. 악의적인 김 대리는 이를 횡령하려 맘 먹었다. 모금 계획서에 회사 계좌를 입금 계좌로 표시한 정상 레이어를 만들고, 그 밑에 자신의 계좌를 입금 계좌로 표시한 악성 레이어를 숨겨뒀다. 이 사실을 모르는 박 부장은 이 PDF 문서에 전자 서명을 해서 공신력을 부여한다. 무사히 결재를 받은 김 대리는 악성 레이어를 상위로 옮기고 직원들에게 보낸다. Shadow Attack을 개발한 독일 보훔 루르 대학의 연구팀은 28개의 주요 PDF 앱을 대상으로 실험했는데, 그 중 15개의 앱이 취약점을 갖고 있었다. 취약한 앱에는 Adobe Acrobat Pro, Adobe Acrobat Reader, Perfect PDF, Foxit Reader, PDFel...