TrusWatcher

고도의 사회 공학 기법이 포함된 취약한 한글 파일들

ASEC에서는 한글과 컴퓨터에서 개발하는 알려진 코드 실행 취약점을 악용하는 취약한 한글 파일을 악용한 악성코드가 발견되었다는 것을 9월 4일 공개하였다. 9월 4일 취약한 한글 파일에 대해 공개한 이 후인 9월 5일과 9월 6일 오전 기존에 알려진 취약점을 악용하는 취약한 한글과 파일들과 악성코드들이 다시 발견되었다. 9월 5일 발견된 취약한 한글 파일은 아래 이미지와 동일하게 최근 언론을 통해 이슈가 되고 있는 독도 관련 내용을 담고 있으며, 문서 역시 독도 일본땅`日,자신만만증거보니…황당.hwp (447,504 바이트)라는 파일명을 가지고 있다. 해당 취약한 한글 파일은 HncApp.dll에 존재하는 문단 정보를 파싱하는 과정에서 발생하는 버퍼 오버플로우(Buffer Overflow)로 인한 코드 실행 취약점이다. 해당 취약점으로 인해 suchost.exe (295,424 바이트)을 다음의 경로에 생성한다. c:documents and settings[사용자 계정명]local settingstempsuchost.exe 그리고 생성된 suchost.exe (295,424 바이트)는 다시 아래의 경로에 connection.dll (295,424 바이트)를 생성한다. c:documents and settingsall usersapplication dataconnection.dll 윈도우 시스템에 존재하는 정상 파일인 svchost.exe를 실행하여 스레드로…

한글 소프트웨어의 취약점을 악용하는 악성코드

ASEC에서는 그 동안 한글과 컴퓨터에서 개발하는 한글 소프트웨어에 존재하는 취약점을 악용하는 악성코드 사례들을 다수 공개한 적이 있다. 2011년 10월 – 취약한 한글 파일을 악용한 악성코드 유포 2012년 6월 – 한글 제로데이 취약점을 악용한 악성코드 유포 2012년 6월 – 알려진 한글 취약점을 악용한 악성코드 유포 2012년 7월 – 지속적으로 발견되는 취약한 한글 파일 유포 2012년 7월 – 한글 취약점을 악용한 취약한 한글 파일 추가 발견 2012년 8월 – 다시 발견된 한글 취약점을 악용한 취약한 한글 파일 2012년 9월 3일 다시 한글 소프트웨어에 존재하는 취약점을 악용하는 취약한 한글 파일과 악성코드가 다시 발견되었다. 이 번에 발견된 취약한 한글 파일을 열게 되면 아래 이미지와 동일하게 “북한전문가와 대북전략가“라는 제목의 내용을 가지고 있다. 이 번에 발견된 취약한 한글 파일은 기존에 발견되었던 취약한 한글 파일들에서 자주 악용되었던  HncTextArt_hplg 관련 버퍼 오버플로우(Buffer Overflow) 취약점은 아니다….

MS12-060(CVE-2012-1856) 취약점을 악용한 타겟 공격

마이크로소프트(Microsoft)에서는 8월 15일 7월 한 달간 발견된 해당 업체에서 개발한 보안 취약점들을 제거하는 보안 패치를 배포하였다. 이번 8월에 배포된 보안 패치 중에는 “MS12-060 – Windows 공용 컨트롤의 취약점으로 인한 원격 코드 실행 문제점 (2720573)“가 포함되어 있으며, 마이크로소프트에서 개발한 오피스(Office) 제품과 관련된 취약점이다. 해당 취약점에 대해 마이크로소프트는 별도의 블로그 “MS12-060: Addressing a vulnerability in MSCOMCTL.OCX's TabStrip control“를 통해 해당 MS12-060 보안 패치가 제거하는 보안 취약점 CVE-2012-1856을 악용한 타겟 공격(Targeted Attack)이 발견되었음도 같이 공개하였다. ASEC에서는 이와 관련하여 추가적인 정보들을 수집하는 과정에서 해당 타겟 공격에 실제 악용된 것으로 알려진 악성코드를 확보하였다. CVE-2012-1856 취약점을 악용한 타겟 공격은 이메일의 첨부 파일로 아래 이미지와 동일한 RTF(Rich Text Format)이 첨부되어 유포된 것으로 알려져 있다. 해당 CVE-2012-1856 취약점은 RTF 파일 내부에 포함되어 있는 엑티브엑스(ActiveX) 오브젝트에 의해 엑티브엑스 오프젝트 처리와 관련되어 있는 MSCOMCTL.OCX 파일의 메모리 엑세스…

다시 발견된 한글 취약점을 악용한 취약한 한글 파일

ASEC에서는 그 동안 지속적으로 발견되고 있는 한글 소프트웨어에 존재하는 취약점을 악용한 악성코드 감염 사례들 다수를 언급하였다.  6월 15일 – 한글 제로데이 취약점을 악용한 악성코드 유포 6월 26일 – 알려진 한글 취약점을 악용한 악성코드 유포 7월 5일 – 지속적으로 발견되는 취약한 한글 파일 유포 7월 25 – 한글 취약점을 악용한 취약한 한글 파일 추가 발견 2012년 8월 13일, 어제 다시 기존에 알려진 한글 취약점을 악용하는 취약한 한글 파일이 발견되었으며, 해당 취약한 한글 파일을 열게 되면 다음과 같은 내용이 나타나게 된다. 해당 취약한 한글 파일은 아래 이미지와 동일한 구조를 가지고 있으며 새로운 제로 데이(Zero Day, 0-Day) 취약점이 아니다. 해당 취약점은 HncTextArt_hplg에 존재하는 스택(Stack)의 경계를 체크하지 않아 발생하는 버퍼 오버플로우(Buffer Overflow) 취약점이며, 해당 취약점은 2010년부터 지속적으로 악용되어 왔던 한글 소프트웨어 취약점들 중 하나이다. 그리고…

한글 취약점을 악용한 취약한 한글 파일 추가 발견

ASEC에서는 그 동안 지속적으로 발견되고 있는 한글 소프트웨어에 존재하는 취약점을 악용한 악성코드 감염 사례들 다수를 언급하였다.  6월 15일 – 한글 제로데이 취약점을 악용한 악성코드 유포 6월 26일 – 알려진 한글 취약점을 악용한 악성코드 유포 7월 5일 – 지속적으로 발견되는 취약한 한글 파일 유포 이러한 한글 소프트웨어 존재하는 취약점을 악용한 취약한 한글 파일이 7월 24일 다시 발견되었으며, 이 번에 발견된 취약한 한글 파일은 아래 이미지와 동일한 내용을 가지고 있다. 해당 취약한 한글 파일은 아래 이미지와 동일한 구조를 가지고 있으며 새로운 제로 데이(Zero Day, 0-Day) 취약점이 아니다. 해당 취약점은 HncTextArt_hplg에 존재하는 스택(Stack)의 경계를 체크하지 않아 발생하는 버퍼 오버플로우(Buffer Overflow) 취약점이며, 해당 취약점은 2010년부터 지속적으로 악용되어 왔던 한글 소프트웨어 취약점들 중 하나이다. 그리고 해당 취약점은 한글과 컴퓨터에서 이미 보안 패치를 제공 중에 있다.  해당 취약점이 존재하는 한글…