MS12-037(CVE-2012-1875) 취약점을 악용한 악성코드 유포 Posted By ASEC , 2012년 6월 14일 마이크로소프트에서는 한국 시각으로 6월 13일 해당 업체에서 개발한 소프트웨어에 존재하는 보안 취약점들을 제거하기 위한 보안 패치를 배포하였다. 이와 동시에 보안 업체인 맥아피(McAfee)에서는 마이크로소프트가 배포한 보안 패치 “Microsoft Security Bulletin MS12-037 – Internet Explorer 누적 보안 업데이트 (2699988)“에 포함된 CVE-2012-1875 취약점을 악용하는 공격이 실제 발생하고 있음을 블로그 “Active Zero-Day Exploit Targets Internet Explorer Flaw“를 통해 공개하였다. ASEC에서는 추가적인 조사를 통해 해당 CVE-2012-1875 취약점을 악용하는 악성코드는 아래 이미지와 동일한 스크립트 형태의 악성코드 임을 확인하였으며, 최초 유포는 홍콩에 위치한 특정 시스템을 통해 진행 되었다. 홍콩에 위치한 해당 시스템에서는 서로 다른 쉘코드(Shellcode)를 가진 스크립트 악성코드가 동시에 유포되었다. 해당 CVE-2012-1875 취약점은 인터넷 익스플로러가 삭제된 개체에 액세스하는 방식의 오류로 인해 메모리가 손상되어 임의 코드를 실행할 수 있는 코드 실행 취약점이다. 그리고 해당 스크립트 악성코드는 ROP(Return-Oriented Programming) 기법을 이용하여 윈도우 시스템에 포함되어 있는 메모리 보호 기능인…
독일 은행을 노리는 스파이아이 변형 발견 Posted By ASEC , 2012년 6월 1일 ASEC에서는 4월 4일 온라인 뱅킹 정보 탈취를 위해 제작된 스파이아이(SpyEye) 트로이목마가 이제는 온라인 뱅킹외에 다양한 국가에 위치한 다양한 산업군의 웹 사이트들에서 사용자 계정 정보들의 탈취를 노린다는 정보를 전달한 바가 있다. 이러한 스파이아이 트로이목마가 감염 형태가 기존에 발견되었던 스파이아이 변형들과 다른 새로운 형태의 스파이아이 변형이 발견되었다. 이 번에 발견된 스파아이 트로이목마는 전체적인 동작면에서는 기본적으로 동일한 것으로 미루어 현재까지 언더그라운드에 공개된 다양한 온라인 뱅킹 정보 탈취 트로이목마들의 소스코드 중 스파이아이의 소스코드를 사용된 것으로 추정된다. 추가적으로 ASEC에서는 2012년 5월 중순부터 해당 새로운 스파이아이 트로이목마 변형이 유포되기 시작한 것으로 추정되며, 그리고 웹 익스플로잇 툴킷(Web Exploit Toolkit)의 한 종류인 블랙홀 익스플로잇 툴킷(Blackhole Exploit Toolkit)에 의해 유포된 것으로 추정하고 있다. 해당 스파이아이 트로이목마에 감염되면 감염된 시스템에서 실행 중인 정상 윈도우 시스템 파일 explorer.exe의 프라이빗 메모리(Private Memory) 영역에 자신의…
마이크로소프트 2012년 5월 보안 패치 배포 Posted By ASEC , 2012년 5월 9일 마이크로소프트(Microsoft)에서 2012년 4월 한달 동안 해당 업체에서 개발한 소프트웨어에서 발견된 보안 취약점들을 제거하기 위해 보안 패치를 2012년 5월 9일 배포하였다. 이번에 마이크로소프트에서 배포된 보안 패치들은 총 7건으로 다음과 같다. Microsoft Security Bulletin MS12-029 – 긴급 Microsoft Word의 취약점으로 인한 원격 코드 실행 문제점 (2680352) Microsoft Security Bulletin MS12-030 – 중요 Microsoft Office의 취약점으로 인한 원격 코드 실행 문제점 (2663830) Microsoft Security Bulletin MS12-031 – 중요 Microsoft Visio Viewer 2010의 취약점으로 인한 원격 코드 실행 문제점 (2597981) Microsoft Security Bulletin MS12-032 – 중요 TCP/IP의 취약점으로 인한 권한 상승 문제점 (2688338) Microsoft Security Bulletin MS12-033 – 중요 Windows Partition Manager의 취약점으로 인한 권한 상승 문제점 (2690533) Microsoft Security Bulletin MS12-034 – 긴급 Microsoft Office, Windows, .NET Framework 및 Silverlight에 대한 통합 보안…
Adobe Flash CVE-2012-0779 취약점 악용한 Targeted Attack Posted By ASEC , 2012년 5월 7일 한국 시각으로 5월 4일 저녁 Symantec에서는 블로그 “Targeted Attacks Using Confusion (CVE-2012-0779)“을 통해 Adobe Flash Player에 존재하는 CVE-2012-0779 취약점을 악용한 타겟 공격(Targeted Attack)이 발생하였음을 공개하였다. 이와 관련해 Adobe에서도 보안 권고문 “Security update available for Adobe Flash Player“을 통해 Flash Player에 CVE-2012-0779 취약점이 존재하며, 해당 취약점을 제거하기 위한 보안 패치를 공개하였다. 이 번에 공개된 해당 CVE-2012-0779 취약점은 Adobe Flash Player 11.2.202.233와 그 이전 버전이 모두 영향을 받는 것으로 밝히고 있다. Symantec에서는 이 번에 발생한 Targeted Attack은 전통적인 기법으로 이메일의 첨부 파일을 이용하여 진행 되었으며, 첨부 파일로는 취약한 Adobe Flash 파일을 호출할 수 있도록 되어 제작된 마이크로소프트 워드(Microsoft Word) 파일이 존재하였다. ASEC에서는 해당 워드 파일들을 확보하여, 아래 이미지와 같이 워드 파일 내부의 1Table에 취약한 Adobe Flash 파일인 SWF을 호출할 수 있도록 제작 되어 있는 것을 확인 하였다….
MS12-020 취약점을 악용하는 PoC 코드 공개 Posted By ASEC , 2012년 3월 19일 마이크로소프트에서는 3월 14일 해당 기업에서 개발한 소프트웨어들에 대한 보안 패치를 배포하였으며, 이 중 “MS12-020 원격 데스크톱의 취약점으로 인한 원격 코드 실행 문제점 (2671387)“의 코드 실행 취약점으로 인해 네트워크로 전파되는 악성코드 제작을 우려하여 마이크로소프트에서는 Security Research & Defense 블로그 “CVE-2012-0002: A closer look at MS12-020’s critical issue“도 공개하였다. 현재 ASEC에서는 해당 MS12-020 취약점에 대한 추가적인 정보 수집과 함께 해당 취약점에 대한 자세한 분석을 진행 중에 있다. 최초 중국 언더그라운드를 중심으로 공개된 파이선(Python)으로 제작된 해당 취약점의 PoC(Proof of Concept) 코드는 과거 “MS08-067 서버 서비스의 취약점으로 인한 원격 코드 실행 문제점 (958644)” 공격 코드를 기반으로 제작된 허위 공격 코드로 판단되었다. 그러나 이 후 3월 16일을 즈음하여 중국 언더그라운드에서 BSOD(Blue Screen Of Death)을 유발할 수 있는 Poc 코드가 공유되고 아래 이미지와 같은 커맨드 라인(Command Line)…
