Security Newsletters, 2017 Dec 9th, 안드로이드 야누스(Janus) 外

Posted on 2017-12-09 by admin

Caution

This post is a meta-newsletters that contains links and texts that have been collected approximately for a day from various sources. The titles of news were not provided from original sources, but translated by the writer of this post. So, there could be mis-translation or duplication. I respect the copyright of every articles and their policies. so I am trying to keep it. (of course, and mainly, it’s too much to translate by myself). Accordingly, this post doesn’t have quotation nor the body of article, if any, contact me and it will be removed.

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats/Threat Actors

Summaries

핵티비스트^(Hacktivist)들이 이스라엘 공무원들의 이름, 이메일, 비밀번호와 미국 정부 사이트 목록을 온라인에 공개하고, 그들에 대한 공격을 요구하는 일이 있었다. 어나니머스^(Anonymous)는 몇몇 사이트의 데이터를 유출했는데, 이는 그들의 중동에서의 정치 대한 미국의 간섭에 대항한 집단 보복으로 보인다. 어나니머스의 작전은 팔레스타인을 보호하고 도널드 트럼프가 예루살렘을 이스라엘의 수도로 인정하는 것^{(Donald Trump’s choice to recognize Jerusalem as the capital of Israel)}에 대한 시위를 목표로 했다. 관련된 메시지가 사이버게릴라^{(cyberguerilla.com)}에 게제되었다.
인도 첩보기관^{(Indian Intelligence Bureau, IB)}이 중국이 42개의 모바일 어플리케이션으로 감시하고 있는 상황을 우려해 군인들에게 삭제지시를 내렸다. 인도 정보기관이 중국 사이버 스파이가 유명 모바일 어플리케이션과 장치들을 사용해 인도의 보안 설비^{(security installations)}에 대한 기밀정보를 수집하고 있다고 경고했다. 인도의 많은 사이버보안 전문가들은 궁국 군사 첩보 기관에 의한 스파이 행위 시도에 대한 우려를 표했다. 이 경고에는 42개의 중국의 유명 모바일 앱이 포함되어 있으며, WeChat, Truecaller, Weibo, UC Browser, UC News 등이 국가 보안에 심각한 위협이 될수 있다는 인도 첩보기관의 내용이 포함되어 있다.
러시아 중앙은행^{(Central Bank of Russia)}이 신년 연휴 이전에 금융기관에 대한 새로운 해커 공격에 대해서 경고했다. 중앙은행의 사이버 보안 부국장^{(Deputy Head of Cyber Security Department)}인 Artem Sychev는 Cobalt Strike 바이러스를 사용하는 해커들의 공격이 줄어들었다고 발표했다. 그는 해커들이 연말에 은행 고객들이 엄청난 손실을 보게 만들 다른 공격을 준비하고 있을 것이라고 말했다.

Detailed News list

#OpUSA, #OpIsrael
- _{[SecurityAffairs]}
  #OpUSA – OpIsrael – Anonymous hit Israel and threatens cyberattack on US Govt
- _{[CyberGuerilla]}
  Anonymous OpUSA – OpIsrael: Israili Gov’t hacked and dumped
China is spying through 42 mobile apps
- _{[SecurityAffairs]}
  The Indian Intelligence warns China is spying through 42 mobile apps
Russian Central Bank
- _{[EHackingNews]}
  Russian Central Bank warned of possible Cyber Attack before New Year

Malwares

Summaries

이전에 Blind라는 이름으로 알려졌던 나폴레온^(Napoleon) 랜섬웨어에 대한 Malwarebytes Lab의 분석보고서가 발표되었다. 이 랜섬웨어는 이전에는 Blind라는 이름으로 알려졌고, 최근에는 .napoleon 이라는 확장자를 사용하며 몇가지 변경사항이 확인되었다. 지금까지 이 새로운 변종의 유포방식은 확실하게 확인되지 않았다. Malwarebytes의 추정은 공격자들이 직접 해킹당한 컴퓨터에 드랍 및 설치한는 것으로 보고있다. 랜섬웨어가 설치되고 난 후에는 파일들 하나씩 암호화하며, 확장자에 email.lapoleon을 추가한다. HTA 형식의 랜섬노트를 남기며, Napoleon의 윈도우 화면은 Blind에 비해서 단순해졌다.
앞서 정리했던 Locky와 유사한 Scarab 랜섬웨어가 피해 대상이 몸값 지불에 흥정을 할 수 있게 허락하고 있다는 기사가 나왔다. Scarab 랜섬웨어는 6월에 처음 발견되었는데, 11월에 들어서 갑자기 수백만개의 스팸메일을 통해 유포되었다. 이 이메일은 Locky 랜섬웨어를 매우 성공적으로 유포한 것으로 유명한 Necurs 봇넷에 의해 유포되었다.
11월 30일에 애플이 조용히 macOS XProtect 악성코드 방지 시스템에 OSX.HiddenLotus.A.라 불리는 것에 대한 시그니처를 추가한 일이 있었다. 히든로터스^{(HiddenLotus)}가 무엇인가에 대해서는 의문으로 남았으나, 같은날 Arnaud Abbati가 샘플을 찾아서 트위터에서 공유하며 정체가 밝혀졌다. 히든로터스는 드로퍼^(dropper)로 Lê Thu Hà (HAEDC).pdf라는 파일이름을 사용했다. 이 파일은 이전에 문서파일 형태로 위장한 악성코드들 처럼 특별할 것 없어 보이지만, 실제로는 pdf 확장자를 사용한다. 하지만 인식되기로는 응용프로그램으로 인식되는데, 여기에는 pdf의 d 문자가 영어 알파벳 d가 아닌 로마 숫자 500을 의미하는 D의 소문자를 사용했다.
Eset에 따르면 인터넷 서비스 제공업체^{(ISP, Internet Service Provider)}가 연관된 것으로 보이는 FinFisher 악성코드가 새로운 종류의 스파이웨어로 대체되었다. ESET에서 Win32/StrongPity2로 탐지된 이 스파이웨어는 StrongPity라 불리는 그룹의 스파이웨어와 유사하다.
유명 블로깅 웹 어플리케이션인 워드프레스^(WordPress)를 사용하는 사이트에서 키로거가 발경되었다. 수천개의 워드프레스 사이트가 사용자의 입력을 가로채는 악성코드에 감염된 것이 발견되었다. 이 감염은 cloudflare.solutions이라는 악성코드로 웹사이트가 감염되었던 지난 4월의 캠페인 중 일부이다. 과거에 탐지되었을 당시에는 암호화폐를 채굴하는 기능이 포함되어 있었으며, 지금은 키로깅 기능이 포함되어 있다. 기사가 작성될 당시 cloudflare.solutions 악성코드는 5,495개의 웹사이트에 감염되어 있었으며 이 숫자는 증가하고 있는 것으로 보인다. (8일에서 이어짐)
전세계 수백만 시스템을 감염시켰던 Conficker 웜이 9년이 지난 지금도 여전히 활발히 활동중이다. 이 웜은 제조, 헬스케어, 정부 분야의 조직에 강력한 위협으로 남아 있을 정도로 악성코드 방지 시스템에 의해 지속적으로 탐지되고 있다. Conficker 웜이 처음 등장한 것은 2008년이다. 이번주에 트렌드 마이크로가 발표한 리포트에 따르면, Downad라 불리는 웜은 이번 해에만 330,000건이 탐지되고 차단되었다. 이 수치는 트렌드 마이크로가 Conficker를 2016년에는 3000,000건, 2015년에는 290,000건을 탐지하고 차단한 수치와 거의 일치한다. 2008년에 처음 등장한 Conficker 웜은 처음 등장시 전세계 약 900만대의 놀라운 숫자의 컴퓨터 시스템을 감염시켰다. (8일에서 이어짐)

Detailed News List

Blind(Napoleon) ransomware
- _{[Malwarebytes]}
  Napoleon: a new version of Blind ransomware
Scarab ransomware
- _[ZDNet]
  This ransomware asks victims to name their own price to get their files back
HiddenLotus
- _{[Malwarebytes]}
  Interesting disguise employed by new Mac malware HiddenLotus
StrongPity2
- _{[WeLiveSecurity]}
  StrongPity2 spyware replaces FinFisher in MitM campaign – ISP involved?
WordPress keylogger
- _[HackRead]
  More than 5,000 WordPress websites plagued with Keylogger
Conficker
- _[Cyberscoop]
  Conficker worm still spreading despite being nearly 10 years old

Exploits/Vulnerabilities

Summaries

이번주 구글이 공격자가 대상 앱의 서명 검증 인증서에 영향을 미치지 않으면서도 앱에 악의적인 코드를 주입할 수 있는 취약점을 수정했다. 이 방법은 공격자가 신뢰하는 제작사에서 만든 것처럼 보이는 서명된 어플리케이션을 사용해 장비의 악성코드방지 기능을 우회하고 권한을 상승시킬 수 있는 취약점이다. 이 취약점은 야누스^(Janus)라고 이름이 붙었으며, GuardSqure의 CTO인 Eric Lafortune에 의해 발견되었다. 이 취약점은 7월에 ^{CVE-2017-13156} 번호가 부여되었다. 구글은 이 취약점을 12월자 안드로이드 보안 패치의 일부로 수정했다.
마이크로소프트 오피스^{(Microsoft Office)}의 보안 취약점이 해킹 그룹에 의해 익스플로잇^(Exploit)으로 활용되는데에 채 일주일이 걸리지 않는다는 기사가 나왔다. 파이어아이^(FireEye)가 목요일에 공개한 연구 결과에 따르면, 지난달에 마이크로소프트가 오피스의 원격 코드 실행^{(remote code execution)} 취약점^{(CVE-2017-11882)}을 공개한지 일주일도 안되서, 이란의 해커들이 피싱 이메일을 통해 중동 정부 기관을 공격하는데 이 취약점을 사용했다.
마이크로소프트^(Microsoft)사의 오피스^(Office)에 17년간 존재한 방정식 편집기^{(Equation Editor)}의 취약점에 대한 기사가 계속해서 이어진 가운데, 해당 취약점에 대한 분석 보고서가 팔로알토네트웍스^{(Palo Alto Networks)}의 Unit42에 의해 공개되었다.
30개 이상의 유명 이메일 클라이언트에 영향을 미치는 Email 스푸핑 취약점이 발견되었다. 다른 사람이 보낸 메일인 것처럼 위장할 수 있는 취약점이 발견되었다. MailSploit이라는 이름이 붙은 이 취약점은 Apple Mail^{(macOS, iOS, watchOS)}, Mozilla Thunderbird, Microsoft email clients, Yahoo Mail, ProtonMail 및 기타 메일클라이언트들에 영향을 미친다. 이 클라이언트들에 DKIM이나 DMARC와 같은 스푸핑 방지 메커니즘이 구현되어 있지만, MailSploit은 이메일 클라이언트와 웹 인터페이스가 From 헤더를 파싱하는 것을 이용한다. (6일에서 이어짐)

Detailed News List

Android Flaw ‘Janus’
- _[ThreatPost]
  Android Flaw Poisons Signed Apps with Malicious Code
- _{[TheRegister]}
  Android flaw lets attack code slip into signed apps
Flaw into Exploit
- _[CyberScoop]
  Hacking group turns Microsoft Office flaw into an exploit in less than a week
- _{[MicrosoftSecurityCenter]}
  CVE-2017-11882 | Microsoft Office Memory Corruption Vulnerability
Office Equation Editor
- _{[PaloAltoNetworks]}
  Analysis of CVE-2017-11882 Exploit in the Wild
MailSploit
- _{[InformationSecurityBuzz]}
  Mailsploit Lets Attackers Send Spoofed Emails On Over 33 Email Clients

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

구글이 자사의 투명성 리포트^{(Transparency Report)} 중 National Security Letter 섹션을 확대하여, National Security Letters^(NSLs)의 새로운 사례로 FBI로 부터 받은 것들을 공개하겠다고 밝혔다. 새로운 NSLs의 서브섹션은 세 컬럼으로 이루어져 있다. NSL 그 자체에 대한 링크와, NSL이 발행된 날짜, FBI가 발행한 문서에 대한 링크다. 가장 최근의 공개된 문서의 날짜는 2017년 9월 25일로 되어있다. 공개된 내용에 따르면, FBI는 NSL을 전자 통신 개인정보 보호법^{(Electronic Communications Privacy Act, ECPA})에 따라 비공개 요구^{(non-disclosure requirement)}와 함께 발행했다. 이 문서는 구글이 FBI로 부터 특정 날짜에 수신한, 구글의 고객 계정에 대한 정보 요청 NSL을 공개할 수 있도록 허락했으며, 요청한 FBI 요원의 이름 및 전화번호는 삭제되었다. 구글은 또한 대상 사용자 계정도 삭제했다. 가장 오래된 NSL은 2009년의 여러 Gmail 계정에 대한 것이다. 이 문서에서는 구글에게 이름, 주소, 서비스 기간 정보를 요구하고 있다.
구글이 접근성 서비스^{(Accessibility Services)} API를 사용하는 앱에 대하여 그 기능을 제거하라고 알림을 발표하고 유예기간 이후에는 지키지 않는 앱을 마켓에서 제외시키겠다고 했던 기사가 있었다. 구글이 접근성 서비스 제거를 위해 개발자들에게 주었던 이 유예기간을 30일 더 연장했다.
영국 법원에서 직원이 일으킨 대규모 데이터 유출 사건에 회사는 무고하지만, 그럼에도 불구하고 보상금^{(compensation)}을 지불해야 한다고 밝혔다. 유럽연합에 개인정보 보호에 대해서는 상대적으로 강력한 법률이 존재한다는 것은 잘 알려진 사실이다. 이전에도 정리했던 기사에서 영국 슈퍼마켓 체인인 모리슨스^(Morrisons)는 2014년에 99,998 명의 직원들이 개인정보가 담긴 파일이 파일 공유 웹사이트에 공개되는 사건이 있었다. 이 파일에는 이름, 주소, 성별, 생일, 전화번호, 은행 계좌 번호, 급여 정보가 있었다. 추후 수사를 통해 밝혀진 사실은, 이 내용들은 2013년에 있었던 징계^{(disciplinary)} 절차에 앙심을 품은 Andrew Skelton이라는 모리슨스의 IT 수석 감사관^{(senior IT auditor)}에 의한 것이었다.

Detailed News List

Google’s Transparency Report
- _[ZDNet]
  Google lifts lid on FBI data requests: Now you can read actual letters online
Google pauses removal of apps
- _[ZDNet]
  Google pauses removal of apps that want to use accessibility services
UK Court
- _[TechDirt]
  UK Court Says Company Is Innocent In Massive Data Breach Caused By Vindictive Employee, But Must Nonetheless Pay Compensation

Vulnerability Patches/Software Updates

Summaries

애플이 홈킷^(HomeKit) 장비에 영향을 미치는 취약점을 패치했다. 애플에 따르면, 스마트자물쇠^(SmartLock)나 차고문 제어장치^{(Garage door openers)}와 같은 홈킷^(HomeKit) 장치들의 허가되지 않은 원격 제어를 허용할 수 있는, 홈핏 프레임워크의 미공개 취약점이 수정되었다. 이 취약점은 최초 9to5Mac이 목요일에 보도했다. 발표자료에 따르면, 이 취약점은 HomeKit 사용자의 iCloud 계정과 연결되어 있는, 최신 iOS 11.2를 사용하는 iPhone이나 iPad가 필요하다.
치명적인 취약점이 마이크로소프트^(Microsoft)의 악성코드 보호 엔진^{(MPE, Malware Protection Engine)}에서 발견되어 마이크로소프트가 목요일에 이에 대한 패치를 공개했다. 이 취약점은 공격자가 공격대상 컴퓨터를 완전히 장악할 수 있게 한다. 윈도우즈10용 윈도우즈 디펜더^{(Windows Defender)}를 포함한 다양한 마이크로소프트의 보안 제품들이 영향을 받는다. 마이크로소프트 악성코드 보호 엔진은 마이크로소프트의 모든 제품의들의 안티바이러스 및 안티스파이웨어 프로그램에 핵심 기능을 제공한다. 마이크로소프트에 따르면, 아직까지 이 취약점이 실제 공격에 사용되고 있다는 흔적은 발견되지 않았다. (8일에서 이어짐)
OpenSSL의 취약점 두가지가 패치되었다. OpenSSL 프로젝트가 목요일에 구글 연구가가 발견한 두가지 취약점이 패치된 OpenSSL 1.0.2n 버젼을 공개했다. 이 취약점은 구글 연구가 David Benjamin이 앞서 발표했던 OSS-Fuzz라는 퍼싱 서비스를 사용해 발견한 취약점이다. (11월 3일자 뉴스모음) 취약점 중 하나는 ^{CVE-2017-3737}이며, 다른 하나는 ^{CVE-2017-3738}이다. (8일에서 이어짐)

Detailed News List

Apple
- _[ThreatPost]
  Apple Fixes Flaw Impacting HomeKit Devices
- _{[NakedSecurity]}
  Apple fills the KRACK on iPhones – at last
Microsoft
- _{[TheHackerNews]}
  Microsoft Issues Emergency Windows Security Update For A Critical Vulnerability
- _{[SecurityWeek]}
  Microsoft Patches Critical Vulnerability in Malware Protection Engine
- _{[DarkReading]}
  Microsoft Issues Emergency Patch for ‘Critical’ Flaw in Windows Security
- _{[SecurityAffairs]}
  CVE-2017-11937 | Microsoft releases an emergency update to fix a flaw in Malware Protection Engine
- _[ZDNet]
  Windows 10: UK’s GCHQ found out how to hack Windows Defender to own your PC
OpenSSL
- _{[SecurityAffairs]}
  OpenSSL patches for the fourth time in 2017 its library, and it will likely be the last one

Data Breaches/Info Leakages

Summaries

자전거 공유^{(bicycle-sharing)} 플랫폼인 oBike의 싱가폴 및 전세계 13개국 사용자들의 개인정보 데이터가 유출됐다. 회사 대변인에 따르면, 데이터 유출은 친구를 oBike 플랫폼으로 초대하는 어플리케이션 프로그래밍 인터페이스^{(application programming interface)}의 문제^(gap)로 인해 발생했다. 초대 코드를 친구에게 보내고 자전거 사용 정보를 소셜네트워크에서 공유하는 기능을 사용하는 과정에서, 사용자가 인지하지 못한 상태로 개인정보에 대한 접근권한을 허용한 것이다. 이 사고는 최소 2주간 지속되었다.
가상 키보드^{(virtual keyboard)} 어플리케이션인 ai.type 앱의 개인정보 수집 데이터 유출에 대한 기사가 이어지고 있는 가운데, Have I Been Pwned 사이트를 통해 숫자가 공개되었다. 총 2천만건의 정보가 유출되었다. 유출된 정보는 주소록의 연락처 정보, 장치에 설치된 어플리케이션 목록, 통신사 이름, 생일, 장치정보, 이메일 주소, 성별, 위치정보, IMEI^{(International Mobile Equipment Identity)} 번호, IMSI^{(International Mobile Subscriber Identity)} 번호, IP주소, 이름, 전화번호, 프로필 사진, 소셜미디어 프로필 이다. (6일에서 이어짐)

Detailed News List

oBike
- _[TripWire]
  Security Breach Exposed oBike Users’ Personal Information
ai.type keyboard app
- _{[HaveIBeenPwned]}
  ai.type – 20,580,060 breached accounts
- _{[InformationSecurityBuzz]}
  More Than 31 Million Hit By Keyboard App Breach

Industrial/Infrastructure/Physical System/HVAC/SCADA/HMI/ICS

Summaries

ICS-CERT에 따르면 Rockwell Automation이 FactoryTalk 제품에서 높은 등급의 서비스거부^{(DoS, Denial of Service)} 취약점을 패치했다. 이 취약점은 2.90이나 그 이전버젼의 FactoryTalk Alarms and Events^(FTAE)에 영향을 미친다. 이 FactoryTalk Services Platform 컴포넌트는 Studio 5000 Logix Designer PLC 프로그래밍 및 설정 도구^{(programming and configuration tool)}와 FactoryTalk View SE HMI^{(Human Machine Interface)} software에 의해 설치된다. FTAE는 View SE HMI 시스템을 통해 알람과 이벤트의 일관된 뷰를 제공한다. 이 제품은 전세계 주요 산업기반시설, 엔터테인먼트, 자동차, 식품, 음료, 식수, 상하수도과 같은 분야에서 사용된다. 보안 취약점은 이름이 알려지지 않은 회사에 의해 Rockwell Automation에게 제보되었고, 취약점 번호 ^{CVE-2017-14022}가 부여되었다. 이 취약점은 인증받지 않은 사용자가 원격으로 조작된 패킷을 TCP 403포트로 보내 이 제품의 이력 보관 서비스^{(history archiver service)}가 멈추게^(stall) 하거나 종료되게^(terminate) 할 수 있다.

Detailed News List

Rockwell Automation
- _{[SecurityWeek]}
  Rockwell Automation Patches Serious Flaw in FactoryTalk Product

Crypto Currencies/Crypto Mining

Summaries

비트코인 가격이 계속적으로 치솟음에 따라, 점점 더 많은 사이버 범죄자들이 유명 암호화폐를 거리해는 사람들을 대상으로 눈길을 돌리고 있다. 가장 최근의 비트코인 사용자 그룹을 특정한 악성코드 배포 방식이 Fortinet 연구가들에 의해 밝혀졌다. 이메일을 통해, Gunthy가 개발한 새로운 비트코인 거래 봇인 Gunbot을 무료로 사용해 보라는 홍보내용이 전달된다. 이 이메일은 VB 스크립트를 첨부하고 있는데, 이 스크립트는 실행되면 JPEG 이미지처럼 보이는 파일을 다운로드 한다. 이 파일은 실제로는 PE 바이너리로, 최종적으로는 수많은 실행파일들을 내려받아 시스템에 설치한다. 이 파일들 중 하나는 악성코드가 시스템이 리부팅 되어도 실행될 수 있게 하며, 다른 하나는 Orcus RAT 서버가 설치된다.
가장 큰 암호화폐 채굴 시장인 나이스해시^(NiceHash)가 해킹사실을 인정했다. 나이스캐시는 다른사람의 컴퓨팅 파워를 구매하거나, 유사 비트코인들^(altcoins)을 채굴하고 비트코인으로 지불받을 수 있는 암호화폐 채굴 시장이다. 나이스해시^(NiceHash)는 해킹으로 전체 비트코인 지갑을 잃게 되었다고 발표했다. 나이스해시는 수요일 정오에 성명을 발표했는데 NiceHash 웹 사이트에 보안 침해가 있었으며, 지불 시스템이 완전히 침해당해 나이스해시의 비트코인 지갑을 도둑맞았다고 발표했다. 나이스해시가 정확한 금액을 밝히지는 않았지만, 추정되는 금액은 약 6천만 달러에 달할 것으로 보인다. (8일에서 이어짐)

Detailed News List

Fake trading bot
- _{[HelpNetSecurity]}
  Bitcoin traders beware: Fake trading bot offer delivers RAT
- _{[SecurityWeek]}
  Orcus RAT Campaign Targets Bitcoin Investors
NiceHash
- _{[HackersOnlineClub]}
  Bitcoin Mining Company Confirms Approx 70 Million Dollar Hack

Security Newsletters, 2017 Dec 8th, Process Doppelgänging 外

Posted on 2017-12-08 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

이란과 관련된 것으로 추정되는 사이버 스파이 그룹이 최근 패치된 마이크로소프트 오피스^(Office)의 취약점을 사용해 표적 기관에 악성코드 유포를 진행하고 있다고 파이어아이^(FireEye)가 목요일 발표했다. 이 스파이 그룹은 파이어아이에서는 APT34로, 타 기관에서는 OilRig으로 지칭된 그룹이며 최소 2014년부터 활동해 온 것으로 추정된다. 이 그룹은 금융, 정부, 에너지, 통신, 화학 분야의 기관을 공격 대상으로 삼고 있으며 특히 중동에 위치한 기관을 대상으로 한다. 4월에는 보안연구가들이 마이크로소프트가 패치를 발표한 직후 오피스 취약점 ^{CVE-2017-0199}를 공격에 사용하는 것을 확인했으며, 이번에는 마이크로소프트가 11월 14일에 패치한 ^{CVE-2017-11882}를 사용한 공격을 진행하고 있다. 이 취약점은 오피스에 17년간 존재한 방정식 편집기 컴포넌트에 영향을 주는 취약점을 공격한다.
시만텍^(Symantec)이 새로운 Adwind RAT^{(Remote Access Trojan)} 변종을 유포하는 스팸메일에 대해서 경고했다. 이 악성코드는 사용자의 행동을 모니터링하고, 키 입력을 기록하며 스크린샷을 찍거나, 악성 파일을 다운로드하고 비디오 및 음성을 녹음할 수 있다. Adwind는 AlienSpy, Frutas, Unrecom, Sockrat, jRAT라고도 불리는 크로스플랫폼^{(cross-platform)} 다기능 원격제어 트로이다. Adwind 메일은 JAR 파일이나 ZIP 파일을 첨부파일로 포함해 유포되고 있다.
브라질 전자상거래에서 흔히 사용되는 지불방식인 Boleto의 송장으로 위장한 스팸메일이 유포되고 있다. 이 스팸메일들은 보통 브라질 기관들을 대상으로 유포된다. 다른 여타 스팸메일들 처럼 이 캠페인은 윈도우즈 컴퓨터들을 감염시키고 정보를 훔치려는 목적을 가지고 있다. 그러나 특이하게 이 캠페인에서 감염된 컴퓨터는 IRC^{(Internet Relay Chat)} 트래픽을 발생시키는데, 모든 감염된 호스트들은 #MSESTRE 채널에 참여한다. 브라질 공식언어인 포르투갈어로 mestre는 master 또는 teacher를 의미한다.

Detailed News list

APT 34 launches Spy Campaign
- _{[InfoSecurityMagazine]}
  Iranian State-Sponsored APT 34 Launches Spy Campaign with Just-Patched Microsoft Vulns
- _[FireEye]
  New Targeted Attack in the Middle East by APT34, a Suspected Iranian Threat Group, Using CVE-2017-11882 Exploit
- _{[SecurityWeek]}
  Iranian Cyberspies Exploit Recently Patched Office Flaw
Spam Emails spreading Adwind RAT
- _[CSOOnline]
  Over 1 million monthly spam emails spreading new Adwind RAT variants
Boleto Campaign targets Brazil
- _{[PaloAltoNetworks]}
  Master Channel: The Boleto Mestre Campaign Targets Brazil

Malwares/Exploits/Vulnerabilities

Summaries

트렌드마이크로^(TrendMicro)의 리포트에 따르면, 전세계 수백만 시스템을 감염시켰던 Conficker 웜이 9년이 지난 지금도 여전히 활발히 활동중이다. 이 웜은 제조, 헬스케어, 정부 분야의 조직에 강력한 위협으로 남아 있을 정도로 악성코드 방지 시스템에 의해 지속적으로 탐지되고 있다. Conficker 웜이 처음 등장한 것은 2008년이다. 이번주에 트렌드 마이크로가 발표한 리포트에 따르면, Downad라 불리는 웜은 이번 해에만 330,000건이 탐지되고 차단되었다. 이 수치는 트렌드 마이크로가 Conficker를 2016년에는 3000,000건, 2015년에는 290,000건을 탐지하고 차단한 수치와 거의 일치한다. 2008년에 처음 등장한 Conficker 웜은 처음 등장시 전세계 약 900만대의 놀라운 숫자의 컴퓨터 시스템을 감염시켰다.
유명 모바일 뱅킹 앱이 중간자^{(MitM, Man-in-the-Middle)} 공격에 취약한 것으로 드러났다. 보안연구가들이 유명 뱅킹 앱에서 인증정보를 해커에게 노출시킬 수 잇는 취약점을 발견했다. 이 취약점은 버밍엄 대학교^{(University of Birmingham)}의 보안 및 프라이버시 그룹^{(Security and Privacy Group)}의 연구가에 의해 발견되었다. 이 연구가는 수백개의 iOS 및 Android 뱅킹 앱을 분석했다. 이 연구에서 다수의 뱅킹 앱이 MitM 공격에 취약한 것으로 드러났으며, 영향을 받는 앱에는 Allied Irish bank와 Co-op, HSBC, NatWest, Santander등이 포함된다.
유명 블로깅 웹 어플리케이션인 워드프레스^(WordPress)를 사용하는 사이트에서 키로거가 발경되었다. 수천개의 워드프레스 사이트가 사용자의 입력을 가로채는 악성코드에 감염된 것이 발견되었다. 이 감염은 cloudflare.solutions이라는 악성코드로 웹사이트가 감염되었던 지난 4월의 캠페인 중 일부이다. 과거에 탐지되었을 당시에는 암호화폐를 채굴하는 기능이 포함되어 있었으며, 지금은 키로깅 기능이 포함되어 있다. 기사가 작성될 당시 cloudflare.solutions 악성코드는 5,495개의 웹사이트에 감염되어 있었으며 이 숫자는 증가하고 있는 것으로 보인다.
윈도우즈의 버젼 및 안티바이러스 제품과 관계없이 윈도우즈 장치를 감염시킬 수 있는 Process Doppelgänging 이라는 공격기법이 엔드포인트 보안 기업 enSiol의 보안연구가에 의해 확인되었다. 프로세스 도플갱잉^{(Process Doppelgänging)}은 런던에서 열린 블랙햇 유럽 2017^{(Black Hat Europe 2017)} 보안 컨퍼런스에서 시연되었으며, 파일을 사용하지 않는^(fileless) 코드 인젝션 기술^{(code injection technique)}이나. 이 기법은 악성이라 알려진 파일지라도 그 파일을 조작된 윈도우즈 핸들러의 파일 트랜젝션^{(transaction)} 프로세스에 전달하는 방법이다. 이 공격에서는 NTFS 트랜잭션을 이용하는데, 정상적인 파일을 트랜잭션 컨텐스트에서 덮어쓰기^(overwrite)한다. 그리고 트랜잭션 컨텍스트 내의 수정된 파일에서 섹션을 만들고, 프로세스를 생성한다. 이렇게 트랜잭션 중에 있는 파일을 스캔하는 것은 현재로서는 불가능 한 것으로 보이며, 트랜잭션을 취소^(rollback)하게 되면 흔적이 남지 않게 된다.

Detailed News List

Conficker won’t die
- _{[DarkReading]}
  Conficker: The Worm That Won’t Die
- _[TrendMicro]
  CONFICKER/ DOWNAD 9 Years After: Examining its Impact on Legacy Systems
Major Banking App
- _{[SecurityAffairs]}
  Major Banking Applications were found vulnerable to MiTM attacks over SSL
- _{[TheHackerNews]}
  Security Flaw Left Major Banking Apps Vulnerable to MiTM Attacks Over SSL
- _[ThreatPost]
  Banking Apps Found Vulnerable to MITM Attacks
- _{[InformationSecurityBuzz]}
  University Of Birmingham Found a Security Flaw That Had 10 Million Banking App Users At Risk
- _{[DarkReading]}
  Man-in-the-Middle Flaw in Major Banking, VPN Apps Exposes Millions
- _{[InfoSecurityMagazine]}
  UK Researchers Find Major Bank App Bug Affecting 10 Million
- _[ZDNet]
  Man-in-the-middle flaw left smartphone banking apps vulnerable
WordPress Keylogger
- _{[SecurityWeek]}
  Keylogger Found on 5,500 WordPress Sites
- _{[SecurityAffairs]}
  Thousands of WordPress sites infected with a Keylogger and cryptocurrency miner scripts
- _[Sucuri]
  Cloudflare[.]Solutions Keylogger on Thousands of Infected WordPress Sites
Process Doppelgänging
- _[HackRead]
  Process Doppelgänging attack affects all Windows version & evades AV products
- _{[SecurityWeek]}
  ‘Process Doppelgänging’ Helps Malware Evade Detection
- _{[SecurityAffairs]}
  Process Doppelgänging Attack allows evading most security software on all Windows Versions
- _{[TheHackerNews]}
  Process Doppelgänging: New Malware Evasion Technique Works On All Windows Versions
- _[ZDNet]
  Doppelgänging: How to circumvent security products to execute code on Windows

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

지난 달 미 검찰에 의해 HBO에 대한 해킹으로 기소된 Behzad Mesri가 이란 스파이 그룹과 관련이 있다는 기사가 나왔다. 보안기업 ClearSKy가 새로운 리포트를 공개했다. 이 리포트에서는 Charming Kitten또는 Newscaster, NewsBeef라는 이름으로 알려진 스파이 그룹의 활동을 자세히 다뤘다. 이 그룹은 2014년 부터 활동해 왔으며, 이란, 미국, 이스라엘, 영국 및 기타 여러국가의 여러 단체들을 공격 대상으로 삼았다. 그리고 이들의 공격 대상에는 종종 학술 연구, 인권 및 언론과 관련된 개인들도 포함되었다. (7일에서 이어짐)

Detailed News List

HBO Hacking linked to Iranian Hacking Group Charming Kitten
- _{[SecurityAffairs]}
  HBO hacker linked to the Iranian Charming Kitten APT group
- _{[InformationSecurityBuzz]}
  Iranian Hacker Charged For HBO Breach Part Of Charming Kitten Group
- _{[EHackingNews]}
  Iranian Hacking Group Creates Fake News Agency

Vulnerability Patches/Software Updates

Summaries

OpenSSL의 취약점이 패치되었다. OpenSSL 프로젝트가 목요일에 구글 연구가가 발견한 두가지 취약점이 패치된 OpenSSL 1.0.2n 버젼을 공개했다. 이 취약점은 구글 연구가 David Benjamin이 앞서 발표했던 OSS-Fuzz라는 퍼싱 서비스를 사용해 발견한 취약점이다. (11월 3일자 뉴스모음) 취약점 중 하나는 ^{CVE-2017-3737}이며, 다른 하나는 ^{CVE-2017-3738}이다.
치명적인 취약점이 마이크로소프트^(Microsoft)의 악성코드 보호 엔진^{(MPE, Malware Protection Engine)}에서 발견되어 마이크로소프트가 목요일에 이에 대한 패치를 공개했다. 이 취약점은 공격자가 공격대상 컴퓨터를 완전히 장악할 수 있게 한다. 윈도우즈10용 윈도우즈 디펜더^{(Windows Defender)}를 포함한 다양한 마이크로소프트의 보안 제품들이 영향을 받는다. 마이크로소프트 악성코드 보호 엔진은 마이크로소프트의 모든 제품의들의 안티바이러스 및 안티스파이웨어 프로그램에 핵심 기능을 제공한다. 마이크로소프트에 따르면, 아직까지 이 취약점이 실제 공격에 사용되고 있다는 흔적은 발견되지 않았다.
크롬이 63 업데이트에서 더욱 강력한 보호기능을 제공한다. 어제 공개된 크롬 63에서는 기업 마켓을 겨냥한 새로운 보안 기능 개선사항들이 포함되었다. 그 첫번째로는 사이트 고립^{(site isolation)} 기능이다. 크롬이 처음부터 사용해왔던 다중 프로세스 모델^{(multiple process model)}의 한층 더 엄격한 버젼이다. 크롬은 여러가지 보안 및 안정화 이유로 다중 프로세스를 사용한다. 안정성면에서는 하나의 탭이 충돌하더라도 기타 다른 탭이나 브라우저 그 자체는 영향을 받지 않는다. 보안적인 면에서는 다중 프로세스를 사용함으로 인해서 악성코드가 하나의 사이트에서 다른 사이트의 비밀번호 입력과 같은 정보를 훔치기 어려워진다.

Detailed News List

OpenSSL patched
- _{[SecurityWeek]}
  Two Vulnerabilities Patched in OpenSSL
- _[OpenSSL]
  OpenSSL Security Advisory 07, Dec, 2017
Microsoft Releases Security Update
- _[US-CERT]
  Microsoft Releases Security Updates for its Malware Protection Engine
- _[CyberScoop]
  Critical vulnerability found in Microsoft Malware Protection Engine
Apple patches macOS, watchOS, tvOS
- _{[TheRegister]}
  Apple gets around to patching all the other High Sierra security holes
- _{[SecurityWeek]}
  Apple Patches Vulnerabilities in macOS, watchOS, and tvOS
- _{[HelpNetSecurity]}
  Apple users, it’s time for new security updates
- _[US-CERT]
  Apple Releases Security Updates
Chrome 63 offers even more protection
- _{[TechRepublic]}
  Google ups Chrome security for business users with new features and policies
- _{[ARSTechnica]}
  Chrome 63 offers even more protection from malicious sites, using even more memory
- _[US-CERT]
  Google Releases Security Update for Chrome
- _{[SecurityWeek]}
  Chrome Improves Security for Enterprise Use
- _[ZDNet]
  Chrome 63 vs Windows 10 Edge: Google steps up rivalry with site isolation security

Privacy

Summaries

애플이 사용자의 프라이버시를 해치지 않으면서 사용자의 정보를 수집하고 있다고 주장했다. 애플은 최근 어떻게 사용자의 개인정보를 연관시키지 않으면서 정보를 수집하는지에 대해 밝혔다. 최근 애플의 머신러닝 저널에 공개된 포스트에 따르면, 애플은 민감 사용자 데이터를 그들 고객의 프라이버시를 지키면서도 수집할 수 있게하는 알고리즘을 개발했다. 사용자가 누군이지 드러내지 않으면서 정보를 얻기 위해서, 애플은 iOS10을 릴리즈하면서 차등 개인정보^{(local differential privacy)}를 사용하는 시스템 구조^{(system architecture)}를 개발했다. 포스트에 따르면 이 아이디어는 신중히 조정된 노이즈를 사용해 사용자 데이터를 가리는데 사용하는 것에 근원을 두고 있으며, 많은 사용자들이 데이터를 제공할 때, 추가된 잡음^(noise)이 평균화되고^{(added averages out)} 의미있는 정보가 나타난다. 지역 차등 프라이버시^{(local differential privacy)}를 사용하면서 사용자 데이터는 장치에서 전송되기 전에 랜덤화^(randomized)되고, 서버는 원본 데이터^{(raw data)}를 보거나 수신할 수 없게 된다.

Detailed News List

Apple collect your data
- _{[TechRepublic]}
  Apple claims it can collect your data without violating your privacy; here’s how
- _[ZDNet]
  Apple to iPhone, Mac users: Here’s why our data gathering doesn’t invade your privacy
- _{[Apple Machine Learning Journal]}
  Learning with Privacy at Scale

Data Breaches/Info Leakages

Summaries

나이스해시^(NiceHash)가 해킹당해 수천 비트코인을 도둑맞았다. 암호화폐 채굴 마켓인 나이스해시^(NiceHash)가 해킹으로 전체 비트코인 지갑을 잃게 되었다고 발표했다. 나이스해시는 사용자들이 자신의 컴퓨터 사이클을 암호화폐 채굴을 위해 사고파는 마켓이다. 나이스해시는 수요일 정오에 성명을 발표했는데 NiceHash 웹 사이트에 보안 침해가 있었으며, 지불 시스템이 완전히 침해당해 나이스해시의 비트코인 지갑을 도둑맞았다고 발표했다. 나이스해시가 정확한 금액을 밝히지는 않았지만, 추정되는 금액은 약 6천만 달러에 달할 것으로 보인다.
우버^(Uber)가 해킹한 사람을 확인하고 추가 사고를 막기위해 정보 공개를 하지 않겠다는 약속을 받는 목적으로 10만 달러의 금액을 그들의 버그바운티 프로그램^{(bug bounty program)}에서 지불한 것으로 로이터 통신이 보도했다. 로이터 통신이 이 침해사고에 대해 잘 알고있는 익명의 소식통으로부터 입수한 바에 따르면, 해커는 20세의 플로리다의 남성으로 우버는 이 사람의 컴퓨터에서 포렌식 수사를 진행했으며, 훔친 정보를 삭제한 것이 맞는지 확인하는 과정을 거쳤다.
유명 키보드 앱이 3100만명의 사용자 개인정보를 수집하고 이 정보를 유출시키는 사고가 있었다. 문제는 앱 제조사의 데이터베이스가 비밀번호로 보호되고 있지 않았기 때문이었다. 서버는 전세계 4000만명 이상의 사용자가 사용하는 개인화 가능한 온스크린^(on-screen) 키보드 앱인 AI.type의 공동설립자 Eitan Fitusi의 소유다. 서버가 비밀번호로 보호되어있지 않아서 누구나 사용자 레코드에 접근이 가능했고, 데이터베이스에는 577기가바이트 이상의 민감 정보가 존재했다. 해당 내용을 발견한 Kromtech Security Center에서 연락을 취한 후 보안설정이 되었으나, Fitusi는 이에대한 답변을 하지 않았다. 노출된 데이터는 사용자 이름, 이메일 주소, 앱 설치기간 이었고, 사용자의 도시와 국가와 같은 위치정보도 포함되어 있었다. 무료버젼을 사용하는 사용자 정보는 더 자세한 정보도 존재했다. 장치의 IMSI와 IMEI 번호, 장치의 제조번호 및 모델정보, 화면 해상도, 안드로이드 정보와 같은 중요 정보들도 존재했다. (6일에서 이어짐)

Detailed News List

NiceHash got Hacked
- _{[InfoSecurityMagazine]}
  $64m in Bitcoin Stolen from NiceHash Mining Platform
- _{[SecurityAffairs]}
  NiceHash: security breach leads to 60 million lost – Iceman is behind?
- _{[NakedSecurity]}
  NiceHash cryptomining exchange hacked; everything’s gone
- _{[DarkReading]}
  Bitcoin Miner NiceHash Hacked, Possibly Losing $62 Million in Bitcoin
- _{[InformationSecurityBuzz]}
  $60 Million Worth Of Bitcoin Stolen From Cryptocurrency Site
- _[TripWire]
  NiceHash Temporarily Ceases Operations Following Security Breach
- _[ZDNet]
  Bitcoin exchange NiceHash hacked, $68 million stolen
- _{[SecurityAffairs]}
  NiceHash Hacked – Crooks have allegedly stolen $60m worth of Bitcoin
- _{[TheHackerNews]}
  Largest Crypto-Mining Exchange Hacked; Over $70 Million in Bitcoin Stolen
- _{[HelpNetSecurity]}
  NiceHash suffers security breach, around $70 million in Bitcoin stolen
- _[HackRead]
  Cryptocurrency mining market NiceHash hacked; $67m might be stolen
- _{[TheRegister]}
  NiceHash diced up by hackers, thousands of Bitcoin pilfered
Uber Hacking
- _{[DarkReading]}
  Uber Used $100K Bug Bounty to Pay, Silence Florida Hacker: Report
- _[ZDNet]
  Uber paid 20-year-old man to hide hack, destroy data
- _{[TheHackerNews]}
  Uber Paid 20-Year-Old Florida Hacker $100,000 to Keep Data Breach Secret
- _[Reuters]
  Exclusive: Uber paid 20-year-old Florida man to keep data breach secret – sources
Keyboard App
- _{[GrahamCluley]}
  Oops! This Android keyboard app accidentally leaked 31 million users’ personal details
- _{[WeLiveSecurity]}
  Virtual keyboard app exposes personal data of 31 million users
- _{[EHackingNews]}
  Misconfigured Ai.Type Virtual Keyboard Database Exposes 31 Million Users’ Personal Data
- _{[EHackingNews]}
  Personal data of 31 million Android users of virtual keyboard app revealed

Industrial/Infrastructure/Physical System/HVAC/SCADA

Summaries

다수의 산업용 지멘스^(Siemens) 제품들에서 심각한 취약점이 발견되었다. 다수의 산업용 장비들에서 공격자가 원격으로 시스템을 서비스거부^{(DoS, Denial-of-Service)} 상태로 만들 수 있는 취약점이 발견되었다. 이 취약점은 CyberX의 연구가들에 의해 지멘스에 보고되었으며, CVE-2017-12741로 높은 심각성^{(high severity)}등급으로 분류되었다. 지멘스에 따르면 영향받는 제품들은 SIMATIC S7-200 Smart micro-PLCs for small automation applications, 일부 SIMATIC S7 CPUs, SIMATIC WinAC RTX 소프트웨어 컨트롤러^{(software controllers)}, SIMATIC ET 200 PROFINET 인터페이스 모듈^{(interface modules)}, SIMATIC PN/PN 커플러^(couplers), SIMATIC Compact field units, PROFINET IO의 개발 도구^{(development kits)}, SIMOTION 동작 제어 시스템^{(motion control systems)}, SINAMICS 컨버터^(converters), SINUMERIK CNC 자동화 제품^{(automation solutions)}, SIMOCODE 모터 관리 시스템^{(motor management systems)}, SIRIUS 3RW motor soft starters 다.

Detailed News List

Siemens Products
- _{[SecurityWeek]}
  Serious Flaw Found in Many Siemens Industrial Products
- [Siemens]
  SSA-346262: Denial-of-Service in Industrial Products(PDF)

Internet of Things

Summaries

다수의 차량을 포함한 온갖 기기들이 점차 더 많이 네트워크에 연결되기 시작하면서, 이를 걱정하는 기사들이 이어지고 있다. 해커들이 인터넷에 접속된 차량에 침입하게 되면 에어백이나 브레이크, 잠금장치 등을 무력화 할 수 있고 차량을 훔칠 수도 있다. 최근에 테슬라^(Tesla)차량이 중국 해커들에 의해 해킹된 최근의 사건에 주목할만 하다.
사토리^(Satori)봇넷이라 이름 붙은, 라우터^(Router)의 제로데이에 기반한 봇넷 공격이 임박했다고 하는 기사가 나왔다. 새로운 Mirai 변종이 공격준비가 끝났다는 것이다. 14개월 전 소스코드가 공개된 이후, 봇넷 운영자들은 새로운 버젼을 계속적으로 릴리즈해 왔다. 가장 최근의 변종에서는 근래에 발견된 가정 및 소규모 사무실용으로 많이 사용되는 라우터를 취약점을 공격하는 기능이 들어가있다. 이 취약점은 강력한 암호를 설정해 놓고너 원격 관리기능^{(remote administration)}을 꺼 놓아도 공격가능하다. 영향을 받는 화웨이^(Huawei) 장치 중 하나는 EchoLife Home Gateway이고 다른 하나는 Huawei Home Gateway다. 약 90,000에서 100,000대의 새로 감염된 장치들이 두 화웨이 라우터 모델 중 하나다. 새로운 악성코드는 다른 장치들을 대상으로 공격하기 위한 65,000개의 사용자 이름 및 비밀번호 사전을 갖추고있다. (6일에서 이어짐)

Detailed News List

Driverless cars
- _{[UpstateBusinessJournal]}
  Cybersecurity concerns surround the promise of driverless cars
- _[ZDNet]
  No, we’re not trying to get backdoors in smart homes, cars, says Germany
- _{[EHackingNews]}
  Rising peril of autonomous vehicles due to cyber attacks
Satori Botnet
- _{[InformationSecurityBuzz]}
  Satori Botnet

Deep Web/DarkNet/Onion/Underground Market

Summaries

안드로이드 랜섬웨어 킷^{(Android Ransomware Kits)}이 다크넷에서 붐이 일고 있다. 이번해에 지금까지 5,000개 이상의 안드로이드 랜섬웨어 킷이 존재하는 것이 확인되었으며, 평균 가격은 $200이다. 대다수의 랜섬웨어 키트는 여전히 윈도우즈 시스템을 대상으로 하고있다. 그러나 새로나온 리포트에 따르면, 안드로이드 랜섬웨어 키트가 비싼 값에 거래되고 있으며, 그 판매량과 가격이 증가할 것으로 예상된다. 안드로이드 랜섬웨어 키트는 윈도우즈 랜섬웨어 키트가 평균 $10라는 가격에 판매되는 것에 비해 평균 $200라는 20배 높은 가격으로 판매되고 있다고 카본블랙^{(Carbon Black)}이 발표했다. 이 랜섬웨어 키트의 가격은 $250에서 $850선이다.

Detailed News List

Android Ransomware Kit
- _{[DarkReading]}
  Android Ransomware Kits on the Rise in the Dark Web

Crypto Currencies/Crypto Mining

Summaries

StorageCrypt 랜섬웨어가 SambaCry 익스플로잇을 사용해 NAS 장치들을 노리고있다. 새로운 종류의 랜섬웨어가 5월에 패치된 SambaCry 취약점을 사용해 NAS^{(Network-Attached Storage)} 장치를 노리고 있다. StorageCrypt라 명명된 이 랜섬웨어는 0.4에서 2비트코인을 암호화 파일을 풀어주는 것에 대한 몸값으로 요구한다. NAS 장치를 감염시키기 위해서 StroageCrypt는 리눅스 삼바^(Samba) 취약점^{(CVE-2017-7494)}을 이용한다. (7일에서 이어짐)

Detailed News List

StorageCrypt
- _{[SecurityAffairs]}
  The StorageCrypt ransomware is the last malware in order of time exploiting SambaCry to target NAS Devices

Security Newsletters, 2017 Nov 28th, BitCoinGold 악성코드 외

Posted on 2017-11-28 - 2017-11-28 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

세계 최대 규모의 스팸 봇넷인 Necurs가 Scarab 랜섬웨어를 유포중이라는 경고 기사가 이어지고 있다. 전세계 컴퓨터로 시간당 2,000,000건 이상의 스팸메일을 전송하고 있다.
이라크 해커 그룹인 Daeshgram이 IS의 공식 홈페이지를 대상으로 공격해 포르노 이미지를 홈페이지에 올렸다. Daeshgram의 회원들은 이 공격의 동기는 ISIS 지지자들 사이에 그룹의 리더로부터 전달되는 메시지에 대한 불신을 확산시키기 위함이라고 답했다.
코발트 그룹^{(Cobalt group)}이 이번달 초 패치된 마이크로소프트 오피스^{(Microsoft Office)}의 수식 편집기^{(Equation Editor)}에 존재하는 17년 된 취약점 ^{CVE-2017-11882}를 공격하고 있다. 과학 및 수학 수식을 만들기 위한 구성요소인 수식편집기는 오피스 2007에서 교체되었지만, 하위 호환성을 위해 계속 포함되어 있었다.

Detailed News list

Necurs sends Scarab Ransomware
- _{[TheHackerNews]}
  World’s Biggest Botnet Just Sent 12.5 Million Emails With Scarab Ransomware
- _{[InformationSecurityBuzz]}
  Millions Of Spam Emails Found Carrying SCARAB Ransomware
- _{[InfoSecurityMagazine]}
  Scarab Ransomware Uses Necurs to Spread to Millions of Inboxes
ISIS official website hacked
- _{[EHackingNews]}
  ISIS official website filled with Pornographic images
Microsoft Office Equation Editor
- _{[SecurityWeek]}
  Cobalt Hackers Exploit 17-Year-Old Vulnerability in Microsoft Office

Malwares/Exploits/Vulnerabilities

Summaries

이란 웹 개발자 Pouya Drabi가 이번달 초 페이스북에서 누구든지 어떤 사진이든 삭제할 수 있는 취약점을 발견했다. 이 취약점은 이번 달 초 페이스북이 새로 소개한 GIF 등의 사진을 포함한 투표를 올리는 기능에 있었다. Darabi의 분석결과, 새로운 투표를 생성하는 기능에서 페이스북 서버로 보내는 이미지ID나 GIF URL을 페이스북의 기타 다른 사진의ID로 누구나 수정할 수 있었다. 이렇게 바꿔서 보낸 이미지ID는 투표에 보여지게 되고, 투표 생성자가 해당 포스트를 삭제하게 되면 해당 사진도 삭제된다. 페이스북은 이 취약점을 11월 5일에 수정했다.
아이폰X의 페이스아이디^(FaceID)를 약 150달러짜리 가면을 통해 인증을 통과했었던 베트남의 사이버보안 기업인 Bkav가 이번에는 새로운 가면으로 다시 시도한 페이스아이디 인증 통과 내용을 공개했다. 이번에는 약 200달러로 가면을 만들었는데, 이전과는 다르게 3D 프린터로 전체 얼굴을 찍어낸 후 눈만 2D 프린팅을 해서 붙인 가면으로 통과했다.
테러_(Terror) 익스플로잇킷_{(Exploit Kit)}이 모두 HTTPS 통신으로 전환했다. Malwarebytes가 27일 작성한 내용에 따르면, 지난 몇 개월 동안 테러 익스플로잇 킷을 추적한 결과 그것의 리다이렉션 메커니즘과 기반구조에서 눈에띄는 변화가 있었다. 예측 가능한 URI 패턴과 배포 채널을 사용하는 RIG 익스플로잇 킷과는 다르게, Terror 익스플로잇 킷은 악성광고 체인에서 고정된 리퍼러를 사용하지 않고, 몇몇 경우에서는 다중 단계의 필터링을 조합하거나 전달 순서 전체에 HTTPs를 사용하는 등 지속적으로 탐지 회피를 시도한다.

Detailed News List

Facebook Polls Bug
- _{[SecurityAffairs]}
  Researcher found a vulnerability in Facebook polls that allowed removal of any photo
- _{[TheHackerNews]}
  Another Facebook Bug Allowed Anyone to Delete Your Photos
- _{[GrahamCluley]}
  Facebook flaw allowed unauthorised users to delete any photo
- _{[SecurityWeek]}
  Facebook Flaw Allowed Removal of Any Photo
- _{[NakedSecurity]}
  How one man could have deleted any image on Facebook
- _{[TheRegister]}
  That $10,000 Facebook bug: Photos shafted, addicts screwed by polls
- _[HackRead]
  Deleting anyone’s Facebook photo, a bug that earned researcher $10,000
FaceID
- _[Forbes]
  Apple Face ID ‘Fooled Again’ — This Time By $200 Evil Twin Mask
Terror Exploit Kit
- _{[MalwareBytes]}
  Terror exploit kit goes HTTPS all the way

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

NHS가 2천만 파운드 규모의 자금을 새로운 사이버보안 센터를 건립해 화이트햇 해커를 사용해 지속적으로 공격에 대한 검사를 하고 기관의 방어에 대한 검증을 하는데 투자할 예정이다. NHS는 이 금액을 “전체 의료 및 복지 시스템에 대한 국가적인, 실시간에 근접한 모니터링과 경보 서비스”를 만드는데 사용할 예정이라고 밝혔다.
블룸버그 보도에 따르면, 백악관의 다수의 출처로부터 도널드 트럼프 대통령이 백악관 직원이 개인 전화를 일터에서 사용하지 못하도록 금지하려 한다는 제보가 계속되고 있다. 직원들은 가족이나 학교, 의사와 연락할 수 없다는 것에 대해 걱정하고 있다. 백악관의 공식 통신 장치는 문자를 보낼수 없으며, 일부 직원들은 백악관에서 제공하는 전화로 개인적인 통화를 해서 문제에 휩쓸릴 것 대해서 우려하고 있다. 백악관의 네트워크는 이미 직원들이 Gmail이나 Outlook, Skype, Google Hangouts과 같은 유명 인터넷 통신 사이트에 접근하는 것을 차단했다.
세명의 중국인이 세 개의 기업, 무디스 애널리틱스_{(Moody’s Analytics)}, 트림블_(Trimble), 지멘스_(Siemens)를 해킹해 민감정보와 거래비밀 수 기가바이트를 훔친 사이버범죄 혐의로 기소당했다. 미 사법부는 이들이 중국의 정보 기술 유한 회사 Boyusec 소속이며, 사이버보안 연구자들에 의해 중국 정부으 후원을 받는 사이버 스파이 그룹과 연계되어 있다고 말했다. 사법부에 따르면 기소당한 세명의 이름은 Wu Yingzhuo, Dong Hao, Xia Lei다.

Detailed News List

NHS to hire white hat
- _{[TheInquirer]}
  NHS to hire white hat hackers as part of £20m cybersecurity investment
- _{[TheRegister]}
  Looking for scrubs? Nah, NHS wants white hats – the infosec techie kind
- [FierceBiotech]
  UK to hire hackers in $27M health cybersecuritypush
- _[ZDNet]
  After WannaCry ransomware attack, the NHS is toughening its cyber defences
White House bans personal phones at work
- _[ZDNet]
  Trump considering banning White House staffers’ personal phones
DoJ charged three chienese
- _[Forbes]
  Hackers Linked To Dangerous Chinese Group Charged With Stealing 400GB Of Data From Siemens (Forbes)
- _{[SecurityWeek]}
  U.S. Indicts Chinese For Hacking Siemens, Moody’s

Data Breaches/Info Leakages

Summaries

영국의 한 엘리트 클럽이 회원 5천명의 데이터가 도난당했다고 발표했다. 이 사건은 런던에 위치한 옥스퍼드 및 캠브릿지 클럽의 사무실에 있는 백업 컴퓨터 드라이브를 훔쳐서 발생했다. 이 드라이브에는 100명의 직원과 5000명의 회원들의 이름, 이메일 주소, 전화번호, 생일, 사진, 은행정보등이 포함되어 있었다. 신용카드 정보는 도둑맞은 데이터에 포함되지 않았다.
BulletProof Coffee가 해킹당했다. 실리콘밸리 출신의 사업가가 만든 방탄커피^{(BulletProof Coffee)}가 해킹당해 웹사이트에 악성 코드가 삽입되었고, 사용자의 신용카드 정보를 몇달간 탈취해온 것으로 드러났다. 도난당한 정보는 은행 카드 번호, 만료일자, 보안코드번호^(CVV), 이름, 주소, 이메일 주소다.

Detailed News List

UK Club Data Breach
- _[TripWire]
  Elite UK Club Announces Theft of 5,000 Members’ Data
BulletProof is not bulletproof
- _{[TheRegister]}
  Bulletproof Coffee lacks bulletproof security: Nerd brain juice biz hacked, cards gulped

Industrial/Infrastructure/Physical System/HVAC/SCADA

Summaries

해커들이 대형 선박의 균형을 맞추기 위한 적재 계획 소프트웨어^{(Load Planning Software)}를 공격할 수 있다는 기사가 나왔다. 선박에서 사용하는 적재 계획 소프트웨어가 보안 메시징 시스템을 사용하지 않고 개발되었으며, 운송라인, 터미널, 항만 당국 사이에 오가는 메시지가 존재한다. 매일 대형 선박들은 BAPLIE라 불리는 시스템으로 200,000톤 가량의 무게를 나르는 수천개의 컨테이너를 처리하는데, 이 시스템은 항만 당국에 각각의 컨테이너가 어디에 위치할지에 대해 알린다. 그러나 업데이트 되지 않은 시스템을 사용하면, 사이버 범죄자들이 세관으로 보내는 정보를 조작해 실제 내용과 무게를 바꿀 수 있다.

Detailed News List

Load Planning Software
- _[HackRead]
  Hackers can Exploit Load Planning Software to Capsize Balance of Large Vessels

Social Engineering/Phishing/Con/Scam

Summaries

블랙프라이데이 할인행사 기간과 관련된 온라인 사기 사건에 대한 경고에 이어, 이제는 연말 할인 행사 및 크리스마스 시기를 노리는 온라인 사기에 대한 경고가 이어지고 있다.
영국의 머니뮬^{(Money Mule)}이 2013년에 비해 그 수가 두배로 늘어났다. 젊은 층에서 범죄를 통해 얻은 자금을 돈세탁하기 위해 은행 계좌를 사용하는 경우가 75% 증가했다고 Cifas 통계가 밝혔다. 사기예방서비스^{(Fraud Prevention Service)}는 2017년 1월에서 9월까지 8652건을 탐지했다고 밝혔다. 지난해 같은 기간에 비해 크게 늘어난 수치다. 소위 머니뮬^{(Money Mule)}은, 범죄자들에게 자신의 은행계좌를 사용해 범죄를 통해 얻은 수익을 계좌이체 할 수 있게 하고, 수사에서 흔적을 감추는데 도움을 주는것을 말한다. 대부분 돈을 인출해 해외로 전송하며, 그러한 행위의 댓가로 돈을 얻는다.

Detailed News List

Deal Scams
- _[MyPolice]Keep safe this Christmas while shopping online
- _[ZScaler]
  Black Friday Deals: Trojans, Phishing, and Crypto Coin Mining
- _{[BusinessReviewAustralia]}
  Cyber Monday: Most Australian businesses not prepared for cybercrime, says Allianz
Money Mule Doubles
- _{[InfoSecurityMagazine]}
  Number of Young UK Money Mules Doubles Since 2013

Crypto Currencies/Crypto Mining

Summaries

BitCoin Gold가 MyBTGWallet 사기 사건 이후 또다른 문제를 겪고 있는 것으로 보인다. BTG 팀은 누군가가 그들의 Github 프로젝트 저장소에 접근하여 컴파일된 윈도우즈 파일을 다른 것으로 바꿔치기 한 것을 발견했다. BTG의 경고에 따르면, 다운로드 페이지에 있던 링크와 Github 릴리즈페이지의 파일 다운로드가 출처를 알 수 없는 수상한 파일을 약 36시간 가량 배포했다. 윈도우즈용 비트코인골드 지갑을 11월 24일 UTC 13:11에서 11월 25일 UTC 22:30 사이^{(한국시간 11월 24일 22:11 ~ 26일 07:30)}에 다운로드 받은 사람은 악성코드에 감염되었을 가능성이 있다.

Detailed News List

BitCoin Gold
- _{[eHackingNews]}
  Bitcoin Gold wallet compromised, users may have downloaded malware

Technologies/Technical Documents/Statistics/Reports

Summaries

이전에는 호주가 지정학적으로 고립된 이유로 보호받았지만, 인터넷을 기반으로 모든 비즈니스가 이루어지는 지금은 모두가 평등한 “Fair Game”이라는 기사가 나왔다. WannaCry 랜섬웨어로 인해 전 세계 150개국의 수많은 피해가 발생했을 때, 호주 빅토리아^(Victoria)주의 교통카메라가 감염된 사례나, Petya로 인해 태즈마니아 호바트^{(Hobart, Tasmania)}에 위치한 Cadbury사의 초콜릿 공장 생산이 중단된 일을 보면 더이상 안전지대가 아니라는 것이다.

Detailed News List

Fair Game
- _[ZDNet]
  Australia ‘fair game’ when it comes to the threat of a cyber attack

Security Newsletters, 2017 Nov 27th, Mirai 변종 외

Posted on 2017-11-27 - 2017-11-27 by admin

Caution

위 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

코발트 그룹^{(Cobalt group)}이 마이크로소프트 오피스^{(Microsoft Office)}의 취약점 CVE-2017-11882를 표적공격에서 활용하고 있다. 취약점 ^{CVE-2017-11882}에 대한 상세 정보가 공개된지 며칠 지나지 않아, 보안기업 Reversing Lab에서는 사이버 범죄자들에 의해 실제 해당 취약점이 활용되고 있는 것을 확인했다. 활용하는 주체는 악명높은 코발트^(Cobalt) 그룹으로, 전세계 은행 및 금융권을 공격해왔다. 이 취약점은 지난 17년간 릴리즈된 모든 마이크로소프트 오피스에 영향을 주는 메모리 오염^{(Memory corruption)} 취약점으로, 가장 최근의 오피스 365도 영향을 받는다. 모든 버젼의 윈도우를 대상으로 공격이 이루어질 수 있고, 여기에는 가장 최근의 윈도우즈10 크리에이터스 업데이트^{(Windows 10 Creators Update)}도 포함된다.

Detailed News list

Cobalt Group
- _{[SecurityAffairs]}
  The Cobalt group is exploiting the CVE-2017-

Malwares/Exploits/Vulnerabilities

Summaries

새로운 미라이^(Mirai) 변종이 급격히 확산되고 있다. Qihoo 360 Netlab의 보안연구가 Li Fengpei에 따르면, 공개 익스플로잇 데이터베이스^{(Exploit-DB.com)}의 PoC^{(Proof-of-Concept)} 코드(https://www.exploit-db.com/exploits/43105/)가 Mirai 봇넷 활동 증가의 근본 원인이다. 이 익스플로잇이 10월 31일에 공개된 후, 보안전문가들이 익스플로잇을 사용한 스캔이 11월 22일 수요일에 시작되는 것을 확인했다. 이 PoC는 구형 ZyXEL PK5001Z 라우터에 존재하는 취약점 ^{CVE-2016-10401}을 공격하는데, 2016년 1월에 공개된 취약점이다. ZyXEL PK5001Z 라우터는 하드코딩된 최고관리자 비밀번호(zyad5001)가 존재해 사용자 권한을 루트 권한으로 상승하는데 사용될 수 있다. su 명령의 비밀번호로는 장치에 로그인 할 수 없지만, 해커들은 다수의 ZyXEL 장비들이 admin/CentryL1nk 또는 admin/QwestM0dem을 기본 텔넷 인증정보로 사용하는 것을 사용해 공격에 악용하고 있다.
Exim 메일 서비스에서 원격 코드 실행^{(RCE, Remote Code Execution)} 및 서비스거부^{(DoS, Denial of Service)} 취약점이 발견되었다. 이 취약점은 블랙프라이데이에 Phil Pennock에 의해 공개되었다. 버그트래커에 올라온 설명에 따르면, Exim서버는 BDAT 데이터 헤더를 파싱할 때 eMail의 끝을 나타내는 점(.) 문자를 찾는다. BDAT는 MTA가 대량의 첨부파일을 청크^(Chunk)단위로 다루기 위한 서버 지시자^(verb)다. 여기에는 PoC 코드도 포함되어 있는데, 함수포인터 receive_getc가 초기화 되지 않아서 Exim 서버는 스택이 고갈되어 서비스 거부 상태에 처한다. 취약점 번호는 CVE-2017-16944 다.

Detailed News List

A new Mirai variant
- _{[SecurityAffairs]}A new Mirai variant is rapidly spreading, around 100,000 IPs running the scans in the past 60 hours
Exim Mailer RCE/DoS Vulnerabilities
- _{[TheRegister]}
  Exim-ergency! Unix mailer has RCE, DoS vulnerabilities
- _{[National Vulnerability Database]}
  CVE-2017-16944 Detail

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

러시아 해커들이 미국 관리들을 지속적으로 표적으로 삼아 공격해오고 있지만, 이에 대해 FBI의 경고가 제대로 이루어지지 않았다는 기사가 나왔다. 해커들이 미 공군^{(U.S. Air Force)} 사이버보안 전 책임자^{(former head of cybersecurity)}, 국가 보안 회의^{(National Security Council)} 전 이사^{(ex-director)}, 국방 정보국^{(Defense Intelligence Agency)} 전 국장^{(former head)}을 공격대상으로 삼고 있다. Fancy Bear라고 알려진 러시아 해킹그룹이 1년이상 개인 메일을 공격해도 FBI에서는 지속적으로 위험을 경고하는데 실패했다고 AP^{(Associated Press)}의 조사 결과에서 밝혀졌다.

Detailed News List

Russian Hackers Target US officials
- _[WTOP]FBI silent as US officials targeted by Russian hackers