- 국제 CC인증 획득으로 국내외 네트워크 보안 시장 공략 박차


글로벌 통합보안기업 안랩[대표 김홍선, www.ahnlab.com]은 자사의 네트워크 통합보안 솔루션인 ‘안랩 트러스가드[AhnLab TrusGuard, 이하 트러스가드]’가 최근 IT보안인증사무국으로부터 국제 CC인증을 획득했다고 발표했다.

 

국제공통평가기준인 CC[Common Criteria] 인증은 IT 솔루션의 보안성을 평가하기 위한 공신력있는 국제기준[ISO 표준]으로, 트러스가드는 이번에 EAL 2[Evaluation Assurance Level 2] 등급으로 인증을 획득했다.

 

안랩은 이번 국제 CC인증 획득으로 증명된 네트워크 보안 기술력과 신뢰성을 바탕으로, 최근 국내뿐만 아니라 해외에서도 관심이 높아지고 있는 네트워크 보안 시장 공략에 박차를 가한다는 계획이다.

 

트러스가드는 대규모 트래픽과 대용량 세션[PC와 PC 간 통신을 위한 연결 정보]을 고속으로 처리하는 고성능 네트워크 보안 솔루션이다. 높은 수준의 방화벽 성능을 제공하며, 외부에서 효율적이고 안전하게 내부 시스템에 접속할 수 있는 VPN[가상사설망, Virtual Private Network] 기능을 제공한다. 또한, 안랩의 안티바이러스 엔진과 디도스[DDoS, 분산 서비스 거부 공격] 방어 기술을 적용해, 악성코드 침입과 네트워크 이상 트래픽 탐지 및 차단 기능 등 차세대 방화벽 기능도 제공한다.

 

현재 트러스가드는 국내 다수의 기업, 공공기관, 학교, 병원 및 금융권을 중심으로 대형 고객사를 보유하고 있다. 해외의 경우, 태국, 말레이시아 등 동남아 국가의 정부기관 및 기업에 공급되어 있다.

 

안랩 김홍선 대표는 “이번 국제 CC인증은 안랩의 네트워크보안 기술력에 대한 신뢰성을 국제적으로 인정받은 것이다. 이번 인증으로 검증된 신뢰성과 안정성을 바탕으로, 해외 시장 진출을 더욱 활성화할 것으로 기대한다”고 말했다.

 

한편, 안랩은 이번 트러스가드의 CC 인증으로 미국 플로리다에서 열리는 제14회 ICCC[International Common Criteria Conference, 9/10~12]에서 공식적으로 CC인증서를 수여받는다. ICCC는 전세계 인증기관, 평가기관, 보안업체들이 참여하여 CC평가/인증에 대한 기술과 정책을 공유하는 자리이다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

한 해의 끝과 시작이 시작되는 시기에 마이크로소프트(Microsoft)에서 개발하는 인터넷 익스플로러(Internet Explorer) 웹 브라우저의 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점을 악용한 공격이 공개되었다.


이 번에 발견된 인터넷 익스플로러의 제로 데이 취약점을 악용한 공격은 미국 언론사인 The Washington Free Beacon의 기사 "Chinese Hackers Suspected in Cyber Attack on Council on Foreign Relations"의 미국 외교 협의회(Council on Foreign Relations, CFR) 웹 사이트가 해킹되었다는 소식을 통해 공개되었다.


이와 관련해 마이크로소프트에서도 보안 권고문 "Microsoft Security Advisory (2794220) Vulnerability in Internet Explorer Could Allow Remote Code Execution"을 통해 인터넷 익스플로러에 존재하는 제로 데이 취약점(CVE-2012-4792) 관련 정보를 공개하였다.


해당 제로 데이 취약점에 영향을 받는 인터넷 익스플로러 버전은 다음과 같다.


Internet Explorer 6

Internet Explorer 7

Internet Explorer 8


이번 미국 외교 협의회 웹 사이트 해킹을 통해 공개된 인터넷 익스플로러의 제로 데이 취약점을 악용한 공격은 다수의 자바 스크립트 파일과 어도비 플래쉬(Adobe Flash) 파일이 사용되었다. 이번 공격의 전체적인 구조를 도식화하면 다음과 같다.



인터넷 익스플로러의 제로 데이 취약점을 악용한 공격에 사용되었던 help.html(4,389 바이트)의 코드를 살펴보면, 아래 이미지와 동일하게 운영체제에 설정되어 있는 언어 코드가 중국어, 영어, 대만 중국어, 일본어, 러시아어 그리고 한국어 일 경우에만 해당 취약점이 동작하도록 제작되었다.



그리고 어도비 플래쉬 파일인 today.swf(4,057 바이트)와 news.html(849 바이트)를 호출하도록 코드가 제작되어 있다.





해킹된 시스템의 동일한 경로에 존재하였을 것으로 추정되는 today.swf(4,057 바이트)는 아래 이미지와 같이 힙 스프레이 오버플로우(heap-spreay overflow) 코드와 함께 쉘코드(Shellcode)가 포함되어 있다.



해당 쉘코드로 인해 다운로드 되는 xsainfo.jpg(509,440 바이트) 아래 이미지와 같이 XOR로 인코딩(Encoding)되어 있으며, 이를 디코딩(Decoding)하게 되면 flowertep.jpg(509,440 바이트)가 생성된다.



디코딩된 flowertep.jpg(509,440 바이트)가 정상적으로 실행 되면 미국에 위치한 web.vipreclod.com 도메인을 가진 시스템으로 접속을 시도하게 되나, 분석 당시에는 정상적인 접속이 이루어지지 않았다.



정상적으로 접속이 성공하게 될 경우에는 특정 jpg 파일을 다운로드 하여 공격자가 지정한 다른 명령들을 수행할 것으로 추정되며, 다음과 같은 악의적인 기능들을 수행 할 수 있는 코드들이 포함되어 있다.


키보드 입력 후킹

운영체제 정보

IP 정보

커맨드라인(CommandLine) 명령 수행


현재 마이크로소프트에서는 해당 제로 데이 취약점(CVE-2012-4792)을 제거하기 위한 보안 패치를 미국 현지 시각으로 1월 8일 배포 예정이다.


그 동안 임시적인 방편으로는 인터넷 익스플로러를 해당 취약점에 영향을 받지 않는 9와 10버전을 사용하거나 다른 웹 브라우저를 사용할 것을 권고하고 있다.


만약, 해당 제로 데이 취약점의 영향을 받는 버전의 인터넷 익스플로러를 사용해야 될 경우에는 마이크로소프트에서 제공하는 별도의 FixIT을 "Microsoft "Fix it" available for Internet Explorer 6, 7, and 8"을 설치해야 된다.


이 번에 발견된 인터넷 익스플로러의 제로 데이 취약점을 악용하는 악성코드들 모두 V3 제품군에서 다음과 같이 진단한다.


JS/Agent 

SWF/Cve-2012-4792

Binimage/Cve-2012-4792

BinImage/Diofopi 

Downloader/Win32.Agent


그리고 네트워크 보안 장비인 트러스가드(TrusGuard) 제품군에서는 다음과 같이 탐지 및 차단이 가능하다.


ms_ie_button_memory_corruption(CVE-2012-4792) 

ms_ie_button_memory_exploit(CVE-2012-4792) 


현재 해당 인터넷 익스플로러에 존재하는 제로 데이 취약점을 악용하는 공격이 추가적으로 발견되고 있음으로, 인터넷 익스플로러 사용자들의 각별한 주의가 필요하다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

마이크로소프트(Microsoft)에서는 2012년 9월 17일 블로그 "Microsoft Security Advisory (2757760) Vulnerability in Internet Explorer Could Allow Remote Code Execution"를 통해 인터넷 익스플로러(Internet Explorer) 버전 7과 8에 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점이 발견되음을 공개하였다.


이 번에 발견된 해당 제로 데이 취약점은 인터넷 익스플로러에서 HTML 파일을 렌더링하는 과정에서 메모리 오염으로 인한 임의의 코드 실행 취약점으로, 현재 해당 제로 데이 취약점을 악용한 공격이 9월 14일을 전후하여 실제 발생하였다.


해당 제로 데이 취약점은 8월 26일 공개된 오라클 자바 JRE 7 제로 데이 취약점 악용 악성코드 유포 관련 서버에서 발견되어, 자바(Java) 취약점 악용과 관련이 있을 것으로 추정된다.


이 번에 유포된 인터넷 익스플로러 제로 데이 취약점을 악용에는 Exploit.html (304 바이트), Moh2010.swf (13,631 바이트), Protect.html (973 바이트)와 111.exe (16,896 바이트) 총 4개의 악성코드가 사용되었다.



최초 Exploit.html (304 바이트)에는 아래 이미지와 같이 Moh2010.swf (13,631 바이트)을 호출하는 코드를 포함하고 있으며, 해당 Moh2010.swf (13,631 바이트)는 DoSWF라는 어도비 플래쉬(Adobe Flash) 파일을 암호화 및 인코딩하는 툴에 의해 암호화되어 있다.



실제 Moh2010.swf (13,631 바이트)는 아래 이미지와 같은 도형만을 보여주게 되어 있으며, 다른 코드는 포함되어 있지 않다.



Exploit.html (304 바이트)에 의해 호출되는 Moh2010.swf (13,631 바이트)의 암호화를 해제하게 되면 아래 이미지와 같이 Protect.html (973 바이트)를 iFrame으로 호출하게 되어 있다.



Protect.html (973 바이트)는 아래 이미지와 같이 실질적인 인터넷 익스플로러의 제로 데이 취약점을 악용하는 코드가 포함되어 있다.



이 번에 발견된 해당 제로 데이 취약점이 정상적으로 악용될 경우에는 111.exe (16,896 바이트)를 다운로드하고 실행하게 된다.


해당 111.exe (16,896 바이트)이 실행되면 mspmsnsv.dll (10,240 바이트)를 다음 경로에 생성하게 된다.


C:\WINDOWS\system32\mspmsnsv.dll


그리고 윈도우 시스템에 존재하는 정상 파일인 svchost.exe를 실행시켜 해당 프로세스의 스레드로 생성한 mspmsnsv.dll (10,240 바이트)를 삽입하게 된다.


스레드로 정상적으로 동작하게 되면 ie.aq1.co.uk 으로 접속을 시도하나 분석 당시에는 정상적으로 접속이 이루어지지 않았다.



접속이 정상적으로 이루어지게 될 경우에는 공격자의 명령에 따라 원격 제어 등의 백도어 기능 들을 수행하게 된다.


이 번 인터넷 익스플로러 버전 7과 8에 존재하는 알려지지 않은 제로 데이 취약점을 악용과 관련된 악성코드들 모두 V3 제품군에서 다음과 같이 진단한다.


JS/Dufmoh

SWF/Exploit

Win-Trojan/Poison.16898

Trojan/Win32.Npkon


그리고 네트워크 보안 장비인 트러스가드(TrusGuard) 제품군에서는 해당 취약점을 악용하는 스크립트 악성코드들을 다음과 같이 탐지 및 차단한다.


ms_ie_execcommand_exploit(CVE-2012-4969)

javascript_malicious_heap_spray-4(HTTP)


현재 해당 제로 데이 취약점에 대한 보안 패치가 아직 마이크로소프트에서 배포하지 않고 있음으로, 인터넷 웹 사이트 방문시 각별한 주의가 필요하다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

미국 현지 시각으로 8월 26일 보안 업체 FireEye에서 블로그 "ZERO-DAY SEASON IS NOT OVER YET"를 통해 오라클(Orcle) 자바 JRE(Java Runtime Environment) 7에서 임의의 코드를 실행 할 수 있는 코드 실행 취약점(CVE-2012-4681)을 발견하였음을 공개하였다.


현재 해당 자바 JRE 취약점은 개발 업체인 오라클에서 해당 보안 취약점을 제거할 수 있는 보안 패치를 제공하지 않고 있는 제로 데이(Zero-Day, 0-Day) 취약점으로 각별한 주의가 필요하다.


이 번에 발견된 자바 JRE 관련 제로 데이 취약점은 다음 버전의 소프트웨어에서 악용이 가능하다.


Oracle Java 7 (1.7, 1.7.0)

Java Platform Standard Edition 7 (Java SE 7)

Java SE Development Kit (JDK 7)

Java SE Runtime Environment (JRE 7)


해당 자바 JRE 관련 취약점은 최초 아래 이미지와 같이 중국에서 제작된 공다 팩(GongDa Pack)이라 불리는 웹 익스플로잇 툴킷(Web Exploit Toolkit)에서 사용되는 스크립트 악성코드를 통해 유포되었으며, 최초 유포지는 대만에 위치한 특정 시스템이다.



이 번 자바 JRE 취약점 악용을 위해 유포된 공다 팩에서 사용되는 스크립트를 디코딩 하게 되면 스크립트가 유포된 동일한 시스템에 존재하는 Appelt.jar (7,855 바이트)와 hi.exe (16,896 바이트)가 다운로드 되도록 제작되었다.


다운로드 된 Appelt.jar (7,855 바이트) 내부에는 아래 이미지와 같이 해당 CVE-2012-4681 취약점을 직접적으로 악용하도록 제작되어 있는 클래스(Class) 파일인 App.class (7,231 바이트)가 포함되어 있다.



해당 자바 JRE 취약점(CVE-2012-4681)으로 인해 실행되는 hi.exe (16,896 바이트)는 최초 실행이 되면 윈도우 시스템 폴더(C:\WINDOWS\system32\)에 mspmsnsv.dll (10,240 바이트) 파일을 생성하게 된다.


C:\WINDOWS\system32\mspmsnsv.dll 


그리고 윈도우 시스템에 존재하는 정상 프로세스인 svchost.exe를 실행하여 해당 프로세스의 스레드로 생성한 mspmsnsv.dll (10,240 바이트)을 인젝션하게 된다.


인젝션이 성공하게 되면 특정 도메인명을 가진 C&C 서버와 통신을 시도하나 분석 당시에는 정상적인 접속이 이루어지지 않았다. 정상적으로 접속이 성공하게 되면 원격 제어 등의 공격자가 의도하는 백도어 기능을 수행하게 된다.


추가적으로 핀란드 보안 업체 F-Secure에서는 블로그 "Blackhole: Faster than the speed of patch"를 통해 블랙홀 웹 익스플로잇 툴 킷(Blackhole Web Exploit Toolkit)을 통해서도 유포 중에 있는 것으로 공개하였다.


ASEC에서 이와 관련한 추가 정보들을 확인하는 과정에서 사회 공학 기법을 악용한 이메일을 통해 최소 약 300개의 도메인을 이용해  유포 중인 것으로 파악하였다.


현재 블랙홀 웹 익스플로잇 툴 킷을 통해 유포 중인 CVE-2012-4681 취약점을 악용하는 JAR 파일은 Pre.jar (31,044 바이트)Leh.jar (31,044 바이트) 파일명으로 유포 중이나 2개 모두 동일한 파일이다. 그러나 현재 언더그라운드에서는 해당 취약점을 악용 가능한 PoC(Proof of Concept)가 공개되어 있음으로 다양한 변형들이 지속적으로 유포될 것으로 예측된다.


이 번에 발견된 자바 JRE 7에서 임의의 코드를 실행 할 수 있는 코드 실행 취약점(CVE-2012-4681)을 악용하는 악성코드들 모두 V3 제품 군에서 다음과 같이 진단한다.


JS/Downloader

JAVA/CVE-2012-4681

JS/Blacole

Win-Trojan/Poison.16898 

Win-Trojan/Buzus.153447

Trojan/Win32.Npkon


그리고 네트워크 보안 장비인 트러스가드(TrusGuard) 제품군에서는 해당 취약점을 악용한 공다 팩 스크립트 악성코드와 취약한 클래스 파일을 포함한 JAR 파일을 다음과 같이 탐지 및 차단이 가능하다.


javascript_malicious_gongda-2(HTTP)

java_malicious_jar-8(HTTP)

java_malicious_jar-gd(HTTP)


앞서 언급한 바와 같이 현재 자바 JRE에서 발견된 취약점은 제로데이 취약점으로 자바 개발 업체인 오라클에서 보안 패치를 제공하지 않고 있다.


이와 관련하여 US-CERT에서는 보안 권고문 "Oracle Java JRE 1.7 Expression.execute() and SunToolkit.getField() fail to restrict access to privileged code" 을 통해 아래와 같은 사항들을 임시 방안으로 권고하고 있다.


* 자바 플러그인 비활성화


- 파이어폭스 (Firefox)

파이어폭스 실행 후 상단의 [도구]->[부가 기능]을 클릭한다. 그 중에서 "플러그인"을 선택 후 자바 관련 플러그인들을 "사용안함"으로 설정한다.


- 사파리(Safari)

[기본 설정]을 클릭후 [보안]을 선택한다. 그리고 "Java 활성화"에 체크 마크를 해제한다.



- 크롬(Chrome)

크롬을 실행 후 주소 창에 "chrome://plugins/"을 입력한 후, "JAVA Plug-in"을 사용 중지한다.


- 인터넷 익스플로러(Internet Explorer)

윈도우 제어판을 실행 훈 "Java 제어판" -> [고급]을 선택 한 후 [브라우저용 기본 Java]에서 [Microsoft Internet Explorer]에 체크 마크를 해제한다.



앞서 언급한 바와 같이 현재 해당 취약점은 보안 패치가 제공되지 않는 제로 데이 취약점임으로 각별한 주의가 필요하다. 그리고 언더그라운드에는 이미 해당 취약점을 악용 할 수 있는 PoC 코드가 공개 되었음으로 다양한 보안 위협에서 해당 취약점을 악용 할 가능성이 높을 것으로 예측 된다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

ASEC에서는 중국에서 제작되는 것으로 추정되는 GongDa Pack으로 명명된 스크립트 형태의 악성코드가 지속적으로 발견되고 있다는 것을 공개한 바가 있다.


7월 30일 - GongDa Pack의 스크립트 악성코드 증가


최근들어 GongDa Pack으로 명명된 스크립트 악성코드 이외에 YSZZ로 명명된 스크립트 악성코드가 버전을 계속 변경하면서 유포되고 있는 것이 발견되었다.


7월 3일 발견된 스크립트 악성코드의 경우는 아래 이미지처럼 상반기부터 발견되기 시작한 다른 YSZZ 스크립트 악성코드 변형들과 동일하게  0.3 버전의 스크립트 였다. 



그러나 8월 3일 발견된  YSZZ 스크립트 악성코드는 아래 이미지와 같이 0.8 VIP 버전으로 업데이트된 버전의 스크립트 였다.



8월 11일 주말에 발견된 YSZZ 스크립트 악성코드는 아래 이미지와 같이 0.9 VIP 버전으로 다시 업데이트된 버전의 스크립트 였다.



해당 업데이트 된 버전의  YSZZ 스크립트 악성코드들은 V3 제품군에서 다음과 같이 진단한다. 하지만 다수의 변형들이 지속적으로 발견되고 있음으로 주의가 필요하다.


HTML/Downloader

JS/Downloader 

JS/Agent 


그리고 네트워크 보안 장비인 트러스가드(TrusGuard) 제품군에서는 다음과 같이 탐지 및 차단이 가능하다.


javascript_malicious_yszz(HTTP)

javascript_malicious_yszz-2(HTTP)


공다 팩과 YSZZ 스크립트 악성코드 모두 어도비 플래쉬(Adobe Flash)와 자바(JAVA)와 같은 일반 어플리케이션들의 취약점을 악용하여 다른 온라인 게임 관련 악성코드나 원격 제어가 가능한 백도어 형태의 악성코드들의 감염을 시도하는 특징이 있다.


그러므로, 운영 체제를 포함한 자주 사용하는 어플리케이션들의 취약점을 제거할 수 있는 보안 패치들을 주기적으로 설치하는 것이 중요하다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

ASEC에서는 2012년 5월 월간 "안"을 통해 공다 팩(GongDa Pack)으로 명명된 중국에서 제작된 웹 익스플로잇 툴 킷(Web Exploit Toolkit)에 대한 상세한 분석 정보에 대해 공개한 사례가 있다. 


2012-05-08 'GongDa'의 무차별 웹 공격이 시작됐다


공다 팩이라는 해당 웹 익스플로잇 툴킷의 스크립트 악성코드는 다양한 일반 어플리케이션들의 취약점을 악용하여 온라인 게임 관련 개인 정보들을 탈취하는 악성코드 유포를 목적으로 하고 있었다.


이러한 공다 팩에서 사용되는 스크립트 악성코드가 최근 몇 주 사이 지속적으로 발견되고 있으며, 업데이트 된 공다 팩 변형에 의해 유포되는 것으로 확인되었다.


최초 2012년 5월에 발견된 공다 팩에서 사용되는 스크립트 악성코드는 버전이 "JSXX 0.41"로 표기되어 있으나, 최근에 다시 발견되고 있는 스크립트 악성코드들의 경우 아래 이미지와 동일하게 "JSXX 0.44"로 표기 되어 있다.



해당 업데이트 된 버전의 공다 팩을 이용해 유포되는 스크립트 악성코드들은 V3 제품군에서 다음과 같이 진단한다. 하지만 다수의 변형들이 지속적으로 발견되고 있음으로 주의가 필요하다.


HTML/Downloader


그리고 네트워크 보안 장비인 트러스가드(TrusGuard) 제품군에서는 다음과 같이 탐지 및 차단이 가능하다.


pack_malicious_gongda(HTTP)

pack_malicious_gongda-2(HTTP)


공다 팩과 같은 웹 익스플로잇 툴킷들은 어도비 플래쉬(Adobe Flash)와 자바(JAVA)와 같은 일반 어플리케이션들의 취약점을 악용하여 다른 악성코드들의 감염을 시도하는 특징이 있음으로, 운영 체제를 포함한 자주 사용하는 어플리케이션들의 취약점을 제거할 수 있는 보안 패치들을 주기적으로 설치하는 것이 중요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

현지 시각으로 6월 12일 마이크로소프트(Microsoft)에서는 XML 코어 서비스(Core Services)에 알려지지 않은 제로 데이(Zero Day, 0-Day) 취약점이 발견되었음을 보안 권고문 "Microsoft Security Advisory (2719615) Vulnerability in Microsoft XML Core Services Could Allow Remote Code Execution"을 통해 공개한 바가 있다.


해당 취약점은 공격자가 지정한 임의 코드를 실행 할 수 있는 코드 실행 취약점이며, 해당 XML 코어 서비스를 사용하는 윈도우(Windows) 운영체제와 오피스(Office) 2003과 2007 버전에서 악용이 가능하다.


해당 취약점은 현재까지도 마이크로소프트에서 보안 패치를 제공하지 않는 제로 데이 취약점이며, 임시 방안으로 해당 취약점을 제거 할 수 있는 픽스 잇(Fix it)을 보안 공지 "Microsoft 보안 공지: Microsoft XML Core Services의 취약성으로 인한 원격 코드 실행 문제"를 통해 배포 중에 있다.


해당 XML 코어 서비스를 악용하는 스크립트 악성코드가 해외에서 발견되는 사례가 서서히 증가하고 있어 주의가 필요하다.


최근 발견된 해당 제로 데이 취약점을 악용하는 스크립트 악성코드는 아래 이미지와 같은 형태의 쉘코드(Shellcode)가 구성되어 있다.



해당 스크립트 악성코드에 포함된 쉘코드가 실행되면 홍콩에 위치한 특정 시스템에서 css.exe (32,936 바이트)를 다운로드 한 후 실행하게 된다.


해당 파일이 실행되면 윈도우 운영체제에서 실행되는 정상 프로세스인 explorer.exe의 스레드로 자신의 코드들을 아래 이미지와 같이 삽입하게 된다



그리고 자신의 코드들이 정상적으로 스레드 인젝션을 하게 되면 구글(Google)의 공개용 DNS 서버로 질의를 송신하여 감염된 시스템이 인터넷에 정상적으로 연결되어 있는지 확인하게 된다.


그 후 싱가포르에 위치한 특정 시스템에 접속을 시도하게 되다, 분석 당시에는 해당 시스템으로 정상적인 접속이 이루어지지 않았다.


해당 악성코드는 감염된 시스템에서 하드웨어 정보, 운영 체제 정보 및 커맨드라인(Command-Line) 명령을 실행하게 된다.


앞 서 언급한 바와 같이 해당 XML 코어 서비스 취약점은 보안 패치가 제공되지 않는 제로 데이 취약점임으로 각별한 주의가 필요하며, 임시 방안으로 마이크로소프트에서 제공하는 픽스 잇을 설치할 수도 있다.


이 번에 발견된 해당 XML 코어 서비스 취약점을 악용하는 악성코드들은 V3 제품 군에서 다음과 같이 진단한다.


JS/Agent 

Win-Trojan/Dekor.32936 


그리고 네트워크 보안장비 트러스가드(TrusGuard) 제품군에서는 다음과 같이 탐지 및 차단이 가능하다.


http_ie_heap_spray_attack-4(HTTP)

ms_xml_core_service_exploit(CVE-2012-1889)


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원