기사를 통해서 MHTML 취약점에 대해서 접한 후, 리뷰를 급하게 작성합니다.

1. 취약 대상
  Windows 사용자

2. 핵심 기법
  주소에 MHTML: 첨부할 경우 여러 필터링 통과 가능

3. 응용
  <iframe src="MHTML:http://target/file/any.html!cookie"></iframe>

 <iframe src="mhtml:http://target/file/any.html?a=header with content-type"></iframe> 
 or content-type의 대한 보안이 있는 경우 따로 파일에 저장 후 html에 인젝션 해서 불러온다.

 <OBJECT CLASSID=CLSID:1111111-1111-1111-1111-111111111111 CODEBASE=file_path></OBJECT> 
 클라이언트의 파일을 실행할 수 있다.

4. 참고 자료
  http://www.boannews.com/media/view.asp?page=1&idx=24698&search=&find=&kind=1
  http://www.exploit-db.com/exploits/16071/
  http://kjcc2.tistory.com/898

'보안 기술 자료 (D:\) > D:\> WEB' 카테고리의 다른 글

Encoding Web Shells in PNG IDAT chunks  (0) 2015.06.16
중국발 해킹의 발전과 대응  (0) 2010.12.25
디렉토리 리스팅 취약점을 이용한 게임db서버 해킹사례  (0) 2010.11.13
취약한 웹서버를 이용한 해킹 및 악성코드 삽입 사례  (0) 2010.10.13
OWASP 웹해킹 TOP 10  (0) 2010.08.21

정말 오래전 IRCBOT 이라는 바이러스를 혹시나 기억하시나요? 트로이목마 입니다만, 어떠한 명령을 IRC 채팅방을 통해서 명령을 내리기 때문에 IRCBOT 이라고 불렀습니다.

감염이 되면 특정 IRC 채널에 접속하여 명령을 기다리고 있다가 크래커가 설정한 명령어를 내리면 그대로 봇이 행하는 형식이였습니다. 즉, 해당 채팅방 서버에 접속해보면 얼마나 감염이 됬는지 대충 예상할 수 있었죠.

요즘에는 호스팅을 받거나, 서버를 크래킹하여서 좀비PC의 명령지로 악용을 하는 수법을 사용하고 있는데, 기어코 더욱 진화된 방법이 나오고 말았습니다.

요즘 많이 사용하시는 SNS 트위터를 이용하여 명령을 내리는 방식이 출현한 것입니다. 이것이 다른 수법과 다른점이 뭐냐면 트위터에 경우에는 추적이 굉장히 어렵습니다.

트위터 계정을 생성했을 당시에 아이피, 트위터를 접속했을 때의 아이피, 글을 올릴때의 아이피를 이용해서 추적을 수행해야 하는데, 이 부분이 굉장히 어려운 부분이기 때문에, 검거가 상당히 어렵습니다. 트위터에 경우에는 수만이 이용하고 있기 때문에 모니터링이 힘들다는 단점이 있기 때문이죠.

이것을 이용한 좀비PC 툴이라... 더욱 무서워지고 있는 툴에 놀랄수 밖에 없네요

http://mcaf.ee/42597

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

컴퓨터 사용자 39%가 자신의 컴퓨터에 한 일은?  (0) 2011.02.09
구글 "크롬 해킹하면 2만달러 주겠다"  (0) 2011.02.04
개인정보 유출 피해는 모르쇠...“유출만 계속 막아!”  (0) 2011.01.25
IE9 RC에 ‘액티브X 필터’ 추가된다  (0) 2011.01.21
IPv6 전환 가속화... 보안은 이를 따라가지 못해  (0) 2011.01.18


1. 증상

감염자 컴퓨터를 통해 로그인 한 네이트온 사용자 계정의 친구들에게 감염파일을 받을 수 있는 URL이 담긴 쪽지를 전송함으로써 자신을 재배포 한다.

정상적인 네이트온 실행 방해, 정상적인 인터넷 서핑 방해

2. 분석


파일 확장자는 exe 이나, 그림파일 아이콘을 가짐으로써 자신을 정상 그림파일인 것으로 가장한다.
파일을 마치 TN프록시 모듈 (중국어 버전) 인 것처럼 서명해놓았다.

실행시 자동으로 네이트온 사용자에게 "고급 술집의 고급서비스 카드 프로모션 www.yabsxxx.com" 등과 같은 바이러스 유포지 주소를 포함한 쪽지를 살포하게 된다.

기존과 다르게 "데이터 폭탄" 기능을 추가로 넣어 Avast의 감시를 피하였다.
이외에는 네이트온 바이러스 변종들과 별다른 차이가 없다.

http://www.virustotal.com/file-scan/report.html?id=ebba6bb18985bd57508ec468d16d3a36fb57869d6036aa10266a32600d2bea8d-1295968622


3. 치료법

현재 해당 바이러스는 Microsoft Essential(http://www.microsoft.com/security_essentials/) , Antivir (http://www.avira.com/) 에서 치료 및 삭제가 가능하다.

'잡다한 자료 (C:\) > C:\> 바이러스 분석' 카테고리의 다른 글

신종 MBR 파괴 악성코드 분석  (2) 2012.01.21
inde.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.02.12
picte.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.16
bsoxg.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.09
noek.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.02

이미 우리나라 인터넷 인구의 절반이 정보유출이 이루어졌다고 저는 생각합니다. 신종 악성코드가 날로 등장하고 있고, 이로인해 날마다 피해가 생기는 것을 본다면 이미 짐작하실 수 있으리라 생각됩니다.

이제는 유출을 막는 것은 물론이요, 이미 유출된 정보에 대한 보호정책이 필요하다고 생각합니다. 이러한 뜻을 기사로 잘 담은 것 같아 퍼왔습니다.

몇몇 신용정보업체에서 회원가입에 락을 거는 기능을 월 990원에 제공하고 있는데, 회원가입시 신용정보업체를 거쳐가는 업체의 회원가입만 막을 수 있지, 정작 신용정보업체를 거쳐가지 않는 사이트가 더 많은 이 시점에서는 무용지물일 수 밖에 없습니다.

주민등록번호 대신 아이핀을 도입하고 있지만, 아이핀을 사용할 수 있는 사이트는 아직 현저히 작아서 실제 사용하는 비율은 상당히 적습니다.

따라서 이제는 좀 더 진보된 방법이 필요하다고 생각합니다.

http://mcaf.ee/adc91

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

구글 "크롬 해킹하면 2만달러 주겠다"  (0) 2011.02.04
백신 못 잡는 ‘트위터 좀비PC’, 누구든 완전범죄 공격자로  (0) 2011.02.01
IE9 RC에 ‘액티브X 필터’ 추가된다  (0) 2011.01.21
IPv6 전환 가속화... 보안은 이를 따라가지 못해  (0) 2011.01.18
컴퓨터 꺼도 남는 ‘5분 흔적’ 잡아채 암호 단서 포착  (0) 2011.01.13

오랜만에, 리뷰를 적는 것 같습니다. 오늘은 네이버 지식인 도중에 접하게 된 "보호나라" 에 대해서 리뷰해볼까 합니다.
"보호나라"는 한국인터넷진흥원에서 운영하고 있는 보안정보 사이트 입니다. 좀비PC을 즉석에서 진단 할 수 있는 서비스로써 DDOS 때 큰 인기를 받은 사이트 였습니다. DDOS 전용 백신을 제공해주는 것은 물론, 각종 보안 정보를 게재하고 있습니다.


악성 봇 감염 실시간 확인 서비스

1. 원리

  보호나라는 컴퓨터의 파일을 일일히 점검하여 해당 아이피는 악성 봇(좀비PC) 이다. 라고 진단 내리는 것이 아닙니다. 보호나라에서 이미 언급하였듯이 (http://www.boho.or.kr/pccheck/pcch_03_02.jsp?page_id=3) DDOS 공격이 일어나는 경우, DDOS 명령을 하달하는 악성코드를 분석하여, 명령을 하달하는 서버를 추적합니다. 악성코드는 명령을 받기 위해서 지속적으로 명령을 하달하는 서버에 접속요청을 합니다. 한국이용자의 접속을 관리하는 ISP에서 해당 서버로 지속적으로 접속요청을 하는 한국 PC의 아이피 리스트를 수집합니다. 이 아이피 리스트를 통해서 좀비PC다. 아니다를 가려내는 것입니다.

2, 문제점

  DDOS 악성코드는 날로 발전하고 있습니다. 또한 명령을 하달하는 서버가 차단당한다면 충분히 다른 서버를 이용할 수 있도록 악성코드를 개조하여 재배포 하고 있습니다. 이 시점에서, 신종 악성코드를 일일히 분석하여 명령을 하달하는 서버를 알아내고 추적하여 접속아이피 리스트를 뽑아내는 과정에 소요되는 시간이 너무나 길다는 것입니다. 열심히 분석하고 있는 사이에 신종 DDOS 악성코드에 감염된 이용자들은 실제로 DDOS 악성코드에 감염되었다 하더라도, "악성 봇 감염 실시간 서비스" 를 이용한다 하더라도 "정상아이피" 라는 진단결과를 받을 것입니다.

해결책이 나오지 않은 시점에서 공격이 이루어지는 것을 "제로데이" 공격이라고 합니다. 제로데이 공격은 모든 보안업체의 공동의 적인 것은 사실입니다. 여기서 과연 어떠한 업체가 먼저 "해결책"을 생각해 내느냐에 따라 백신의 등급이 결정이 될 수 있습니다. 보호나라는 이러한 "해결책"을 생각하는 것에 너무나 많은 시간이 소요되고 있습니다.

또한 맥어드레스와 같은 고유값을 수집하지 않고 아이피만 수집하여 리스트를 만들기 때문에 얼마든지 유동아이피에 의해 DDOS 감염이 되지 않았음에도, "감염의심" 이라는 아리송한 진단결과를 받을 수 있습니다.  이 부분은 이미 보호나라에서도 인정하는 부분입니다.

이러한 문제점을 본다면, 보호나라의 실시간 확인 서비스 진단결과를 보고 좀비PC 유무를 따지라는 것은 문제가 있습니다.


원격지원 서비스

1. 원리

  네이트온의 원격지원과 같이 서비스 신청을 할 경우에는 직접 전문가가 소프트웨어를 통해 신청자의 컴퓨터를 조종하여 악성코드를 진단/치료 해주는 서비스 입니다. 직접 전문가가 진단을 해주는 만큼, 악성 봇 감염 확인 서비스의 문제점을 보완할 수 있습니다.
 
2. 문제점
  
  무료로 지원하고 있는 원격지원 서비스는 국내 다른 어떠한 곳에서도 시행하지 않는 파격적인 서비스 입니다. 하지만 수동으로 이루어지고 있는 만큼, 서비스 신청시간이 정해져 있고, 서비스 대기자에 따라서 실제로 지원을 받을 수 있는 날이 미루어 질 수 밖에 없기 때문에 정작 필요할 때 바로바로 서비스를 받지 못합니다.

악성코드의 기능에 따라 다르겠지만, 우선 감염되었다는 것 자체가 위험할 수 있습니다. 특히 정보유출 기능을 가진 악성코드에 감염되어 원격지원 서비스를 신청했을 경우에는 서비스를 받기 전까지는 컴퓨터를 이용 할 수 없게 됩니다. 컴퓨터를 이용하여 인터넷 작업을 할 경우, 로그인시에 개인정보가 유출될 수 있고, 웹서핑만으로도 악성코드에 의해 정보유출이 가능하기 때문에, 제때제때 서비스를 받아야 합니다.

따라서 원격지원 서비스를 이용하여라. 라는 것은 치료전까지는 컴퓨터 이용을 하지 말라는 뜻과 같기 때문에, 감염이 되면 먼저 원격지원 서비스를 이용하라 라는 주장은 억지가 있습니다.

감염PC 맞춤형 전용백신

1. 원리

  백신엔진을 통해 수집된 "신종 DDOS 악성코드" 에 관하여 치료할 수 있는 전용백신을 개발, 배포하고 있습니다. 악성코드가 감염된 시점에서 진단할 필요가 없는 악성코드까지 진단하는 무거운 백신을 일일히 받을 필요 없이 특정 악성코드만 잡을 수 있는 전용백신을 이용함으로써 특정 악성코드에 대해서 빠르게 진단/치료가 가능합니다.
 
2. 문제점
  
  전용백신을 올려놓은 게시판을 실제로 봐도 그렇듯이, 실제 악성코드 갯수와 비교하였을 때 전용백신의 갯수가 상당히 적습니다. DDOS 악성코드의 갯수가 상당히 많은데 진단할 수 있는 진단백신이 적다면, 실제로 좀비PC가 되었다 하더라도 치료할 수 있는 백신을 찾지 못하는 사태가 발생할 수 밖에 없습니다. 

  업데이트 이루어지지 않는 것은, 결국 신종악성코드는 치료하지 못하는 "맞춤형 전용백신 게시판"의 이용률을 떨어뜨릴 것이고, 유명무실되는 결과를 초래할 수 있습니다.

  또한 전용백신 개발을 지나치게 "국내백신 업체"로 한정한 결과, 국내에 아직 보고되지 않은 DDOS 툴에 대해서는 분석이 필요한 "바이러스 샘플" 을 수집하기 어렵습니다. 막상 해외에서 개발된 악성코드가 국내에 피해를 줄 때는 소 잃고 외양간 고치는 격이 되는 경우가 많습니다. 

해외에서 이루어지고 있는 DDOS 관련 악성코드에 대해서는 샘플을 해외백신 업체로 부터 제공받아 분석하고 업데이트하여 항상 발 빠른 대처가 되어야 합니다.

'잡다한 자료 (C:\) > C:\> 보안 칼럼' 카테고리의 다른 글

계속되는 사이트 변조, 안심하고 서핑할 수 없다.  (0) 2011.06.19
3.4 바이러스 대란, 좀비PC 치료법은 없는 것일까?  (0) 2011.03.04
oinve.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.01
repari.exe NateOn 바이러스 증상 및 치료법  (0) 2010.12.26
ShellExt.exe NateOn 바이러스 증상 및 치료법  (0) 2010.12.05

이번에 나오는 인터넷 익스플로러 IE9 에서는 액티브 X 기능을 선택제로 바꾼다고 밝혔습니다. 악성코드로 탈도 많아서 대부분의 나라에서는 사용하지 않습니다. 하지만 유난히도 우리나라는 액티브X가 범람을 하고 있습니다. 

그래도 NoN-ActiveX 에 대한 필요성이 구글을 통해서 알려지자, 국내에서도 네이버와 같은 국내포털사이트에서는 각종 기능을 Ajax 로 처리를 하고, ActiveX 사용을 최대한 자제하고 있습니다.

포털사이트에서 이러한 투자가 빛을 발하는 순간입니다. 비록 국내 점유율이 매우 높은 XP에서는 IE9 을 사용할 수 없어서 실제로 IE9 사용량은 얼마나 될지 모르겠지만, IE9 이 대중화 된다면 NoN-ActiveX 사이트를 더욱 사람들은 선호할 것이겠지요. (ActiveX 사이트는 불안정하게 브라우징 될테니 말이죠.)

이제는 국내에서도 ActiveX 사용량을 줄여야 할 때가 된 것 같습니다.

http://mcaf.ee/4bf1d

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

백신 못 잡는 ‘트위터 좀비PC’, 누구든 완전범죄 공격자로  (0) 2011.02.01
개인정보 유출 피해는 모르쇠...“유출만 계속 막아!”  (0) 2011.01.25
IPv6 전환 가속화... 보안은 이를 따라가지 못해  (0) 2011.01.18
컴퓨터 꺼도 남는 ‘5분 흔적’ 잡아채 암호 단서 포착  (0) 2011.01.13
"클라우드 기술 이용 해킹 가능성 입증"  (0) 2011.01.12

IPv4 의 아이피 부족현상을 해결하기 위한 방법으로 IPv6 가 출범한지 수년이 흘렀습니다. 아직가지 IPv6 를 이용하는 사람은 많지 않아 사실상 유명무실한 상태입니다.

하지만 IPv6 정책을 강하게 추진할 예정이라고 합니다만, 보안문제를 생각하지 않을 수 없습니다. IPv6 는 맥주소와 비슷한 형태여서, 만들 수 있는 아이피의 수는 엄청납니다만, 이에 따라 아이피 추적에도 어려움을 겪을 수 밖에 없습니다.

IPv4의 경우 특정 아이피 대역은 특정 회사가 가지고 있는 특징을 활용하여 아이피 추적에도 이용하였는데, 경우의 가짓수가 매우 많은 IPv6 은 범죄에 이용될 경우 사실 상 추적도 어렵게 됩니다. 

또한, IPv4의 경우 아이피 차단도 뒷자리만 바뀐다는 특징을 이용하여 쉽게 차단할 수 있었던 반면, IPv6의 경우에는 정확한 대역을 찾기 힘들어 차단도 힘들 것입니다.

따라서 항상 보안 문제를 생각해야 한다는 것을 정부에서는 잊지 말아야 할 것입니다. 

http://mcaf.ee/ce614

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

개인정보 유출 피해는 모르쇠...“유출만 계속 막아!”  (0) 2011.01.25
IE9 RC에 ‘액티브X 필터’ 추가된다  (0) 2011.01.21
컴퓨터 꺼도 남는 ‘5분 흔적’ 잡아채 암호 단서 포착  (0) 2011.01.13
"클라우드 기술 이용 해킹 가능성 입증"  (0) 2011.01.12
[기자수첩] 좀비PC 다큐의 초등학생과 신상 털기  (0) 2011.01.11

1. 증상

감염자 컴퓨터를 통해 로그인 한 네이트온 사용자 계정의 친구들에게 감염파일을 받을 수 있는 URL이 담긴 쪽지를 전송함으로써 자신을 재배포 한다.

정상적인 네이트온 실행 방해, 정상적인 인터넷 서핑 방해

2. 분석


파일 확장자는 exe 이나, 그림파일 아이콘을 가짐으로써 자신을 정상 그림파일인 것으로 가장한다.
파일을 마치 중국의 QQ 메신져 인 것처럼 서명해놓았다.

실행시 자동으로 네이트온 사용자에게 "누가 동전이나 오이를 이렇게 접을수 있나요  www.xendxxxx.com" 등과 같은 바이러스 유포지 주소를 포함한 쪽지를 살포하게 된다.

기존의 네이트온 바이러스 변종들과 별다른 차이가 없다.

http://www.virustotal.com/file-scan/report.html?id=a06b7e34d3c5643e365613f0fe7559505d54bbf13f1ad62a56d342e183420724-1295179448


3. 치료법

현재 해당 바이러스는 Antivir(http://www.antivir.com), Avast(http://www.avast.co.kr)  에서 치료 및 삭제가 가능하다.

'잡다한 자료 (C:\) > C:\> 바이러스 분석' 카테고리의 다른 글

inde.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.02.12
agtcl.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.26
bsoxg.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.09
noek.jpg.exe NateOn 바이러스 증상 및 치료법  (0) 2011.01.02
usndfid.exe NateOn 바이러스 증상 및 치료법  (0) 2010.12.19


Ram은 흔히들 휘발성을 가지고 있어 프로그램을 종료할 경우에는 Ram 에서 관련내용이 삭제된다고 배웁니다만, 5분 이라는 시간동안 정보가 남는다고 합니다. 저도 모르고 있었던 사실입니다.

경찰은 HDD의 물리적 논리적 손상도 복구하여 범인을 잡는 놀라운 사례를 만들어내고 있지만, 또다른 수사기법인가요? 16비트로 이루어진 헥사코드를 복구하는 과정. 그 많은 헥사코드 중에서 암호코드만 추출해 내는 능력.

모두 피와 살이 된 경험 없이는 불가능하겠지요?

 

http://mcaf.ee/df31c

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

IE9 RC에 ‘액티브X 필터’ 추가된다  (0) 2011.01.21
IPv6 전환 가속화... 보안은 이를 따라가지 못해  (0) 2011.01.18
"클라우드 기술 이용 해킹 가능성 입증"  (0) 2011.01.12
[기자수첩] 좀비PC 다큐의 초등학생과 신상 털기  (0) 2011.01.11
디시인사이드 DDoS 공격 배후는 북한?  (0) 2011.01.10


클라우드 기술이 요즘 부각되어지고 있는 것 같습니다. 여러 컴퓨터가 일을 분산처리 함으로써 일의 효율이 극대화되는 것이지요. 요즘 등장하는 P2P에서도 서버비용을 줄이기 위해 그리드 클라우드를 사용하고 있지요.

우리 현실사회에서는 "분업화" 라고 불리우는 경제효과가 컴퓨터상에서도 나타나고 있는 것입니다. 그러나 이러한 클라우드 보안 또한 중요한 과제로 떠오르고 있습니다. 하지만 보안부분은 철저히 배제하고 있었지요.

결국 외국에서 이러한 취약점을 이용한 해킹시연을 한 것입니다. 클라우드 기술을 이용하여 비밀번호 해독마저도 분산처리 함으로써 컴퓨터 한대로는 몇년이 걸릴 무작위 대입법 비밀번호 해독법도 단 6분만에 찾아낼 수 있다고 합니다.

이제는 보안 무시 못하겠지요?

 

http://www.dt.co.kr/contents.html?article_no=2011011302010860739001&ref=naver

'Security News (A:\) > A:\> Korean News' 카테고리의 다른 글

IPv6 전환 가속화... 보안은 이를 따라가지 못해  (0) 2011.01.18
컴퓨터 꺼도 남는 ‘5분 흔적’ 잡아채 암호 단서 포착  (0) 2011.01.13
[기자수첩] 좀비PC 다큐의 초등학생과 신상 털기  (0) 2011.01.11
디시인사이드 DDoS 공격 배후는 북한?  (0) 2011.01.10
무선랜 ‘구멍 뻥’.. 5초만에 ID·비번 ‘줄줄’  (0) 2011.01.06

+ Recent posts

티스토리툴바