Security Newsletters, 2017 Dec 12th, 머니테이커 그룹 미 은행 절도 外

Posted on 2017-12-12 - 2017-12-12 by admin

Caution

This post is a meta-newsletters that contains links and texts that have been collected approximately for a day from various sources. The titles of news were not provided from original sources, but translated by the writer of this post. So, there could be mis-translation or duplication. I respect the copyright of every articles and their policies. so I am trying to keep it. (of course, and mainly, it’s too much to translate by myself). Accordingly, this post doesn’t have quotation nor the body of article, if any, contact me and it will be removed.

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats/Threat Actors

Summaries

머니테이커^(MoneyTaker) 해킹그룹이 미 은행들로부터 수백만 달러를 훔친 것으로 드러났다. Group-IB에 따르면, 이 해킹그룹이 라틴 아메리카의 은행들을 다음 공격 대상으로 노리고 있다. 러시아어를 사용하는 해킹그룹인 MoneyTaker가 미국내 20개 이상의 은행들에서 2016년 5월 부터 수백만 달러를 훔쳤으며, 라틴 아메키라의 금융 기관들에 대한 공격태세를 취하고 있다고 모스크바 기반의 Group-IB가 경고했다. 이들에 따르면, MoneyTaker라 불리는 이 해킹그룹의 작업방식^{(modus operandi)}은 공격대상 은행의 네트워크로 침입해 들어가 ATM 인출 사기^{(fraudulent ATM withdrawals)}를 위해 카드 처리 시스템^{(card processing systems)}을 조작한다. 이 해킹그룹의 피해기관에는 캘리포니아, 일리노이, 플로리다를 포함한 10개 주의 은행들이다. 이 은행들은 이 공격들로 평균 50만 달러의 피해를 입었다.
OilRig 해킹 그룹이 TwoFace 웹쉘^(WebShell)을 테스트하고 있다. 팔로알토네트웍스^{(PaloAltoNetworks)}의 보고서에 따르면, 팔로알토네트웍스의 Unit42에서 OilRig 그룹의 이러한 테스트 활동을 처음 탐지한 것은 2017년 4월이다. 2017년 11월 15일에 Unit42는 OilRig 개발자가 TwoFace 웹쉘을 테스트하는 것을 탐지했다. 이 테스트 활동은 2017년 11월 15일 8:51 AM (UTC)에 시작되어 9:07 AM (UTC)에 끝났다. 약 16분의 테스트에서, 개발자는 22종의 TwoFace 로더^(loader) 스크립트를 만들어냈다. TwoFace의 구성은 두 부분으로 나뉘어 있는데, 그 첫번째인 로더^(loader) 스크립트는 요청 데이터에서 복호화키를 입력받아, 내장된 웹쉘을 복호화하고 웹서버에 복호화된 웹쉘을 저장한다.

Detailed News list

MoneyTaker Group
- _{[DarkReading]}
  Russian-Speaking ‘MoneyTaker’ Group Helps Itself to Millions from US Banks
- _{[SecurityWeek]}
  ‘MoneyTaker’ Hackers Stole Millions from Banks: Report
- _{[TheRegister]}
  New Ruski hacker clan exposed: They’re called MoneyTaker, and they’re gonna take your money
- _{[TheHackerNews]}
  Newly Uncovered ‘MoneyTaker’ Hacker Group Stole Millions from U.S. & Russian Banks
- _{[HelpNetSecurity]}
  MoneyTaker’s stealthy hacking spree spread from US to Russia
- _{[SecurityAffairs]}
  MoneyTaker group: Group-IB uncovered a cyber gang attacking banks in the USA and Russia
OilRig
- _{[PaloAltoNetworks]}
  OilRig Performs Tests on the TwoFace Webshell

Malwares

Summaries

Necurs 봇넷_(botnet)이 다시 상위 10위 목록안에 들었다. 체크포인트_{(Check Point)}의 최근 리포트에 따르면, Necurs 봇넷이 미국의 추수감사절^{(Thanksgiving holiday)} 이후로 사이버범죄자들이 새로운 랜섬웨어를 배포하는데 사용하면서 그 세력이 증가했다. 추수감사절을 지나면서, 해커들이 세계에서 가장 큰 스팸 봇넷으로 추정되는 Necurs를 새로운 Scarab 랜섬웨어를 배포하는데 사용하는 것이 확인되었다. Necurs 봇넷은 이 휴일 아침에만 1,200만 건의 이메일을 보내면서 Scarab 랜섬웨어의 대량 살포를 시작했다.
폴란드의 은행을 노리는 안드로이드 악성코드가 또 구글 플레이^{(Google Play)}에서 발견되었다. 이 악성코드들은 구글 플레이에 “Crypto Monitor”와 같은 암호화폐 가격을 추척해주는 앱이나, “StorySaver”라는 인스타그램 내용을 다운로드 해주는 정상적인 앱으로 위장하여 등록되었다. 이 악성 앱들은 가짜 알림^{(fake notifications)}을 화면에 표시할 수 있고, 정상 은행 어플리케이션에로 온 것으로 보이는 로그인 폼을 보여줄 수 있다. 악성 앱들은 이 폼에 입력된 인증정보를 수집하고, SMS기반의 2팩터 인증^{(2-factor authentication)}을 우회하기 위해 문자메시지도 가로챈다.

Detailed News List

Necurs Botnet’s Returned
- _{[InfoSecurityMagazine]}
  Necurs Botnet Returns to Top 10 Malware List
Banking Malware on Google Play
- _{[WeLiveSecurity]}
  Banking malware on Google Play targets Polish banks

Exploits/Vulnerabilities

Summaries

두개의 출입문 잠금장치^{(keyless entry product)}에서 취약점이 발견되었다. 델 시큐어웍스^{(Dell Secureworks)}의 보안연구가들이 두가지 출입문 잠금장치 제품이 공격자에 의해 잠금 또는 잠금 해제 될 수 있고, 영향을 받는 장치에 인증되지 않은^{(unauthenticated)} 요청을 보내 RFID 뱃지^(badges)를 만들어낼 수 있는 취약점이 있다고 경고했다. 영향을 받는 제품은 EN-1DBC, EN2DBC에 사용되는 AMAG Technology의 Symmetry IP-based access door controllers다. 보안연구가들은 만약 이 장치가 기본 설정으로 설치되어 있는 경우, 공격자가 시리얼 통신으로 컨트롤러에 인증되지^{(unauthenticated)} 않은 요청을 보내 시스템을 공격할 수 있다.
유명 프로그래밍 언어들에 존재하는 취약점이 공개되었다. 지난 주 IOActive의 Fernando Arnaboldi가 블랙햇 유럽^{(Black Hat Europe)} 2017 보안 컨퍼런스에서 유명 프로그래밍 언어 인터프리터^{(interpreter)}에 대한 흥미로운 연구 결과를 발표했다. Arnaboldi는 유명한 프로그래밍 언어들^{(JavaScript, Perl, PHP, Python, Ruby)}을 퍼징^(Fuzzing) 방식을 통해 분석했다. 이 연구의 배경이 되는 아이디어는 안전하게 개발된 어플리케이션들이 공격자가 프로그래밍 언어 기저에 존재하는^(underlying) 확인되지 않은^{(unidentified)} 취약점을 건드리는 공격에 의해 영향받을 수 있을지 모른다는 것이었다. Arnaboldi는 침각한 취약점들을 퍼징을 통해 분석한 모든 프로그래밍 언어들에서 찾아냈는데, 그 취약점들은 다음과 같다. 파이썬^(Python)은 문서화되지 않은 메서드를 가지고 있고, 운영체제 명령을 실행하는데 사용되는 환경변수들이 있다. 펄^(Perl)은 eval과 같은 코드를 실행시킬 수 있는 typemaps를 가지고 있다. NodeJS는 파일 내용을 노출시킬 수 있는 에러메시지를 출력한다. JRuby는 원격코드실행^{(remote code execution)}용으로 설계되지 않은 함수에서 원격 코드를 로드 및 실행한다. PHP 상수^(constants) 의 이름은 원격 코드 실행에 이용될 수 있다. (11일에서 이어짐)
HP 노트북의 키보드 드라이버에서 키로거^(Keylogger)로 쓰일 수 있는 컴포넌트가 발견되었다. HP의 수백개의 노트북 모델이 공격자가 키로거 컴포넌트로 악용할 수 있는 디버깅 코드를 포함하고 있는 것으로 드러났다. 이 코드는 ZwClose라는 보안연구가에 의해 온라인 상에 공개되었다. HP에서는 영향을 받는 모델과 보안 패치를 공개했다. 영향을 받는 노트북은 475개 모델이다. HP는 Synaptics Touchpad 드라이버의 일부인 SynTP.sys 파일에 존재하는 디버깅 코드를 제거하기 위한 보안 업데이트를 릴리즈 했다. (10일에서 이어짐)
이번주 구글이 공격자가 대상 앱의 서명 검증 인증서^{(signature verification certificates)}에 영향을 미치지 않으면서도 앱에 악의적인 코드를 주입할 수 있는 취약점을 수정했다. 이 방법은 공격자가 신뢰하는 제작사에서 만든 것처럼 보이는 서명된 어플리케이션을 사용해 장비의 악성코드방지 기능을 우회하고 권한을 상승시킬 수 있는 취약점이다. 이 취약점은 야누스^(Janus)라고 이름이 붙었으며, GuardSqure의 CTO인 Eric Lafortune에 의해 발견되었다. 이 취약점은 7월에 ^{CVE-2017-13156} 번호가 부여되었다. 구글은 이 취약점을 12월자 안드로이드 보안 패치의 일부로 수정했다. (9일에서 이어짐)
30개 이상의 유명 이메일 클라이언트에 영향을 미치는 Email 스푸핑 취약점이 발견되었다. 다른 사람이 보낸 메일인 것처럼 위장할 수 있는 취약점이 발견되었다. MailSploit이라는 이름이 붙은 이 취약점은 Apple Mail^{(macOS, iOS, watchOS)}, Mozilla Thunderbird, Microsoft email clients, Yahoo Mail, ProtonMail 및 기타 메일클라이언트들에 영향을 미친다. 이 클라이언트들에 DKIM이나 DMARC와 같은 스푸핑 방지 메커니즘이 구현되어 있지만, MailSploit은 이메일 클라이언트와 웹 인터페이스가 From 헤더를 파싱하는 것을 이용한다. (6일에서 이어짐)

Detailed News List

Vulnerability in Entry Locks
- _[ThreatPost]
  Vulnerability Found in Two Keyless Entry Locks
Flaws in programming languages
- _[ZDNet]
  These five programming languages have flaws that expose apps to attack
- _{[TheRegister]}
  Language bugs infest downstream software, fuzzer finds
HP Notebook Keylogger
- _{[NakedSecurity]}
  HP leaves accidental keylogger in laptop keyboard driver
- _[ThreatPost]
  Leftover Debugger Doubles as a Keylogger on Hundreds of HP Laptop Models
- _{[GrahamCluley]}
  HP’s second laptop keylogger in less than a year
- _{[HelpNetSecurity]}
  Keylogger found in Synaptics driver on HP laptops
- _[ZDNet]
  Keylogger uncovered on hundreds of HP PCs
- _{[SecurityWeek]}
  Dormant Keylogger Functionality Found in HP Laptops
- _{[TheRegister]}
  Leftover Synaptics debugger puts a keylogger on laptops
Android Janus vulnerability
- _{[InfoSecurityMagazine]}
  Janus Vulnerability Allows Android App Takeover
- _{[SecurityWeek]}
  Vulnerability Allows Modification of Signed Android Apps
- _{[HelpNetSecurity]}
  Android vulnerability allows attackers to modify apps without affecting their signatures
MailSploit
- _{[NakedSecurity]}
  Mailsploit: using emails to attack mail software

Legislation/Politics/Policies/Regulations/Law Enforcement/Trials

Summaries

독일 첩보기관 BfV가 중국의 LinkedIn 스파이 행위^(espionage)에 대해 경고했다. 독일의 첩보기관에 따르면, 중국이 링크드인^(LinkedIn)에서 최소 만명의 사람들을 대상으로 스파이 행위를 벌이고 있다. 중국은 가짜 LinkedIn 계정을 만들어 독일 공무원 및 정치인들의 정보를 모으고 있다고 독일 첩보기관인 BfV가 말했다. 중국 첩보기관이 링크드인을 사용해 최소 만명의 독일인들을 노리고 있으며, 이들을 정보원^(informants)으로 사용하려 할 수 있다고 주장했다. 그리고 이들은 이러한 목적으로 사용된 일부 가짜 프로필들을 공개했다.
러시아의 사이버보안 기업인 카스퍼스키랩^{(Kaspersky Lab)}이 스캔들로 힘든 시기를 보낸 끝에 결국 워싱턴DC^{(Washington DC)}의 사무실 문을 닫는다. D.C.의 사무실은 카스퍼스키와 미 정부와의 관계를 구축하는 일과 카스퍼스키의 소프트웨어를 연방정부와의 계약에 제공하는 일에 특화되어 있었다. 그러나 공공 업무가 어려울 것으로 판단됨에 따라, 카스퍼스키는 나머지 비정부^{(non-governmental)} 사업을 위해 내년에 시카고^(Chicago)와 로스엔젤레스^{(Los Angeles)}에 사무실을 열 계획이다.

Detailed News List

fake Chinese LinkedIn profiles
- _[CSOOnline]
  Espionage: Germany unmasks fake Chinese LinkedIn profiles
- _[BBC]
  German Spy Agency Warns Of Chinese LinkedIn Espionage
Kaspersky is closing Washington DC office
- _{[EHackingNews]}
  Kaspersky Lab is closing its Washington DC office

Data Breaches/Info Leakages

Summaries

마이크로소프트^(Microsoft)가 실수로 Dynamic 365의 TLS 인증서^{(certificate)} 및 개인키^{(Private key)}를 sandbox 환경에서 약 100여일간 MiTM 공격에 노출시킨 것이 확인되었다. 소프트웨어 개발자인 Matthias Gliwka는 클라우드 버젼의 Microsoft ERP 시스템을 사용하는 과정에서 문제점을 발견했다. 마이크로소프트는 ERP 제품을 작년부터 제공하기 시작했다. SaaS 솔루션은 Azure에서 호스팅되며, 제어판^{(Life Cycle Services)}을 통해 접근할 수 있다. Gliwka에 따르면 TLS 인증서가 Dynamics 365 샌드박스 환경^{(sandbox environments)}에 노출되어 있었다. Gliwka는 8월 17일에 이 문제를 제보했고, 마이크로소프트는 이 문제를 12월 5일에 해결했다.

Detailed News List

Dynamics 365 sandbox leaked TLS certificates
- _{[SecurityAffairs]}
  Microsoft accidentally exposed Dynamics 365 TLS certificates exposing sandbox environments to MiTM attacks
- _{[SecurityWeek]}
  Microsoft Says ERP Product Private Key Leak Posed Little Risk
- _{[TheRegister]}
  Dynamics 365 sandbox leaked TLS certificates

Industrial/Infrastructure/Physical System/HVAC/SCADA/HMI/ICS

Summaries

호주 퍼스^(Perth)의 공항이 베트남 해커에 의해 해킹당해 보안 데이터가 도난당했다. 31세의 베트남 해커 Le Duc Hoang Hai가 Perth 공항의 컴퓨터 시스템에 침입해, 건물과 보안 인프라에 관련된 고도의 민감정보를 훔쳤다. 이 사건은 2016년 3월에 Hai가 공항 시스템에 접근할 수 있는 제3 하청업체^{(third-party contractor)}의 로그인 인증정보^{(Login credentials)}를 취득하며 일어났다. West Australian 리포트에 따르면, Hai는 건물 구조 및 공항 건물의 물리 보안 상세정보가 포함된 대량의 데이터를 훔쳤다. 그러나 이 해커는 공항의 레이더 시스템에는 접근할 수 없었고 항공기 운영도 영향을 받지 않았다. 호주 및 베트남 당국은 합동 수사를 진행하여 해커를 체포했다. Hai는 은행, 온라인 군사 뉴스, 금융 영역을 포함하는 베트남의 주요 사회기반시설^{(critical cyber infrastructure)} 또한 공격대상으로 삼은 것으로 드러났다. Hai는 Perth 공항의 네트워크에 대한 해킹과 데이터 절도로 4년의 징역형에 처해졌다.

Detailed News List

Perth Airport got Hacked
- _[HackRead]
  Vietnamese man hacked Australian airport computers; stole security data
- _{[SecurityAffairs]}
  Vietnamese hacker stole security details and building plans from an Australian airport
- _[TripWire]
  Criminal Stole “a Significant Amount of Data” in Airport Hacking Attack
- _{[EHackingNews]}
  Security breach encountered in Perth international airport

Deep Web/DarkNet/Onion/Underground Market

Summaries

다크웹에서 14억개의 평문 인증정보^{(credentials)}를 담고있는 파일이 발견되었다. 최근 다크웹을 모니터링하는 4iQ에서 41기가바이트의 거대한 파일을 발견했다. 이 파일은 14억개의 로그인 인증정보를 담고 있는데, 그 내용은 이메일과 비밀번호가 평문^(cleartext)으로 기록되어있다. 연구자들은 이 파일이 지금까지 다크 웹에서 발견된 것들 중 가장 큰 종합 데이터베이스라 보고있다. 4iQ의 블로그 포스트에서 밝힌 바에 따르면, 이 덤프는 이전의 252개의 침해사고를 하나로 모은 것으로 보인다. 이 파일은 다크웹에서 2017년 12월 5일에 발견되었고, 총 데이터 량은 1,400,553,869개의 사용자이름, 이메일, 평문 비밀번호다.
안드로이드 랜섬웨어 킷^{(Android Ransomware Kits)}이 다크넷에서 붐이 일고 있다. 이번해에 지금까지 5,000개 이상의 안드로이드 랜섬웨어 킷이 존재하는 것이 확인되었으며, 평균 가격은 $200이다. 대다수의 랜섬웨어 키트는 여전히 윈도우즈 시스템을 대상으로 하고있다. 그러나 새로나온 리포트에 따르면, 안드로이드 랜섬웨어 키트가 비싼 값에 거래되고 있으며, 그 판매량과 가격이 증가할 것으로 예상된다. 안드로이드 랜섬웨어 키트는 윈도우즈 랜섬웨어 키트가 평균 $10라는 가격에 판매되는 것에 비해 평균 $200라는 20배 높은 가격으로 판매되고 있다고 카본블랙^{(Carbon Black)}이 발표했다. 이 랜섬웨어 키트의 가격은 $250에서 $850선이다. (8일에서 이어짐)

Detailed News List

1,400,000,000 Clear Text Credentials File
- _{[TheRegister]}
  Archive of 1.4 BEEELION credentials in clear text found in dark web archive
- _{[SecurityWeek]}
  Database of 1.4 Billion Credentials Found on Dark Web
Android Ransomware Kit
- _{[SecurityAffairs]}
  Dark Web – The median price range for Android ransomware kits hits $200

Crypto Currencies/Crypto Mining

Summaries

매장내^(In-store) 와이파이인터넷 업체^(Provider)가 스타벅스 웹사이트를 이용해 모네로^(Monero) 암호화폐 코인을 채굴하려 했다는 주장이 나왔다. 12월 2일에 트위터 사용자 Noah Dinkin은 거대 커피체인인 스타벅스의 아르헨티나 리워드 사이트가 모네로^(Monero) 암호화폐를 채굴하기 위한 코인하이브^(CoinHive) 스크립트를 사용하는 것을 공개했다. Dinkin은 이 사건의 배후에 있는 범인이 스타벅스의 매장내 WiFi 제공업체일 수 있다고 말했다. 그러나, 지난 몇 달 동안 사이버 범죄자들은 웹사이트들을 해킹해 몰래 코인하이브의 스크립트들을 삽입해왔다. 며칠 전에는 보안연구가들이 5,000개 이상의 사이트들이 코인하이브 코드를 삽입하는 해킹을 당했다는 사실을 밝혀내기도 했다.
2017년 5월, 불가리아 당국은 국제 배송과 관련하여 세관의 세금 부과를 피하려 한 혐의로 23명을 체포했다. 이 체포는 PRATKA/VIRUS라 알려진, 세관의 컴퓨터 네트워크에 악성코드를 심은 사건에 대한 수사로 이어졌고 부동산 및 차량에 대한 수색이 이루어졌고 컴퓨터와 스마트폰이 압수되고 금융 기록에 대한 조사가 이루어졌다. 남동 유럽 법 집행 센터^{(Southeast European Law Enforcement Center, SELEC)}의 리포트에 따르면, 일반적인 이러한 증거물에 더해, 불가리아 당국이 213,519 비트코인을 수사과정에서 맞딱뜨린 것으로 알려졌다. 당시 이 비트코인의 가격은 1코인에 2,354달러 였고, 전체 5억 달러 규모다.

Detailed News List

Monero Coins Generator on Starbucks Website
- _[HackRead]
  In-Store WiFi Provider Used Starbucks Website to Generate Monero Coins
Bulgaria’s seized Bitcon
- _{[GrahamCluley]}
  Is Bulgaria sitting on $3.5 BILLION worth of Bitcoin seized from criminals?

Technologies/Technical Documents/Statistics/Reports

Summaries

미 국립 표준 기술 연구소^{(NIST, National Institute of Standard and Technology)}가 NIST 사이버보안 프레임워크^{(Cybersecurity Framework)}의 두 번째 초안^(Draft)을 공개했다. 12월 5일 NIST는 주요 사회 기반시설 사이버보안^{(Critical Infrastructure Cybersecurity)}에 대한 내용이 개선된 사이버보안 프레임워크 버젼 1.1의 두 번째 초안을 발표했다. 그리고 두 번째 수정 작업은 사이버 보안 프레임워크를 명확하게 하고, 정제하고, 향상시키는 것과, 프레임워크 자체의 가치를 증폭시키고, 이 프레임워크의 적용이 쉽게 만드는 것을 목표로 한다고 밝혔다. 새로운 수정판은 2017년 1월에 있었던 공개 검토 절차와 2017년 5월의 워크샵 까지 접수된 의견을 포함해 반영된 내용이라 밝혔다. NIST 사이버보안 프레임워크는 2014년에 처음 발행되었고, 특히 주요 산업기반시설 분야^{(critical infrastructure sector)}의 기관들의 사이버보안 리스크 관리를 돕는 것을 목적으로 한다. (11일에서 이어짐)

Detailed News List

NIST Cybersecurity Framework
- _[CyberScoop]
  NIST’s Proposed Revisions to CybersecurityFramework Refine Risk-Management, Self-Assessment
- _{[HealthITSecurity]}
  Revised NIST Infrastructure CybersecurityFramework Released

Security Newsletters, Nov 17th, 2017

Posted on 2017-11-17 by admin

Caution

아래 뉴스 기사 링크들은 다양한 출처로부터 약 1일간 수집된 IT보안 관련 뉴스입니다.
뉴스 기사의 분류는 정리 과정에서 임의로 이루어진 것입니다.
한글 제목역시 원 게시자가 아닌 정보 취합 및 분류 과정에서 작성된 것입니다.
번역된 한글 제목에 오역이 있을 수 있습니다.
여러 매체에서 동일 사건을 다루면서 중복된 내용이 존재할 수 있습니다.
분량 및 저작권 관계로 본문을 그대로 포함하거나, 본문 전체를 번역하지 않았습니다.
보다 정확한 내용은 상세 뉴스목록에 포함된 원본기사 링크를 참고하시고, 최소 둘 이상의 기사를 교차확인 하세요.

Newsletters

Cyber Espionage/Cyber Operations/Cyber Threats

Summaries

중동의 목표^{(Entities in the Middle East)}를 노리고 오랫동안 지속되고 있는 표적 공격들이 여러 연구가들의 분석에도 불구하고 명확해지지 않는다고 팔로 알토 네트웍스^{(Palo Alto Networks)}가 밝혔다. 흙탕물^(MuddyWater)이라고 명명된 이 공격은, 2017년 2월에서 부터 10월까지 일어났던 공격에서 아주 혼란스러운 상황을 만들어 놓아서 이러한 별명이 붙었다. 이 작전에서는 다양한 종류의 악성 문서가 사용되어 사우디 아라비아^{(Saudi Arabia)}, 이라크^(Iraq), 이스라엘^(Israel), 아랍 에미레이트^{(United Arab Emirates)}, 조지아^(Geogia), 인도^(India), 파키스탄^(Pakistan), 터키^(Turkey), 미국^{(United States)}의 목표들을 공격했다. 연구자들은 이 공격이 천천히 진화하는 파워쉘^(PowerShell) 기반의 첫번째 단계 백도어 POWERSTATS를 사용한다고 밝혔다.
카스퍼스키 랩^{(Kaspersky Lab)}이 NSA 사고에 대한 더 자세한 정보를 공개했다. 목요일에 카스퍼스키 랩은 러시아 해커가 미국 국가안보국^{(NSA, National Security Agency)}에 속한 데이터를 자사 소프트웨어를 악용해 훔쳤다고 주장되는 사건에 대한 더 자세한 조사결과를 공개했다. 월스트리트저널^{(The Wall Street Journal)} 이 지난달 보도했던 이 사건 기사에서 월스트리트저널은 카스퍼스키가 러시아 정부가 파일을 획득하는데 도움을 주었거나, 해커가 카스퍼스키 랩의 도움 없이 해당 소프트웨어의 취약점을 악용했다고 주장했다. 목요일에 공개된 더 리포트에서 카스퍼스키는 이 사고는 2014년 9월 11일에서 11월 17일 사이에 일어났다고 밝혔다. 2014년 9월 카스퍼스키의 제품이 이퀘이젼그룹^{(Equation Group)}과 관련된 악성코드를 탐지했다. 그리고 카스퍼스키 소프트웨어는 악성으로 추정되는 파일이 담긴 자료를 더 자세한 분석을 위해 카스퍼스키 회사의 시스템으로 업로드했다. 이 자료에는 Equation 악성코드의 소스코드와 자료 분류 마크(비밀, 대외비 등)가 포함된 문서 4개가 포함되어 있었다.
가짜뉴스^{(Fake news)}가 비즈니스 모델이 되어 수익을 위해 이용되고 있다. 보안 기업 Digital Shadow가 가짜 미디어 사이트/가짜 리뷰/소셜미디어 봇 제작이나 상업 제품/서비스의 광고나 폄하를 자동으로 하는 계정을 만들어주는 서비스에 대한 리포트를 내놓았다. 이 도구들은 소셜미디어 봇을 제어하는 $7짜리 시험판 부터 가능하다.
원격데스크탑프로토콜^{(RDP, Remote Desktop Protocol)}을 사용해 손수 랜섬웨어^(Ransomware)를 설치하는 사이버 범죄자들에 대한 기사도 이어지고 있다. 소포스^(Sophos)에서는 네트워크에 공개된 RDP를 대상으로, NLBrute와 같은 도구들로 공격해 원격으로 관리자 계정에 접속 한 뒤 공격 도구 및 랜섬웨어를 내려받아 직접 공격 및 설치하는 사이버 범죄자들에 대하여 보고서를 발표했다.
북한의 사이버 공격 및 그에 사용되는 악성코드에 대한 경고가 이어지고 있다. US-CERT와 미 연방수사국(FBI, Federal Bureau of Investigation)은 북한의 히든코브라^{(Hidden Cobra)} 작전 및 FALLCHILL 악성코드를 사용한 사이버 공격에 대한 정보를 공개한 바 있다.

Detailed News list

MuddyWater
- ^{[SecurityWeek]} Middle East ‘MuddyWater’ Attacks Difficult to Clear Up
NSA Incident
- ^{[SecurityWeek]} Kaspersky Shares More Details on NSA Incident
- ^{[DarkReading]} 121 Pieces of Malware Flagged on NSA Employee’s Home Computer
- ^{[MotherBoard]} Internal Kaspersky Investigation Says NSA Worker’s Computer Was Infested with Malware
- ^{[SecurityBrief]} ‘Leaker’ behind massive NSA breach possibly still working at agency
- ^{[NakedSecurity]} Shadow Brokers cause ongoing headache for NSA
- ^[Bloomberg] Russian Hackers Aren’t the NSA’s Biggest Problem
- ^{[TheRegister]} Kaspersky: Clumsy NSA leak snoop’s PC was packed with malware
- ^[CyberScoop] Kaspersky: NSA worker’s computer was packed with malware
- ^[BBC] Kaspersky defends its role in NSA breach
Fake News Business Model
- ^{[SecurityWeek]} ‘Fake news’ Becomes a Business Model: Researchers
Delivery Ransomware via RDP
- ^{[DarkReading]} Crooks Turn to Delivering Ransomware via RDP
- ^{[NakedSecurity]} Ransomware-spreading hackers sneak in through RDP
- ^{[NakedSecurity]} Ransomware via RDP – how to stay safe! [VIDEO]
Hidden Cobra, FALLCHILL
- ^[eWEEK] North Korea Getting Ready Wage a Global Cyber War, Experts Say
- ^[eWEEK] Researcher Provides Insight Into North Korea Cyber-Army Tactics

Malwares/Exploits/Vulnerabilities

Summaries

루트권한을 얻을 수 있는 앱이 사전에 설치되어 있었던 원플러스^(OnePlus) 기기에서 또 다른 수상한 사전설치^{(Pre-installed)} 앱이 발견되었다. 이 앱은 시스템 로그를 수집한다. 원플러스로그킷^{(OnePlusLogKit)} 이라 명명된 이 앱은 두번째 발견된 사전설치^{(pre-installed)} 앱으로, 앨리엇 앤더슨^{(Elliot Anderson, MR.ROBOT 드라마 주인공 이름)}계정을 사용하는 트위터 사용자에 의해 발견되었다. OnePlusLogKit은 시스템 수준^(level)의 응용프로그램으로 원플러스 스마트폰의 다양한 정보를 수집하게 되어있다. 수집하는 정보는 WiFi/NFC/BlueTooth/GPS 위치 로그, 모뎀 시그널/데이터 로그, 실행중인 프로세스/서비스 목록, 배터리 상태, 기기에 저장된 모든 비디오 및 이미지를 포함한 미디어 데이터베이스 정보다.
구글이 보안연구가에게 10만 달러의 상금을 벌게 해줬던 크롬OS^{(Chrome OS)}의 코드실행 취약점 정보를 공개했다. 2015년 3월 구글은 크롬박스^(Chromebox)나 크롬북^(Chromebook)을 게스트 모드^{(Guest mode)}에서 웹페이지를 통해 영구히 장악할 수 있는 익스플로잇에 10만 달러의 상금을 지불하겠다고 발표한 바 있다. 그에 앞서 구글은 그런 익스플로잇에 5만 달러를 제공했었다. 그리고 인터넷에서 Gzob Qq라는 이름을 쓰는 연구가가 구글에게 9월 18일에 크롬박스^(Chromebox)나 크롬북^(Chromebook) 장치들에서 사용하는 크롬OS^{(Chrome OS)} 운영체제 에서 영구적인 코드 실행이 가능한 일련의 취약점들을 찾았다고 알려왔다. Gzob Qq는 구글에게 개념증명^{(Proof-of-Concept)} 익스플로잇을 보냈고, 구글은 10월 27일에 업데이트를 통해 패치했다. 그리고 10월 11일에 연구자에게 10만 달러의 보상이 제공될 것임을 알려왔다. 이런 사례는 처음이 아니며, 이전에도 발견한 취약점에 대해 구글이 여러차례 보상을 한 바 있다.
Terdot 뱅킹 트로이^{(banking trojan)}가 사이버 스파이^{(Cyber espionage)} 도구로 활용될 수 있다. 비트디펜더^{(Bitdefender)}가 리포트를 통해 Terdot 뱅킹 트로이가 정보 유출^{(information stealing)} 기능을 탑재함에 따라 쉽게 사이버 스파이 도구로 변화할 수 있다고 밝혔다. Terdot은 2011년 온라인에 유출된 제우스^(ZeuS) 소스코드에 기반한 악성코드다. 이 악성코드는 작년 10월 다시 활동을 재개했으며, 비트디펜더는 이 악성코드를 지속적으로 추적해왔다. Terdot은 중간자공격^{(MitM, Man-in-the-Middle Attack)}을 위한 프록시^(Proxy)로 기능하며 로그인 정보나 신용카드 정보 등을 훔치거나 방문하는 웹페이지에 HTML을 주사^{(Injecting HTML)}하기 위해 제작되었다. 그러나 애초에 뱅킹 트로이를 목적으로 악성코드가 제작되었지만, Terdot의 능력은 본래의 목적 그 이상으로 활용될 수 있다고 밝혔다.
맥아피^(McAfee)의 안티해킹 서비스가 사용자들을 뱅킹 악성코드로 인도하는 사고가 있었다. 악성코드는 제3자 웹사이트에 올라와 있었지만, 맥아피의 ClickProtect와 관련된 도메인을 사용해 공유되었다. 이 링크는 사용자를 cp.mcafee.com 도메인을 통해 악성 워드 문서로 사용자를 리다이렉트 시켰고, 이 파일을 다운로드 받고 열어본 사람은 Emotet 뱅킹 악성코드에 감염되었다. 맥아피는 이에 대해서 문제를 조사중이라고 밝히며 또한 기능은 정상적으로 잘 동작했다고 말했다. 최초 최종목적지 주소는 악성코드 전파 장소로 분류되지 않았지만, 그날 늦게 맥아피의 Threat Intelligence Service가 해당 웹을 위협으로 판단하고 평판정보를 낮음^{(low risk)}에서 높음^{(high risk)}로 변경해 고객들이 해당 사이트로 접근할 수 없게 막았다고 대변인은 말했다.

Detailed News List

OnePlus
- ^{[TheHackerNews]} Another Shady App Found Pre-Installed on OnePlus Phones that Collects System Logs
- ^[HackRead] Another preinstalled app found on OnePlus that could collect user data
- ^{[BleepingComputer]} Second OnePlus Factory App Discovered. This One Dumps Photos, WiFi & GPS Logs
- ^[ZDNet] OnePlus: We’ll fix flawed app that lets attackers root our phones
Chrome OS Flaws
- ^{[SecurityWeek]} Google Discloses Details of $100,000 Chrome OS Flaws
Terdot Banking Trojan
- ^{[SecurityWeek]} Terdot Banking Trojan Could Act as Cyber-Espionage Tool
- ^{[BitDefender]} Terdot: Zeus-based malware strikes back with a lbask from the past (PDF)
- ^{[DarkReading]} Terdot Banking Trojan Spies on Email, Social Media
- ^{[SecurityAffairs]} Terdot Banking Trojan is back and it now implements espionage capabilities
- ^{[InfoSecurityMagazine]} Zeus Spawn ‘Terdot’ is a Banking Trojan with a Twist
- ^{[TheRegister]} New, revamped Terdot Trojan: It’s so 2017, it even fake-posts to Twitter
- ^[ZDNet] This banking malware wants to scoop up your email and social media accounts, too
McAfee
- ^[ZDNet] McAfee’s own anti-hacking service exposed users to banking malware

Legislation/Politics/Policies/Regulations/Law Enforcement

Summaries

백악관이 제로데이^(Zero-day) 취약점 공개 절차에 투명성을 제공하는 방안을 제시했다. 수요일 미 정부는 VEP^{(Vulnerabilities Equities Policy)} 프로그램에 더 큰 투명성^{(Transparency)}을 가져오는 변화를 소개했다. 이 절차는 미 정부 기관들이 찾아낸 소프트웨어 취약점을 공개할 것인지 여부를 결정하는 프로세스다. 백악관 사이버보안 코디네이터인 롭 조이스^{(Rob Joyce)}는 왜 모든 발견내역이 공개되지 않는지를 설명했다. 그는 공개되지 않는다는 점에는 변화가 없지만, 그 결정 과정에 더 큰 투명성을 도입한다고 말했다.

Detailed News List

Zero-day Disclosure Process, VEP
- ^{[SecurityWeek]} White House Cyber Chief Provides Transparency Into Zero-Day Disclosure Process
- ^{[DarkReading]} White House Releases New Charter for Using, Disclosing Security Vulnerabilities
- ^[ThreatPost] White House Releases VEP Disclosure Rules

Patches/Updates

Summaries

아파치 카우치디비^(CouchDB)의 심각한 취약점이 패치되었다. 지난주 공개된 아파치 카우치DB 업데이트에서 공격자가 악용할 수 있는 권한상승 및 코드실행 공격 취약점이 패치되었다. 카우치DB는 문서지향^{(document-oriented)} 오픈소스 데이터베이스 관리 시스템으로, NPM 등에서 사용되고 있다. 취약점은 CVE-2017-12635로 공격자가 관리자가 아닌 권한으로 관리자 권한을 획득하고 궁극적으로는 임의의 코드를 실행할 수 있다.
시스코^(Cisco)의 협업 제품인 Voice Operating System^(VOS)에서 심각한 취약점들이 발견되었다. 시스코에 따르면, 이 취약점들은 VOS에 기반한 제품들의 업그레이드 방식에 영향을 미친다. CVE-2017-12337 번호가 부여된 취약점은, 인증되지 않은 공격자가 원격으로 이 취약점을 공격하여 해당 장비의 루트 권한의 제어권을 획득할 수 있다.

Detailed News List

Apache CouchDB
- ^{[SecurityWeek]} Critical Vulnerabilities Patched in Apache CouchDB
Cisco Voice Operating System
- ^{[SecurityWeek]} Critical Flaw Exposes Cisco Collaboration Products to Hacking
- ^{[SecurityAffairs]} Cisco issued a security advisory warning of a flaw in Cisco Voice Operating System software

Privacy

Summaries

왓츠앱의 보낸 메시지 삭제 기능이 실제로는 삭제되지 않는다는 기사가 나왔다. 왓츠앱^(WhatsApp)은 최근 메시지 전송 취소기능을 소개한 바 있다. 메시지를 잘못 보냈을 경우 해당 메시지를 취소하면 ‘이 메시지는 삭제되었습니다^{(This message was deleted)}‘라고 바뀌며 화면상에 보이지 않게 된다. 이는 문자 메시지외에 사진, 동영상, GIF, 보이스 메시지에도 적용된다. 그러나 실제로는 스냅챗^(Snapchat)이 영구히 삭제된다^{(disappeared forever)}고 말했던 것과 다르게 스마트폰에 저장되었던 것 처럼, 왓츠앱 메시지도 기기에 그대로 남아있으며 쉽게 접근할 수 있다는 것이다.
아이폰의 페이스아이디 기사는 여전히 계속되고 있다. 최초 애플이 광고했던 바와는 확연히 다르게, 3D 프린터로 만들어낸 가면과 닮은 얼굴로도 인증이 뚫려버려서 기사는 꽤 오래 지속될 것으로 보인다.

Detailed News List

WhatsApp Messages
- ^{[NakedSecurity]} Deleted WhatsApp sent messages might not be gone forever
- ^{[Android Jefe]} How to SEE a deleted WhatsApp message after 7 minutes
- ^{[WeLiveSecurity]} Think you deleted that embarrassing WhatsApp message you sent? Think again
- ^{[eHackingNews]} WhatsApp: Deleted messages can be read using Third-Party app
Apple FaceID
- ^{[NakedSecurity]} Apple’s Face ID security fooled by simple face mask

Data Breaches/Info Leakages

Summaries

로스엔젤레스에 위치한 의류 소매업체인 Forever 21이 신용카드 정보에 허가되지 않은 접근이 있었다고 발표했다. Forever 21은 고객들에게 자사의 카드지불 시스템에 대한 조사를 시작했다고 공지했다. Forever 21은 2015년에 암호화 및 토큰화 시스템을 구현했으나 몇몇 Forever 21 매장의 일부 PoS^{(Point-of-Sale)} 장치들의 암호화가 동작하지 않고 있었다고 밝혔다.
유명 드론 제작사인 DJI가 SSL과 펌웨어 키를 GitHub에 몇년간이나 공개해 왔던 것으로 드러났다. 중국의 드론 제조사인 DJI가 .com 도메인 HTTPS 인증서^{(certificate)}의 비밀키^{(Private key)}를 GitHub에 4년간이나 공개해온 것으로 드러났다. SSL 비밀키는 DJI 소유의 GitHub 리포지토리에서 발견되었다. AWS 계정 인증정보와 펌웨어 AES 암호화 키 역시 노출되었는데, 잘못 설정되어 공개되어있는 AWS S3 버켓 정보도 있었다. DJI는 해당 HTTPS 인증서를 회수^(Revoked)조치 하고 9월달에 새로운 인증서를 발급받았다.
Cash Converters가 데이터 유출 사고가 있었다고 인정했다. Cash Converters는 사용자이름, 비밀번호, 주소 정보가 제3자에 의해 접근되었을 가능성이 있다고 언급했다. 이 데이터 침해 사고는 2017년 9월에 교체된 구 영국^(UK)사이트의 정보가 노출되었다. Cash Converters는 사람들이 보석이나 전자기기 등을 현금으로 거래하는 사이트다.

Detailed News List

Forever 21
- ^{[NakedSecurity]} Forever 21 informs customers of a potential data breach
- ^[SCMedia] Forever 21 reports data breach, failed to turn on POS encryption
- ^{[HotForSecurity]} Forever 21 clothing stores hit by credit card data breach after encryption failure
DJI
- ^{[TheRegister]} Drone maker DJI left its private SSL, firmware keys open to world+dog on GitHub FOR YEARS
Cash Converters
- ^[BBC] Cash Converters reveals customer data breach
- ^{[TheRegister]} Pawnbroker pwnd: Cash Converters says hacker slurped customer data

Internet of Things

Summaries

최근에 공개된 수십억 대의 안드로이드, iOS, 윈도우즈, 리눅스 장치들에 영향을 미치는 일련의 치명적인 블루투스 취약점들이, 수백만 대의 구글 홈^{(Google Home)}이나 아마존 에코^{(Amazon Echo)}와 같은 목소리로 제어되는 개인비서^{(Personal assistant)} 장치들 에서도 발견되었다. 블루본 공격은 총 8개의 블루투스 구현 취약점을 공격하는 정교한 공격법에 붙여진 이름이다. 이 공격법은 범위내에 있는 공격자가 대상 장치에서 악의적인 코드를 실행하거나 민감한 정보의 탈취, 제어권 장악, 중간자 공격 수행을 할 수 있게 한다.
몇년에 걸친 규제 단속에도 불구하고 일부 보안 카메라가 여전히 해커에게 무방비로 공개되어 있다는 결과가 나왔다. 메릴랜드^(Maryland)에 위치한 사이버보안 스타트업인 ReFirm이 미국내에서 TRENDnet, Belkin, Dahua 제조사에 의해 판매되는 인터넷 연결 제품들에서 취약점을 찾아냈다고 밝혔다. 이 취약점은 보안 카메라의 비디오 피드에 자유로이 접근할 수 있는 취약점이다.
자기 자동차의 인포테인먼트 시스템^{(infotainment system)}을 조사한 보안연구가의 놀라운 결과가 공개되었다. 자기차의 시스템을 조사한 이 연구가는 현대 소프트웨어 보안 원칙이 반영되지 않은 설계로 만들어 졌다고 말했다. 사용자의 스마트폰으로 부터 취득한 수많은 개인정보를 저장하고 있다는 것이다. 차량의 인포테인먼트 기기에서 코드를 실행시키는 것이 특별히 제작된 스크립트를 넣은 USB 플래시 드아리브를 접속시키는 정도로 아주 쉬우며, 시스템이 이 파일을 자동으로 읽고 전체 관리자 권한으로 실행시킨다. 또 이 연구자는 전화 기록, 연락처, 문자메시지, 이메일 메시지, 모바일 폰의 디렉토리 목록까지 차량에 동기화되어 인포테인먼트 기기에 평문으로 영구적으로 저장되는 중대한 프라이버시 문제를 찾아냈다.

Detailed News List

Amazon Echo/Google Home
- ^{[TheHackerNews]} Bluetooth Hack Affects 20 Million Amazon Echo and Google Home Devices
- ^{[SecurityWeek]} Amazon Echo, Google Home Vulnerable to BlueBorne Attacks
- ^[Armis] BlueBorne Attack
- ^[Armis] BlueBorne Cyber Threat Impacts Amazon Echo and Google Home
- ^[ZDNet] Google Home and Amazon Echo hit by big bad Bluetooth flaws
Vulnerable Security Cameras
- ^{[TheWashingtonPost]} Years after regulatory crackdown, some security cameras still open to hackers
Car Infotainment System
- ^{[MotherBoard]} Researchers Hack Car Infotainment System and Find Sensitive User Data Inside

Social Engineering/Phishing/Con/Scam

Summaries

싱가폴에서 경찰을 사칭한 웹사이트를 통해 $60,000의 사기 피해가 일어났다. 11월 13일에 60세의 여성이 사기에 넘어가 일생동안 저축한 $60,000 가량의 금액을 잃어버리는 사건이 발생했다. 이 사건은 싱가폴 경찰^{(SPF, Singapore Police Force)}이라 주장한 누군가의 전화 한통으로 시작되었다. 전화에서 은행 계좌가 돈세탁 등의 악의적인 목적으로 사용되고 있다고 하며 개인정보 및 은행 정보를 요구했다. 그리고 수사가 진행중이므로 누구에게도 이 내용을 발설하지 말라며 경고했다. 그리고 이튿날 가짜 경찰 웹사이트로 연결되는 링크를 받았고, 결국엔 $60,000에 달하는 금액이 사라졌다.

Detailed News List

Fake Police Website Scam
- ^[HackRead] Woman scammed for $60,000 through fake Police website

Technologies/Technical Documents/Statistics/Reports

Summaries

NSA와 CIA의 익스플로잇들이 유출되어 공개되고 미 정부의 VEP^{(Vulnerabilities Equities Policy)} 프로세스가 공개된 와중에, 기타 다른 정부들도 자신들의 제로데이 익스플로잇을 가지고 있을 것이라는 믿음에는 이제 의심의 여지가 없다. 그러나 이에 대한 정보는 알려진 바가 거의 없었다. 그러나 레코디드퓨처^{(Recorded Future)}가 오늘 발표한 보고서에 따르면, 중국 정부와 관계가 있을 수 있는 APT 그룹이 사용하는 심각한 취약점들에 대한 정보는 공개를 늦추고 있다는 결과를 내놓았다. 중국에는 중국 국가 안보부^{(MSS, Chinese Ministry of State Security)}에서 운영하는 보안 취약점 데이터베이스^{(CNNVD, China’s National Vulnerability Database)}가 있다. 이 데이터베이스는 일반적으로 미국의 유사한 NVD^{(National Vulnerability Database)}와 비교할 때 취약점을 더 빨리 공개한다. 그러나 몇몇 경우에서 느린 경우가 발견되었는데, 이 ‘아웃라이어’들의 경우가 놀라운 결과를 보여준다. 첫번째 경우는 CVE-2017-0199로 WannaCry와 NotPetya 대란에서 사용된 익스플로잇이다. 상세정보가 NVD에서 2017년 4월 12일에 공개되었고 CNNVD에서는 50일 이후까지 발표되지 않았다. WannaCry 대란은 주로 북한 해커들과 연관되어 왔으나, 연구자들은 TA459라고 알려진 중국의 그룹도 동일한 취약점을 동일한 시기에 러시아 및 벨라루스^(Belarus)의 군대 및 항공^(Aerospace) 기관들에 사용했다고 지적했다. 두번째 경우는 CVE-2016-10136과 CVE-2016-10138 이다.

Detailed News List

China Vulnerability Disclosures
- ^{[SecurityWeek]} China May Delay Vulnerability Disclosures For Use in Attacks
- ^[CyberScoop] China hides homegrown hacks from its vulnerability disclosure process
- ^{[InfoSecurityMagazine]} Beijing Delays Bug Reports While Hackers Exploit Flaws — Report