Security Newsletters, 2018 Mar 29th, Kaspersky KLara 오픈소스 공개 外

Posted on 2018-03-29 - 2018-03-29 by admin

Caution

This post is a meta-newsletters that contains links and texts that have been collected approximately for a day from various sources. The titles of news were not provided from original sources, but translated by the writer of this post. So, there could be mis-translation or duplication. I respect the copyright of every articles and their policies. so I am trying to keep it. (of course, and mainly, it’s too much to translate by myself). Accordingly, this post doesn’t have quotation nor the body of article, if any, contact me and it will be removed.

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats/Threat Actors

Summaries

유진 카스퍼스키가 미군에 의한 사이버 작전이었다고 밝힌 슬링샷^(Slingshot) 리포트에 대해서 입장을 밝혔다. 현 카스퍼스키 랩^{(Kaspersky Lab)}의 설립자인 유진 카스퍼스키가 ISIS 및 Al-Qaeda 테러리스트를 상대로 한 사이버 스파이 작전이었다고 밝혔던 슬링샷 연구 리포트에 대해 인터뷰했다. 호주 멜버른에서 열린 Formula One이벤트 후의 호주 언론과의 인터뷰에서 유진 카스퍼스키는 “우리의 X-ray에 대해 비난하지 말라”고 말했다. 그는 “우리의 엑스레이는 어떤 총이든 감지해 울리게 되어있다. 그 총의 주인이 테러리스트건 경찰이건, 누가 그 총을 가지고 있는가에 대해서는 상관하지 않는다. 우린 세계 최고 수준의 X-ray를 제공한다. 그 경보가 돈을 노린 범죄자에 대한 것이었다거나 정보를 찾던 사이버 스파이 행위였다는 것을 알기에는 며칠이 걸릴 수 있다. 우리 X-ray는 어떤 것이든 탐지하도록 만들어졌다.”고 말했다. 그리고 카스퍼스키는 다른 비유를 더 들기도 했다. “물에서 물고기를 낚는 게 우리 일이다. 우린 그 물고기가 무슨 언어를 쓰는지 알 수 없다. 물고기를 보면, 우리는 그 물고기를 잡아야 하는 거다.”

Detailed News list

Slingshot
- _[CyberScoop]
  Eugene Kaspersky defends publishing ‘Slingshot’ report

Malwares

Summaries

ThreadKit이라는 악성코드 제작 키트가 확인되었다. ThreadKit이라 명명된 새로운 Microsoft Office document exploit builder kit이 확인되었다. 이 빌드킷은 다양한 악성코드 유포에 사용되었는데, 그 중에는 원격제어트로이^(RAT)와 뱅킹트로이도 포함되었다. 이 익스플로잇 킷은 2017년 10월에 처음 발견되었다. 그러나 전문가들에 따르면, 사이버 범죄자들은 이 익스플로잇 킷을 최소 2017년 6월부터 사용해 온 것으로 보인다.
GoScanSSH라는 새로운 악성코드가 탐지되었다. 이 악성코드는 온라인에 노출되어있는 SSH 서버를 노린다. 그러나 정부기관 및 군사기관 IP는 피하는 것으로 보인다. 이 악성코드는 지난 2017년 6월 부터 활동해 왔으며, 다양한 고유의 특성을 보인다. 일반적인 악성코드와는 다르게, GoScanSSH는 Go^(Golang)프로그래밍언어로 작성되었다. 그리고 군사시설의 IP는 공격 대상에서 제외한다. 그리고 감염된 시스템에 맞는 악성코드 바이너리를 생성한다. 연구자들에 따르면, GoScanSSH 악성코드의 초기 감염 벡터는 브루트포스 공격이다. 7천개 이상의 사용자이름, 비밀번호가 포함된 워드리스트를 사용한다. 연구자들은 또한 GoScanSSH는 C&C^{(Command and control)} 인프라구조로 Tor2Web 프록시 서비스를 이용해 C&C 인프라에 대한 추적^(Tracking)과 차단^(Takedown)을 어렵게 하고 있다. (28일에서 이어짐)

Detailed News List

ThreadKit
- _{[SecurityAffairs]}
  New ThreadKit exploit builder used to spread banking Trojan and RATs
- _{[SecurityWeek]}
  New “ThreadKit” Office Exploit Builder Emerges
GoScanSSH
- _{[InformationSecurityBuzz]}
  GoScanSSH Malware
- _{[SecurityWeek]}
  GoScanSSH Malware Targets Linux Servers

Exploits/Vulnerabilities

Summaries

마이크로소프트에서 릴리즈한 멜트다운용 패치가 오히려 더 심각한 취약점을 만들어냈다는 기사가 공개되었다. 마이크로소프트가 멜트다운^(Meltdown) 취약점 수정을 위해 릴리즈한 초기 패치들이 윈도우즈 7에서 공격자들이 커널 메모리를 더 빨리 읽을 수 있고 메모리에 쓸 수 있는 오히려 더 심각한 취약점을 만들어 냈다고 개인 보안 연구가가 밝혔다. Ulf Frisk라는 보안 연구가는 마이크로소프트가 공개한 윈도우즈7 패치에 대해서, 공격자가 기기에서 실행중인 모든 유저레벨의 프로세스에 접근할 수 있게 만든다고 밝혔다. 마이크로소프트의 대변인은 이 문제에 대해 인지하고 있으며 해결방안을 찾고 있다고 인터뷰에서 밝혔다. 취약점은 64비트 윈도우즈7(Service pack 1)과 윈도우즈 서버 2008(Service Pack1)에만 영향이 있다.

Detailed News List

Meltdown
- _[CyberScoop]
  Microsoft’s Meltdown patches introduced a whole new vulnerability
- _{[SecurityAffairs]}
  Meltdown security patches issued by Microsoft exposed to severe attacks
- _[ThreatPost]
  Bad Microsoft Meltdown Patch Made Some Windows Systems Less Secure
- _[ZDNet]
  Windows 7 Meltdown patch opens worse vulnerability: Install March updates now
- _{[SecurityWeek]}
  Microsoft Patches for Meltdown Introduced Severe Flaw: Researcher
- _{[TheRegister]}
  Microsoft’s Windows 7 Meltdown fixes from January, February made PCs MORE INSECURE

Vulnerability Patches/Software Updates

Summaries

시스코에서 원격코드실행 버그를 수정하는 보안 패치를 릴리즈했다. 많이 쓰이는 네트워킹 운영체제 IOS XE의 취약점이 수정되었다. 첫번째 취약점은 CVE-2018-0151로 인증되지 않은^{(unauthenticated)} 원격의 공격자가 서비스거부상태를 일으키거나 임의의 코드를 상승된 권한으로 실행시킬 수 있는 취약점이다. 두번째 취약점은 CVE-2018-0171로 Cisco IOS 소프트웨어 및 Cisco IOS XE 소프트웨어의 Smart Install 기능에 존재한다. 이 취약점은 대상 장비에서 무한루프를 발생시키거나 원격 코드 실행을 가능하게 한다.
예정되어 있던 드루팔 코어의 보안 업데이트가 릴리즈되었다. 드루팔에서 긴급 보안 패치를 공개했다. 이 패치에서는 ‘다수의 서브시스템’의 원격 코드 실행^{(remote code execution)} 취약점이 수정되었다. 이 취약점들은 공격자가 드루팔로 만들어진 웹사이트에서 다양한 방법으로 공격할 수 있게 하며, 사이트가 완전히 장악당할 수 있다. 웹사이트를 어떤 웹페이지에서든 공격할 수 있으며, 로그인이나 어떤 권한도 필요하지 않다. 아직은 어떠한 공격 코드도 확인된 바 없으나, 드루팔에서는 공격코드가 누군가에 의해 개발되는데 몇시간 걸리지 않을 것이라 경고했다. 취약점은 CVE-2018-7600으로 드루팔의 코어에 존재하며 버젼 6,7,8에 영향을 미친다.

Detailed News List

Cisco
- _[ThreatPost]
  Cisco Patches Two Critical RCE Bugs in IOS XE Software
- _[US-CERT]
  Cisco Releases Security Updates
Drupal
- _[US-CERT]
  Drupal Releases Critical Security Updates
- _{[TheRegister]}
  Running Drupal? You need to patch, patch, patch right now!

Cyber Intelligence/Open Source Intelligence

Summaries

카스퍼스키가 내부에서 사용하던 도구를 오픈소스화 했다. 카스퍼스키가 내부에서 개발한 distributed YARA scanner를 정보보안 커뮤니티에 대한 보답차원에서 오픈소스로 공개했다. VirusTotal의 소프트웨어 엔지니어 Victor Alvarez에 의해 개발된 YARA는 연구자들이 텍스트나 바이너리의 패턴을 기반으로 위협을 정의해 악성코드를 탐지할 수 있도록 만든 툴이다. 카스퍼스키랩은 KLara라는 이름으로 이 YARA툴의 자신들의 고유 버젼을 개발했다. 대량의 악성코드 샘플을 빨리 스캔할 수 있도록 분산 구조^{(distributed architecture)}에 사용할 수 있는 파이썬 기반 어플리케이션이다.

Detailed News List

Kaspersky
- _{[DarkReading]}
  Kaspersky Lab Open-Sources its Threat-Hunting Tool
- _{[SecurityWeek]}
  Kaspersky Open Sources Internal Distributed YARA Scanner

Mobile/Cloud

Summaries

아이폰 카메라의 QR 기능 및 안드로이드용 QR코드 앱에서 버그와 악성코드가 발견되었다. iOS 카메라 앱에 내장된 QR code 리더의 버그로 인해, 사용자가 악성 웹사이트로 리다이렉트 될 수 있다. 이 취약점은 iPhone, iPad, iPod touch 기기의 최신 애플 iOS 11에 영향을 미친다. 내장 QR code 리더의 URL 파서가 URL의 호스트명을 정확하게 탐지하지 못해 화면에 표시되는 URL과는 다른 웹사이트를 열게 할 수 있다. 알림내용으로는 사파리 브라우저에서 facebook을 접속한다고 뜨지만, 실제로는 다른 웹 사이트에 접속되는 식이다.
안드로이드에서 모네로 암호화폐를 채굴하며 심지어는 스마트폰을 고장내는 악성코드가 발견되었다. 트렌드 마이크로에서 구글 플레이 업데이트로 위장한 모네로 채굴 악성코드를 확인했다. 주요 공격 대상은 중국 및 인도의 사용자인 것으로 보인다. HiddenMiner라 명명된 이 악성코드는 구글 플레이 업데이트 앱으로 위장했다. 앱이 일단 설치되면, 장치 관리자 권한으로 실행하는 것을 요청하며 사용자가 활성화 버튼을 누를때까지 지속적으로 팝업을 표시한다. 악성코드는 감염된 기기의 CPU를 사용해 Monero 암호화폐를 채굴하며, 트렌드마이크로에 따르면 이 채굴은 기기가 과열되어 재부팅 될 때까지 계속된다.

Detailed News List

QR Code Apps
- _{[InformationSecurityBuzz]}
  500,000 People Downloaded Malicious QR Code Apps From Google Play
- _{[GrahamCluley]}
  How a boobytrapped QR code can trick iOS 11 into taking you to a malicious website
- _{[WeLiveSecurity]}
  Be wary when scanning QR codes with iOS 11’s camera app
- _{[SecurityAffairs]}
  A flaw in the iOS camera QR code URL parser could expose users to attacks
- _{[TheHackerNews]}
  QR Code Bug in Apple iOS 11 Could Lead You to Malicious Sites
- _[HackRead]
  3-month old flaw in iPhone camera app takes users to phishing sites
Android HiddenMiner
- _[HackRead]
  HiddenMiner Android Monero Mining Malware Cause Device Failure
- _{[DarkReading]}
  New Android Cryptojacker Can Brick Phones
- _{[InfoSecurityMagazine]}
  HiddenMiner Stealthily Drains Androids for Monero Mining
- _[TrendMicro]
  Monero-Mining HiddenMiner Android Malware Can Potentially Cause Device Failure

Security Newsletters, 2018 Feb 5th, GrandCrab 랜섬웨어 서비스 外

Posted on 2018-02-05 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Deep Web/DarkNet/Onion/Underground Market

Summaries

러시아 언더그라운드에서 GrandCrab 이라는 랜섬웨어 서비스^{(RaaS, Ransomware as a Service)}가 확산되고 있다. 보안기업 LMNTRIX의 전문가들에 의하면, GrandCrab이라 명명된 새로운 랜섬웨어 서비스^{(Ransomware-as-a-service)}가 발견되었으며, 다크웹의 러시아의 해킹 커뮤니티에 광고중이다. 조사결과에 따르면 서비스 제작자는 RIG와 GrandSoft 익스플로잇 킷^{(exploit kit)}을 사용해 악성코드를 유포하는 것으로 보인다.

Detailed News List

RaaS
- _{[SecurityAffairs]}
  GandCrab, a new ransomware-as-a-service emerges from Russian crime underground

Crypto Currencies/Crypto Mining

Summaries

Bee Token ICO에서 피싱메일로 100만 달러 이상 규모의 ETH를 도둑맞았다. 피해자들은 범인이 보낸 피싱 메일에 속아, 범인의 지갑으로 백만달러 이상의 이더리움을 ICO^{(Initial Coin Offering)} 투자금으로 전송했다. 비 토큰^{(Bee token)}은 블럭체인 기반의 홈 셰어 서비스다. 비 토큰은 ICO를 지난 1월 31일에 시작해 2월 2일에 종료했고, 약 500만 달러 가량을 모았다. ICO 기간에 걸쳐, 이 범인들은 Bee token ICO로 위장한 피싱메일을 발송했다.

Detailed News List

Bee Token
- _{[SecurityAffairs]}
  More than 1 million worth of ETH stolen from Bee Token ICO Participants with phishing emails

Security Newsletters, 2017 Dec 6th, 이메일 스푸핑 MailSploit 外

Posted on 2017-12-06 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

키릴^(Cyril)문자를 사용한 도메인으로 RIG Exploit Kit으로 이끄는 Seamless 캠페인이 진행되고 있다. Seamless 캠페인은 RIG Exploit Kit과 Ramnit Trojan을 유포하는 가장 많은 체인 중 하나다. Seamless의 탐지는 고정 문자열과 IP URL을 사용해 탐지가 쉬웠으나, 최근 탐지된 병행되는 캠페인에서는 특수문자를 사용하고 있다. IP 주소를 사용하는 대신, 키릴문자 기반의 도메인명을 사용한다.

Detailed News list

New Seamless Campaign
- _{[MalwarebytesLabs]}
  Seamless campaign serves RIG EK via Punycode

Malwares/Exploits/Vulnerabilities

Summaries

30개 이상의 유명 이메일 클라이언트에 영향을 미치는 Email 스푸핑 취약점이 발견되었다. 다른 사람이 보낸 메일인 것처럼 위장할 수 있는 취약점이 발견되었다. MailSploit이라는 이름이 붙은 이 취약점은 Apple Mail^{(macOS, iOS, watchOS)}, Mozilla Thunderbird, Microsoft email clients, Yahoo Mail, ProtonMail 및 기타 메일클라이언트들에 영향을 미친다. 이 클라이언트들에 DKIM이나 DMARC와 같은 스푸핑 방지 메커니즘이 구현되어 있지만, MailSploit은 이메일 클라이언트와 웹 인터페이스가 From 헤더를 파싱하는 것을 이용한다.
안드로이드 응용프로그램 개발자 도구에서 취약점이 발견되었다. 안드로이드 스튜디오, 이클립스, IntelliJ-IDEA에 취약점이 존재한다고 체크포인트 보안연구가들이 밝혔다. 안드로이드 어플리케이션 패키지 툴^(APKTool), 쿠쿠드로이드^{(Cuckoo-Droid)} 서비스, 기타 안드로이드 어플리케이션 리버스 엔지니어링^{(reverse-engineering)} 도구들 역시 취약점이 존재한다. APKTools의 XML External Entity^(XXE) 취약점은 전체 OS 파일 시스템을 사용자에게 노출시킬 수 있다. 공격자는 악의적인 AndroidManifest.xml 파일을 사용해 XXE 취약점을 공격할 수 있다.

Detailed News List

MailSploit
- _{[InfoSecInstitute]}
  Mailsploit: The Undetectable Spoofing Attack
- _{[TheHackerNews]}
  MailSploit — Email Spoofing Flaw Affects Over 30 Popular Email Clients
Android Application Developer Tools
- _[ThreatPost]
  Developers Targets in ‘ParseDroid’ PoC Attack
- _{[DarkReading]}
  Android Developer Tools Contain Vulnerabilities
- _[CyberScoop]
  Android developer apps suffered from multiple severe vulnerabilities

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

독일 정부가 하드웨어 제조사들에게 제품내 백도어^(Backdoor)를 집어넣게 강제 하고, 역으로 해킹공격^{(hack back)}을 할 수 있게하는 법안을 준비중이다. 이 법안은 법 집행기관이 그들의 수사중에는 백도어를 사용해 정보를 수집할 수 있게 하는데에 목표를 두고 있다. 이 법은 통신, 차량, IoT 제품 등을 포함한 어떠한 산업의 장치든 대상으로 할 수 있다. RedaktionsNetzwerk Deutschland^(RND) 지역 뉴스에 따르면, 이번주에 제안을 제출할 것으로 예상된다.
(5일에서 이어짐) 유출된 인증정보에 대한 유료 서비스를 제공했던 LeakBase가 주말을 지나며 서비스를 종료했다. 이 서비스는 작년 9월 서비스를 시작했고, 주요 해킹사건에서 유출된 20억건의 계정정보를 제공한다고 주장했다. 이 서비스는 2017년 1월에 LeakdSource가 중단되면서 주목을 받았었다. LeakBase는 트위터를 통해 유료서비스에 대한 환불을 진행할 것이라 밝혔다. 서비스를 중단하는 이유는 아직 확실히 밝혀진 것이 없지만, 브라이언 크렙스^{(Brian Krebs)}는 LeakBase 소유자중 한명이 다크웹 마켓 Hansa와 관련이 있을 것으로 보고있다.
(5일에서 이어짐) 역사상 가장 오래되고 널리 퍼진 봇넷 중 하나였던 안드로메다^(Andromeda) 봇넷이 지난주 FBI가 이끈 국제적인 법 집행 작전에 의해 운영이 종료되었다. 유로폴에 따르면, 안드로메다 봇넷의 악성코드 기반구조는 해체되었고, 신원이 확인되지 않은 한명의 용의자가 벨라루스에서 체포되었다. 2011년에 처음 등장한 안드로메다는 마이크로소프트에 따르면, 지난 6개월간 매달 평균 100만개의 장치들에서 발견되었다. 이 악성코드는 2016년 최고 스팸 캠페인들중 하나의 배후이며, 침해당한 웹사이트나 광고 네트워크에서 자주 발견되는 악성코드 최대 80 종^(families)과 관련이 있는 봇넷이다.
(5일에서 이어짐) 친구를 조기석방 시키려던 미시건 주의 남성이 체포되어 감옥신세를 지게 됐다. Konrads Voits라는 27세의 남성은 Washtenaw Country 정부 컴퓨터 시스템에 친구를 조기석방 시키려는 목적으로 악성코드를 설치한 혐의에 대해 유죄를 인정했다. 시도는 성공하지 못했고 그는 경찰에 의해 체포되었다. 법원 문서에 따르면, Voits는 1월에 Washtenaw와 유사한 피싱 도메인 ewashtenavv.org w대신 v두개를 사용해 만들었다. 그리고 피싱 이메일과 소셜 엔지니어링으로 악성코드를 설치하게 했다. 계속적인 공격으로 죄수를 감시하는 Xjail 컴퓨터 시스템을 포함해 직원 1,600여명의 로그인 정보를 획득했으나, 이러한 시도들이 탐지되어 결국 체포되었다.
(5일에서 이어짐) 여러 영국 하원^{(MP, Member of Parliament)}의원들이 자신들의 해이한 보안의식을 드러내면서 정부의 사이버보안 규정에 대한 의문이 일고있다. Mid Bedfordshire의 하원의원인 Nadine Dorries는 지난 주말 여러 트윗을 통해 그녀의 직원이 자신의 비밀번호를 사용해 자신의 의회 사무실 컴퓨터에 로그인 한 것을 드러냈다. 그리고 “교환 프로그램의 인턴까지” 포함해 그녀의 직원들이 그녀 인증정보를 사용해 Nadine의 이름으로 이메일을 보내기도 한다고 덧붙였다.
(4일에서 이어짐) 드론제조사 DJI가 중국을 위해 스파이 활동을 했다고 혐의를 추궁하는 국토안보부의 메모가 유출되었다. 지난 주 유출된 메모는 로스엔젤레스 출입국 및 세관 집행국 사무실^{(Immigration and Customs Enforcement bureau, ICE)}에서 8월에 작성되었다. 이 메모에서 로스엔젤레스 SIP는 “중국 기반 회사인 DJI Science and Technology가 미 주요 국가기반시설^{(infrastructure)} 및 법 집행 정보를 중국 정부에 제공하고 있음을 어느정도 확신^{(moderate confidence})”한다고 주장하고 있다. 그리고 DJI가 이 분야의 정부 및 사설 객체들을 민감한 미국 정보의 수집 및 악용^{(collect and exploit)}하는 자신들의 능력을 확장하는데 선택적으로 타게팅하고 있음을 매우 확신한다^{(High confidence)}라고 기록했다.
(3일에서 이어짐) 뉴저지^{(New Jersey)} Bergen의 Tenafly 고등학교 학생이 자신이 다니는 학교의 컴퓨터 시스템을 성적을 조작해 아이비 리그 대학의 입학승인을 받으려 한 혐의로 기소당했다. NorthJersey.com에 따르면, 기소당한 16세의 학생은 컴퓨터 시스템에 해킹해 들어가 등급과 전체 평점^{(GPA, Grade Point Average)}을 조작했다. 이 학생은 대학 지원서와 함께 조작된 성적을 보내기까지 했다. 그러나 이 사기가 밝혀지면서 행정처에서는 지원서를 모두 회수했다.

Detailed News List

German Goverment prepares Law for backdoors and hacking back
- _[SlashDot]
  Germany Preparing Law for Backdoors in Any Type of Modern Device
- _{[SecurityAffairs]}
  German Government prepares Law for backdoors and hacking back
- _[TechDirt]
  German Government Official Wants Backdoors In Every Device Connected To The Internet
LeakBase goes dark
- _{[InfoSecurityMagazine]}
  Breached Password-Trading Site Leakbase Goes Dark
- _{[SecurityAffairs]}
  Hacked password service Leakbase shuts down, someone suspects it was associated to the Hansa seizure
- _{[TheRegister]}
  Turns out Leakbase can keep a secret: It has shut down with zero info
Andromeda(Gamarue) Botnet Take Down
- _{[TheInquirer]}
  Andromeda botnet busted by a bunch of spooks and cyber security boffins
- _[CyberScoop]
  Andromeda botnet mastermind arrested in Belarus, identified by his ICQ number
- _[ZDNet]
  A giant botnet behind one million malware attacks a month just got shut down
- _{[InfoSecurityMagazine]}
  Global Police Dismantle Andromeda Botnet
- _{[DarkReading]}
  FBI, Europol, Microsoft, ESET Team Up, Dismantle One of World’s Largest Malware Operations
- _{[TheRegister]}
  International team takes down virus-spewing Andromeda botnet
Facing Jail for Hacking Jail
- _{[TheRegister]}
  Prison Hacker Who Tried To Free Friend Now Likely To Join Him Inside
- _{[HelpNetSecurity]}
  Hacker who tried to spring friend from jail will end up in prison himself
- _{[GrahamCluley]}
  How a hack almost sprung a prisoner out of jail
- _[TripWire]
  How a hack almost sprung a prisoner out of jail
- _{[TheHackerNews]}
  Young Hacker, Who Took Over Jail Network to Get Friend Released Early, Faces Prison
- _[HackRead]
  Man hacks prison computers; alter records for pal’s early release
MPs’ lax cybersecurity practices
- _{[NakedSecurity]}
  Politicians boast about sharing passwords, bask in blissful ignorance
- _{[SecurityWeek]}
  UK Members of Parliament Share Passwords with Staff
DJI Drone
- _[CSOOnline]
  Leaked DHS memo accuses drone maker DJI of spying for China
- _{[SecurityAffairs]}
  DJI drones may be sending data about U.S. critical infrastructure and law enforcement to China
- _{[GrahamClueley]}
  DJI drones likely spying for China, claims leaked intelligence bulletin
Student hacks school’s computer system to alter grades
- _{[NakedSecurity]}
  High schooler hacks his way to a higher GPA
- _{[GrahamCluley]}
  Modern-day ‘Ferris Bueller’ hacks school, changes grades, applies to Ivy League colleges

Vulnerability Patches/Software Updates

Summaries

구글이 12월 패치에서 다수의 픽셀^(Pixel)과 넥서스^(Nexus) 취약점 수정했다. 2017-12-01 보안 패치레벨은 6개의 Critical 취약점과 13개의 High 등급 취약점을 수정한다. 프레임워크(3개의 High 등급 권한상승버그), 미디어 프레임워크(5개의 Critical 원격 코드 실행, 2개의 High 권한상승, 4개의 High 서비스거부 버그), 시스템 컴포넌트(1개의 원격코드실행, 1개의 High 권한상승, 3개의 High 정보노출)다. 2017-12-05 보안 패치레벨은 4개의 Critical 취약점과 24개의 High 등급 취약점을 수정한다. 취약점은 커널 컴포넌트(4개의 High 권한상승), MediaTek 컴포넌트(3개의 High 권한상승), NVIDIA 컴포넌트(3개의 High 권한상승), Qualcomm 컴포넌트(3개의 Critical 원격코드실행, 6개의 High 권한상승), Qualcomm 비공개소스 컴포넌트(1개의 Critical, 8개의 High 비공개 취약점)다.

Detailed News List

Google Android December Patches
- _[ZDNet]
  Android security: Google details Pixel and Nexus vulnerabilities in December bulletin
- _{[SecurityWeek]}
  Android’s December 2017 Patches Resolve Critical Flaws
- _[ZDNet]
  Android security alert: Google’s latest bulletin warns of 47 bugs, 10 critical
- _{[TheRegister]}
  Google prepares 47 Android bug fixes, ten of them rated Critical

Data Breaches/Info Leakages

Summaries

유명 키보드 앱이 3100만명의 사용자 개인정보를 수집하고 이 정보를 유출시키는 사고가 있었다. 문제는 앱 제조사의 데이터베이스가 비밀번호로 보호되고 있지 않았기 때문이었다. 서버는 전세계 4000만명 이상의 사용자가 사용하는 개인화 가능한 온스크린^(on-screen) 키보드 앱인 AI.type의 공동설립자 Eitan Fitusi의 소유다. 서버가 비밀번호로 보호되어있지 않아서 누구나 사용자 레코드에 접근이 가능했고, 데이터베이스에는 577기가바이트 이상의 민감 정보가 존재했다. 해당 내용을 발견한 Kromtech Security Center에서 연락을 취한 후 보안설정이 되었으나, Fitusi는 이에대한 답변을 하지 않았다. 노출된 데이터는 사용자 이름, 이메일 주소, 앱 설치기간 이었고, 사용자의 도시와 국가와 같은 위치정보도 포함되어 있었다. 무료버젼을 사용하는 사용자 정보는 더 자세한 정보도 존재했다. 장치의 IMSI와 IMEI 번호, 장치의 제조번호 및 모델정보, 화면 해상도, 안드로이드 정보와 같은 중요 정보들도 존재했다.

Detailed News List

Keyboard App
- _{[TheHackerNews]}
  Massive Breach Exposes Keyboard App that Collects Personal Data On Its 31 Million Users
- _[ZDNet]
  A popular virtual keyboard app leaks 31 million users’ personal data

Industrial/Infrastructure/Physical System/HVAC/SCADA

Summaries

독일에 기반을 둔 WAGO의 PLC^{(Programmable Login Controller)}에서 취약점이 발견되었다. SEC Consult의 보안연구가에 의해 발견된 이 취약점은, 리눅스 기반의 WAGO PFC200 PLC 시리즈에 영향을 미친다. 보안 취약점은 CODESYS 런타임 툴킷 2.4.7.0 버젼 때문인데, 이 임베디드 소프트웨어는 3S^{(Smart Software Solutions)}에 의해 개발되었고 기타 산업 컨트롤러와 수백개의 PLC들을 제조하는 여러 제조사에서 사용한다.

Detailed News List

WAGO PLCs
- _{[SecurityWeek]}
  Critical Flaw in WAGO PLC Exposes Organizations to Attacks

Internet of Things

Summaries

라우터^(Router)의 제로데이에 기반한 봇넷 공격이 임박했다고 하는 기사가 나왔다. 새로운 Mirai 변종이 공격준비가 끝났다는 것이다. 14개월 전 소스코드가 공개된 이후, 봇넷 운영자들은 새로운 버젼을 계속적으로 릴리즈해 왔다. 가장 최근의 변종에서는 근래에 발견된 가정 및 소규모 사무실용으로 많이 사용되는 라우터를 취약점을 공격하는 기능이 들어가있다. 이 취약점은 강력한 암호를 설정해 놓고너 원격 관리기능^{(remote administration)}을 꺼 놓아도 공격가능하다. 영향을 받는 화웨이^(Huawei) 장치 중 하나는 EchoLife Home Gateway이고 다른 하나는 Huawei Home Gateway다. 약 90,000에서 100,000대의 새로 감염된 장치들이 두 화웨이 라우터 모델 중 하나다. 새로운 악성코드는 다른 장치들을 대상으로 공격하기 위한 65,000개의 사용자 이름 및 비밀번호 사전을 갖추고있다.

Detailed News List

New Mirai Strain
- _{[ARSTechnica]}
  100,000 Strong Botnet Built On Router 0-Day Could Strike At Any Time

Security Newsletters, 2017 Nov 28th, BitCoinGold 악성코드 외

Posted on 2017-11-28 - 2017-11-28 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

세계 최대 규모의 스팸 봇넷인 Necurs가 Scarab 랜섬웨어를 유포중이라는 경고 기사가 이어지고 있다. 전세계 컴퓨터로 시간당 2,000,000건 이상의 스팸메일을 전송하고 있다.
이라크 해커 그룹인 Daeshgram이 IS의 공식 홈페이지를 대상으로 공격해 포르노 이미지를 홈페이지에 올렸다. Daeshgram의 회원들은 이 공격의 동기는 ISIS 지지자들 사이에 그룹의 리더로부터 전달되는 메시지에 대한 불신을 확산시키기 위함이라고 답했다.
코발트 그룹^{(Cobalt group)}이 이번달 초 패치된 마이크로소프트 오피스^{(Microsoft Office)}의 수식 편집기^{(Equation Editor)}에 존재하는 17년 된 취약점 ^{CVE-2017-11882}를 공격하고 있다. 과학 및 수학 수식을 만들기 위한 구성요소인 수식편집기는 오피스 2007에서 교체되었지만, 하위 호환성을 위해 계속 포함되어 있었다.

Detailed News list

Necurs sends Scarab Ransomware
- _{[TheHackerNews]}
  World’s Biggest Botnet Just Sent 12.5 Million Emails With Scarab Ransomware
- _{[InformationSecurityBuzz]}
  Millions Of Spam Emails Found Carrying SCARAB Ransomware
- _{[InfoSecurityMagazine]}
  Scarab Ransomware Uses Necurs to Spread to Millions of Inboxes
ISIS official website hacked
- _{[EHackingNews]}
  ISIS official website filled with Pornographic images
Microsoft Office Equation Editor
- _{[SecurityWeek]}
  Cobalt Hackers Exploit 17-Year-Old Vulnerability in Microsoft Office

Malwares/Exploits/Vulnerabilities

Summaries

이란 웹 개발자 Pouya Drabi가 이번달 초 페이스북에서 누구든지 어떤 사진이든 삭제할 수 있는 취약점을 발견했다. 이 취약점은 이번 달 초 페이스북이 새로 소개한 GIF 등의 사진을 포함한 투표를 올리는 기능에 있었다. Darabi의 분석결과, 새로운 투표를 생성하는 기능에서 페이스북 서버로 보내는 이미지ID나 GIF URL을 페이스북의 기타 다른 사진의ID로 누구나 수정할 수 있었다. 이렇게 바꿔서 보낸 이미지ID는 투표에 보여지게 되고, 투표 생성자가 해당 포스트를 삭제하게 되면 해당 사진도 삭제된다. 페이스북은 이 취약점을 11월 5일에 수정했다.
아이폰X의 페이스아이디^(FaceID)를 약 150달러짜리 가면을 통해 인증을 통과했었던 베트남의 사이버보안 기업인 Bkav가 이번에는 새로운 가면으로 다시 시도한 페이스아이디 인증 통과 내용을 공개했다. 이번에는 약 200달러로 가면을 만들었는데, 이전과는 다르게 3D 프린터로 전체 얼굴을 찍어낸 후 눈만 2D 프린팅을 해서 붙인 가면으로 통과했다.
테러_(Terror) 익스플로잇킷_{(Exploit Kit)}이 모두 HTTPS 통신으로 전환했다. Malwarebytes가 27일 작성한 내용에 따르면, 지난 몇 개월 동안 테러 익스플로잇 킷을 추적한 결과 그것의 리다이렉션 메커니즘과 기반구조에서 눈에띄는 변화가 있었다. 예측 가능한 URI 패턴과 배포 채널을 사용하는 RIG 익스플로잇 킷과는 다르게, Terror 익스플로잇 킷은 악성광고 체인에서 고정된 리퍼러를 사용하지 않고, 몇몇 경우에서는 다중 단계의 필터링을 조합하거나 전달 순서 전체에 HTTPs를 사용하는 등 지속적으로 탐지 회피를 시도한다.

Detailed News List

Facebook Polls Bug
- _{[SecurityAffairs]}
  Researcher found a vulnerability in Facebook polls that allowed removal of any photo
- _{[TheHackerNews]}
  Another Facebook Bug Allowed Anyone to Delete Your Photos
- _{[GrahamCluley]}
  Facebook flaw allowed unauthorised users to delete any photo
- _{[SecurityWeek]}
  Facebook Flaw Allowed Removal of Any Photo
- _{[NakedSecurity]}
  How one man could have deleted any image on Facebook
- _{[TheRegister]}
  That $10,000 Facebook bug: Photos shafted, addicts screwed by polls
- _[HackRead]
  Deleting anyone’s Facebook photo, a bug that earned researcher $10,000
FaceID
- _[Forbes]
  Apple Face ID ‘Fooled Again’ — This Time By $200 Evil Twin Mask
Terror Exploit Kit
- _{[MalwareBytes]}
  Terror exploit kit goes HTTPS all the way

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

NHS가 2천만 파운드 규모의 자금을 새로운 사이버보안 센터를 건립해 화이트햇 해커를 사용해 지속적으로 공격에 대한 검사를 하고 기관의 방어에 대한 검증을 하는데 투자할 예정이다. NHS는 이 금액을 “전체 의료 및 복지 시스템에 대한 국가적인, 실시간에 근접한 모니터링과 경보 서비스”를 만드는데 사용할 예정이라고 밝혔다.
블룸버그 보도에 따르면, 백악관의 다수의 출처로부터 도널드 트럼프 대통령이 백악관 직원이 개인 전화를 일터에서 사용하지 못하도록 금지하려 한다는 제보가 계속되고 있다. 직원들은 가족이나 학교, 의사와 연락할 수 없다는 것에 대해 걱정하고 있다. 백악관의 공식 통신 장치는 문자를 보낼수 없으며, 일부 직원들은 백악관에서 제공하는 전화로 개인적인 통화를 해서 문제에 휩쓸릴 것 대해서 우려하고 있다. 백악관의 네트워크는 이미 직원들이 Gmail이나 Outlook, Skype, Google Hangouts과 같은 유명 인터넷 통신 사이트에 접근하는 것을 차단했다.
세명의 중국인이 세 개의 기업, 무디스 애널리틱스_{(Moody’s Analytics)}, 트림블_(Trimble), 지멘스_(Siemens)를 해킹해 민감정보와 거래비밀 수 기가바이트를 훔친 사이버범죄 혐의로 기소당했다. 미 사법부는 이들이 중국의 정보 기술 유한 회사 Boyusec 소속이며, 사이버보안 연구자들에 의해 중국 정부으 후원을 받는 사이버 스파이 그룹과 연계되어 있다고 말했다. 사법부에 따르면 기소당한 세명의 이름은 Wu Yingzhuo, Dong Hao, Xia Lei다.

Detailed News List

NHS to hire white hat
- _{[TheInquirer]}
  NHS to hire white hat hackers as part of £20m cybersecurity investment
- _{[TheRegister]}
  Looking for scrubs? Nah, NHS wants white hats – the infosec techie kind
- [FierceBiotech]
  UK to hire hackers in $27M health cybersecuritypush
- _[ZDNet]
  After WannaCry ransomware attack, the NHS is toughening its cyber defences
White House bans personal phones at work
- _[ZDNet]
  Trump considering banning White House staffers’ personal phones
DoJ charged three chienese
- _[Forbes]
  Hackers Linked To Dangerous Chinese Group Charged With Stealing 400GB Of Data From Siemens (Forbes)
- _{[SecurityWeek]}
  U.S. Indicts Chinese For Hacking Siemens, Moody’s

Data Breaches/Info Leakages

Summaries

영국의 한 엘리트 클럽이 회원 5천명의 데이터가 도난당했다고 발표했다. 이 사건은 런던에 위치한 옥스퍼드 및 캠브릿지 클럽의 사무실에 있는 백업 컴퓨터 드라이브를 훔쳐서 발생했다. 이 드라이브에는 100명의 직원과 5000명의 회원들의 이름, 이메일 주소, 전화번호, 생일, 사진, 은행정보등이 포함되어 있었다. 신용카드 정보는 도둑맞은 데이터에 포함되지 않았다.
BulletProof Coffee가 해킹당했다. 실리콘밸리 출신의 사업가가 만든 방탄커피^{(BulletProof Coffee)}가 해킹당해 웹사이트에 악성 코드가 삽입되었고, 사용자의 신용카드 정보를 몇달간 탈취해온 것으로 드러났다. 도난당한 정보는 은행 카드 번호, 만료일자, 보안코드번호^(CVV), 이름, 주소, 이메일 주소다.

Detailed News List

UK Club Data Breach
- _[TripWire]
  Elite UK Club Announces Theft of 5,000 Members’ Data
BulletProof is not bulletproof
- _{[TheRegister]}
  Bulletproof Coffee lacks bulletproof security: Nerd brain juice biz hacked, cards gulped

Industrial/Infrastructure/Physical System/HVAC/SCADA

Summaries

해커들이 대형 선박의 균형을 맞추기 위한 적재 계획 소프트웨어^{(Load Planning Software)}를 공격할 수 있다는 기사가 나왔다. 선박에서 사용하는 적재 계획 소프트웨어가 보안 메시징 시스템을 사용하지 않고 개발되었으며, 운송라인, 터미널, 항만 당국 사이에 오가는 메시지가 존재한다. 매일 대형 선박들은 BAPLIE라 불리는 시스템으로 200,000톤 가량의 무게를 나르는 수천개의 컨테이너를 처리하는데, 이 시스템은 항만 당국에 각각의 컨테이너가 어디에 위치할지에 대해 알린다. 그러나 업데이트 되지 않은 시스템을 사용하면, 사이버 범죄자들이 세관으로 보내는 정보를 조작해 실제 내용과 무게를 바꿀 수 있다.

Detailed News List

Load Planning Software
- _[HackRead]
  Hackers can Exploit Load Planning Software to Capsize Balance of Large Vessels

Social Engineering/Phishing/Con/Scam

Summaries

블랙프라이데이 할인행사 기간과 관련된 온라인 사기 사건에 대한 경고에 이어, 이제는 연말 할인 행사 및 크리스마스 시기를 노리는 온라인 사기에 대한 경고가 이어지고 있다.
영국의 머니뮬^{(Money Mule)}이 2013년에 비해 그 수가 두배로 늘어났다. 젊은 층에서 범죄를 통해 얻은 자금을 돈세탁하기 위해 은행 계좌를 사용하는 경우가 75% 증가했다고 Cifas 통계가 밝혔다. 사기예방서비스^{(Fraud Prevention Service)}는 2017년 1월에서 9월까지 8652건을 탐지했다고 밝혔다. 지난해 같은 기간에 비해 크게 늘어난 수치다. 소위 머니뮬^{(Money Mule)}은, 범죄자들에게 자신의 은행계좌를 사용해 범죄를 통해 얻은 수익을 계좌이체 할 수 있게 하고, 수사에서 흔적을 감추는데 도움을 주는것을 말한다. 대부분 돈을 인출해 해외로 전송하며, 그러한 행위의 댓가로 돈을 얻는다.

Detailed News List

Deal Scams
- _[MyPolice]Keep safe this Christmas while shopping online
- _[ZScaler]
  Black Friday Deals: Trojans, Phishing, and Crypto Coin Mining
- _{[BusinessReviewAustralia]}
  Cyber Monday: Most Australian businesses not prepared for cybercrime, says Allianz
Money Mule Doubles
- _{[InfoSecurityMagazine]}
  Number of Young UK Money Mules Doubles Since 2013

Crypto Currencies/Crypto Mining

Summaries

BitCoin Gold가 MyBTGWallet 사기 사건 이후 또다른 문제를 겪고 있는 것으로 보인다. BTG 팀은 누군가가 그들의 Github 프로젝트 저장소에 접근하여 컴파일된 윈도우즈 파일을 다른 것으로 바꿔치기 한 것을 발견했다. BTG의 경고에 따르면, 다운로드 페이지에 있던 링크와 Github 릴리즈페이지의 파일 다운로드가 출처를 알 수 없는 수상한 파일을 약 36시간 가량 배포했다. 윈도우즈용 비트코인골드 지갑을 11월 24일 UTC 13:11에서 11월 25일 UTC 22:30 사이^{(한국시간 11월 24일 22:11 ~ 26일 07:30)}에 다운로드 받은 사람은 악성코드에 감염되었을 가능성이 있다.

Detailed News List

BitCoin Gold
- _{[eHackingNews]}
  Bitcoin Gold wallet compromised, users may have downloaded malware

Technologies/Technical Documents/Statistics/Reports

Summaries

이전에는 호주가 지정학적으로 고립된 이유로 보호받았지만, 인터넷을 기반으로 모든 비즈니스가 이루어지는 지금은 모두가 평등한 “Fair Game”이라는 기사가 나왔다. WannaCry 랜섬웨어로 인해 전 세계 150개국의 수많은 피해가 발생했을 때, 호주 빅토리아^(Victoria)주의 교통카메라가 감염된 사례나, Petya로 인해 태즈마니아 호바트^{(Hobart, Tasmania)}에 위치한 Cadbury사의 초콜릿 공장 생산이 중단된 일을 보면 더이상 안전지대가 아니라는 것이다.

Detailed News List

Fair Game
- _[ZDNet]
  Australia ‘fair game’ when it comes to the threat of a cyber attack