[문스랩닷컴] 삶에는 왕도가 없습니다

MS08-068, MS Windows SMB 인증 취약점 발생, 패치하셔요

문스랩닷컴 — Wed, 12 Nov 2008 08:54:15 +0900

최근 MS의 취약점으로 인해 부산함을 떨었던 적이 있습니다. 11월 11일 자로 새로운 보안 취약점이 발표되어 간단히 정리합니다.

윈도우에서 취약점이 발견되었는데 크래커가 윈도우의 특정한 보안 기능을 우회하여 공격할 수 있다고 합니다. 이 취약점은 거의 모든 윈도우 버전에서 발견되었습니다.

취약점은 NTLM 자격 증명을 처리할 때에 SMB(Server Message Block) 내에서 인증 오류를 일어나게 하는 방식으로 유발됩니다. 공격자는 자격 증명을 제공한 사용자의 권한을 그대로 사용하는 리플레이 공격(replay attack)을 할 수 있습니다.

해결 방안은 패치를 적용하는 것으로 아래 링크를 참고하십시오.

Windows 2000 SP4:
http://www.microsoft.com/downloads/de...=44c971e6-96fc-4bba-8f4a-f9d46bda2b6c

Windows XP SP2:
http://www.microsoft.com/downloads/de...=6f8ae0aa-fd68-4156-9016-bba00149793c

Windows XP SP3:
http://www.microsoft.com/downloads/de...=6f8ae0aa-fd68-4156-9016-bba00149793c

Windows XP Professional x64 Edition (optionally with SP2):
http://www.microsoft.com/downloads/de...=9501b33b-d639-43e7-ad5a-9e76ed66effd

Windows Server 2003 SP1/SP2:
http://www.microsoft.com/downloads/de...=57a0606d-ea7a-4e5b-8b8b-7b77a444ef75

Windows Server 2003 x64 Edition (optionally with SP2):
http://www.microsoft.com/downloads/de...=915e001f-9aa0-4fb0-9c2a-0f0c72b4f056

Windows Server 2003 with SP1/SP2 for Itanium-based Systems:
http://www.microsoft.com/downloads/de...=6abf7ba9-825f-4ee2-a2fe-6b1cd9fab622

Windows Vista (optionally with SP1):
http://www.microsoft.com/downloads/de...=5612815f-8685-45d2-af4a-164c298a0869

Windows Vista x64 Edition (optionally with SP1):
http://www.microsoft.com/downloads/de...=727ce9b6-827f-4350-b4ff-c08e8ac541a6

Windows Server 2008 for 32-bit Systems:
http://www.microsoft.com/downloads/de...=b305e894-61ec-46b4-91ee-4c9ac59bc47e

Windows Server 2008 for x64-based Systems:
http://www.microsoft.com/downloads/de...=e8d26dfd-b347-4f10-b5b6-27dfff5e4f47

Windows Server 2008 for Itanium-based Systems:
http://www.microsoft.com/downloads/de...=d565467d-e10f-4ddc-a278-3f81a3798686

원문 : MS08-068 (KB957097):
http://www.microsoft.com/technet/security/Bulletin/MS08-068.mspx

MS08-067 취약점을 이용한 진단 및 공격 툴

문스랩닷컴 — Fri, 07 Nov 2008 14:07:16 +0900

지난 번에 MS08-067 취약점을 이용하여 패치되지 않은 컴퓨터를 공격하는 자료를 소개하였습니다.

이제 이러한 취약점을 가진 컴퓨터를 자동으로 찾아 주는 스캐너 프로그램까지 등장했습니다

프로그램 실행 화면은 다음과 같습니다.

찾은 이후에는 바로 공격을 수행할 수 있습니다.

출처: http://www.namipan.com/d/45ed8fe04484ab12c0f583489c57541652b5d79abdfb0d00

주의: 바이러스가 포함되어 있을 수 있습니다.

해커, 애플 제품을 종료할 수 있는 취약점을 발견했다고 주장해!

문스랩닷컴 — Thu, 06 Nov 2008 23:32:26 +0900

아직 공식적으로 언급된 사항은 아니지만, 일부 언론에서 언급되는 상황이라 간단히 정리합니다.

38살 먹은 피어지어지오 잠브리니(Piergiorgio Vambrini)라는 해커는 애플의 개짓(Gadget)을 무력화할 수 있는 방법이 있다고 주장합니다. 이 사람은 애플 사에 입사하지 못한 경력을 가지고 있으며 어떤 이유인지는 몰라도 아이폰, 아이팟, 맥 컴퓨터 수백만대를 종료할 수 있는 취약점을 발견했다고 주장했으며 이를 자세하게 밝혔습니다.

그는 인터넷 비디오에 바이러스를 삽입하여 아이폰을 크래시할 수 있고 전화기를 자동으로 재부팅시킬 수 있다고 합니다. 보안 전문가들은 원격지에서 애플 제품을 종료할 수 있는 바이러스라고 확신합니다.

그는 이러한 사항을 애플에 제공하였으며 애플 사는 패치를 개발하는 중이라고 합니다.

PS: 아무리 날고 기는 애플도 원한이 있는 사람(!)한테는 못 견디나 봅니다. @.@;

오바마 대통령 당선, 이제 스패머의 타겟~~

문스랩닷컴 — Thu, 06 Nov 2008 23:23:51 +0900

어제 오바마가 미국 44대 대통령에 당선되었습니다. 스패머들은 이러한 이슈를 그냥 넘기지 않습니다. 바로 금전적인 이익을 거둘 수 있는 스팸 메시지의 제목으로 선량한 시민의 눈길을 잡아 끕니다.

지난 수요일, 보안 업체인 소포스랩스(SophosLabs)에서 오바마의 대선 승리에 대한 뉴스 및 비디오를 보여준다는 대규모의 스팸 공격을 발견했습니다.

소포스랩스는 영국에 위치한 안티스팸 및 안티 바이러스 전문 업체입니다.

이메일은 보낸 사람이 "news@president.com"이고 제목은 "Obama win preferred in world poll"로 되어 있습니다.

이메일 본문에는 "amazing speech"라는 링크를 클릭하도록 요구하고 있으며 만약 사용자가 이를 클릭하는 경우(특히 아도브 플래시 9를 사용하는 경우)에는 시스템을 원격에서 조종할 수 있는 악성 코드에 감염됩니다. 악성 코드의 이름은 Mal/Behav-027로 이름지었습니다.

소포스랩스의 기술 컨설턴트인 그래함 클루레이(Graham Cluley)는 블로그에서 "사이버 범죄는 위험한 사이트에서 시작된다며 내 추측으로는 오바마의 사례를 볼 때 크래커는 인터넷 사용자를 감염되키기 위해 탐욕을 드러 낸다고' 언급했습니다

구글 안드로이드, 드디어 첫번째 바이러스 백신 제품 선보여

문스랩닷컴 — Thu, 06 Nov 2008 23:09:19 +0900

구글이 야심차게 준비하고 있는 '구글 안드로이드' 운영 체제에 대한 다양한 서드파티의 지원이 가속화되고 있습니다. 우리나라에서도 휴대폰의 플랫폼이 위피가 이정도의 파워를 보여줬다면 현재의 위피 존폐 여부가 왈가왈부되는 현실이 서글프기도 합니다. 하여튼,

SMobile Systems는 구글 안드로이드 OS에서 동작하는 최초의 안티 바이러스 소프트웨어를 출시한다고 발표했습니다. 이 제품의 이름은 SMobile VirusGuard입니다.

VirusGuard는 모바일 폰에서 동작하는 안드로이드 운영체제를 보호하기 위해 개발된 보안 제품입니다.

SMobile 엔지니어는 애플의 iPhone, Symbian, Palm, 윈도우 모바일, 블랙베리와 같은 휴대용 기기 제품의 안티 바이러스 및 보안 제품을 개발하는 지식을 사용하였다고 합니다. VirusGuard는 약 1년 이상 개발에 투자되었으며 2009년 1사분기에 소비자에게 선보일 예정입니다.

출처 - android community

MS08-067 익스플로잇 코드를 이용한 서버 공격

문스랩닷컴 — Thu, 06 Nov 2008 22:50:40 +0900

이번 달의 화두는 바로 MS08-067입니다. 인터넷 상에 PoC가 공개되었습니다. 현재 국내로 이 취약점을 이용하여 다양한 공격이 이루어지고 있으며 아래 자료를 통해 Server 서비스가 공격을 받는 상세한 자료를 보실 수 있습니다.

http://www.ntfaq.co.kr/4286

또한, 최근 중국에서 이러한 코드를 이용하여 원격지(패치가 안된)에 접속하는 자료가 소개되었습니다.

익스플로잇 코드의 이름은 MS0867.exe 파일이며 이는 인터넷 상에서 손쉽게 구할 수 있으므로 생략합니다.

공격 방식은 도스창(cmd)을 열고 입력합니다.

C:\경로\MS08067.exe <공격 서버 IP>

만약 패치가 되어 있는 경우에는 아래와 같이 나타납니다.

공격에 성공할 경우 netstat -na 명령어로 확인하여 볼 수 있습니다.

이제 텔넷 명령어로 개방된 포트로 접속하면 쉘 프롬프트가 나타납니다.

아래와 같이 사용자를 추가하고 로컬 사용자 및 그룹에서 보면 사용자가 추가된 모습을 볼 수 있습니다.

감사합니다.

출처: http://bbs.cnhacknet.com/thread-3315-1-2.html

보안 제품, 익스플로잇 공격에 취약

문스랩닷컴 — Tue, 04 Nov 2008 13:17:36 +0900

안티 바이러스, 시큐리티 슈트와 같은 보안 제품은 우리가 컴퓨터를 보다 안전하게 사용할 수 있도록 도와주는 프로그램입니다. 하지만, 등잔 밑이 어둡고, 가까운 곳에 적이 숨어 있는 법.

또한, 보안 제품을 타겟으로 하는 전문 악성 프로그램(익스플로잇)이 있다고 합니다. 이에 대해 간략히 정리해 봅니다.

시큐니아(Secunia)는 윈도우 뿐만 아니라 다양한 애플리케이션에서 발생할 수 있는 취약점을 상세하게 알려 주는 스캐너 프로그램으로 유명합니다. 시큐니아는 컴퓨터를 보호하기 위해 사용하는 여러 보안 제품들이 익스플로잇으로부터 위협이 되고 있다는 보고서를 밝혔습니다. 이 보고서에서는 보안 제품을 공격하는 실제 익스플로잇이 얼마나 되는지도 밝혔습니다.

시큐니아는 맥아피, 시만텍, F-Secure, 빗디펜더, 판다, 카스퍼스키 등 회사가 제공하는 보안 프로그램과 마이크로소프트가 제공하는 원케어 그리고 존알람 시큐리티 슈트 8, AVG 인터넷 시큐리티 8, CA 인터넷 시큐리티 2008, 트렌드 마이크로 인터넷 시큐리티 2008, 노만 7.10 등 제품을 테스트하였다.

약 300 가지의 익스플로잇에 대한 테스트가 진행되었으며 이 중 126개는 시큐니아에서 매우 중요하게 여기는 익스플로잇이었습니다. 가장 중요한 테스트는 바로 제로데이 위협, 널리 알려져 있는 익스플로잇, 그리고 시큐니아에서 개발한 익스플로잇으로 구성되어 있습니다.

테스트 결과 노턴 인터넷 시큐리티 2009가 다른 제품이 비해 대부분의 익스플로잇을 진단하고 차단하는데 효과적인 것으로 밝혀졌습니다. 하지만, 즐거워하기에는 너무 이릅니다. 노턴에서 진단해 낸 익스플로잇은 300 개 중에서 고작 64개로 21.33%에 불과합니다.

빗디펜더와 트렌드 마이크로는 두번째로 높은 진단율을 보였으며 각각 2.33%와 3.97%에 불과했습니다. 맥아피는 겨우 2%를 차지했지만 세번째로 등급이 매겨졌습니다.

그리고 원케어, 카스퍼스키, AVG, F-Secure, 판다, 존알람, CA, 노만의 순서로 진단율을 보이고 있으며 존알람은 0.67%, CA는 0.33%에 불과했습니다.

출처: http://www.thetechherald.com/article.php/200842/2243/Security-suites-fail-exploit-testing-as-Secunia-proves-layers-work

어도비 웹사이트, SQL 인젝션 공격 당해

문스랩닷컴 — Wed, 22 Oct 2008 06:50:56 +0900

널리 알려지고 안전하다고 생각되는 사이트만을 방문한다고 한다면 '안티 바이러스' 즉 백신이 필요없을까요?

또한, 최신 서비스팩이나 업데이트를 하지 않더라도 컴퓨터에 아무런 문제가 발생하지 않을까요?

아래의 소식은 유명하고, 안전할거라고 여겨지는 사이트에서 해킹을 당하여 방문자들이 악성코드 피해를 입을 수 있는 가능성을 보여 주고 있습니다. 항상 안티 바이러스를 생활화해야 할 것입니다.

최근 웹 공격이 많아지면서 대형 포탈 뿐만 아니라 유명한 웹 사이트들이 종종 해킹당하는 사태가 벌어지고 있습니다. 지난 주에 발생한 어도비(Adobe) 웹사이트의 해킹 소식을 전합니다.

보안 기업으로 유명한 소포스(Sophos) 사는 어도비 웹사이트에 방문한 사람들이 악성 코드에 감염될 수 있었다고 밝혔다.

소포스는 이러한 문제를 확인하고 지속적으로 어도비에 연락을 취하였으며 지난 주 목요일까지 악성 코드가 웹사이트에 그대로 방치되었다고 한다.

웹 사이트에서 비디오 블러거를 위한 팁을 제공하는 'Vlog IT support centre section' 부분에 'Mal/Badsrc-C'라는 악성 코드가 존재했다고 합니다. Mac/Badsrc-C 악성 코드는 SQL 인젝션 공격을 이용하여 여러 컴퓨터에 널리 감염시키는 위험한 코드이며, 인터넷에서 악성 스크립트를 다운로드하여 실행되면 사용자 PC에 스파이웨어가 설치됩니다.

하지만, 아직까지 어도비 사에서는 명확한 답변을 하지 않고 있습니다.

맥용 가짜 보안 제품 최초 발견

문스랩닷컴 — Sat, 18 Oct 2008 20:56:23 +0900

안티 바이러스와 같은 보안 제품이 아니지만 정확히는 보안 제품인 척하면서 컴퓨터를 망가뜨리거나 돈을 내야만 정상적으로 동작하게 하는 프로그램을 보통 허위 보안 프로그램(Rogue Security Program)이라고 합니다.

가장 대표적인 예로는 Antivirus 2009가 있으며, 최근에는 맥 운영체제에서 동작하는 가짜 보안 제품이 인터넷 상에서 유포되고 있다고 합니다.

외국 보안 회사로 알려져 있는 선벨트(Sunbelt) 사의 알렉스 에켈베리에 따르면 '맥가드(MacGuard)'라고 하는 제품을 광고하는 웹사이트를 발견했다고 합니다.

http://www.macguard.net

이 제품은 OS X 운영체제에서 사용할 수 있으며 안티바이러스 뿐만 아니라 스파이웨어 기능도 제공하며 애드웨어와 피싱 공격도 차단할 수 있다고 되어 있습니다.

아직까지 이 사이트에서 다운로드받을 수 있는 링크는 나타나지만 실제로는 다운로드할 수 없습니다.

이 사이트들의 배경에는 'Antivirus XP 2008'과 'XP Antivirus'를 배포하는 집단이 있을 것으로 믿어지고 있습니다. 이 두 프로그램은 허위 윈도우 보안 프로그램으로 사용자에게는 최악의 피해를 입히고 있으며, 최근에는 V3를 비롯한 다양한 안티바이러스에서 이를 진단하는 추세를 보이고 있습니다.

만약 MacGuard 프로그램이 정말 가짜 보안 프로그램으로 밝혀진다면 이는 맥 운영체제에서 출현하는 악성 프로그램으로 또다른 전기를 맞게 될 수도 있습니다.

아서스 EEE PC에서 바이러스에 감염된 상태로 출하, 리콜 조치

문스랩닷컴 — Sat, 18 Oct 2008 20:28:52 +0900

최근 넷북이라고 하여 작은 노트북 스타일이 인기를 얻고 있습니다. 주로 대만에서 생산하는 제품이 많습니만, 이번 달에는 삼성과 LG에서도 이러한 제품을 출시하고 있습니다.

넷북 메이커로 유명한 아서스(ASUS)가 일본에 판매한 EEE PC에서 바이러스가 발견되어 리콜 조치되고 있다는 소식이 있어 간략히 정리해 봅니다.

지난 화요일에 차이나테크뉴스(ChinaTechNews.com)에 따르면 일본에서 판매한 아서스 EEE 피시 제품을 리콜한다고 발표하였는데 그 이유가 제품에 바이러스 포함된 것으로 알려졌습니다.

EEE PC에는 recycled.exe 파일이 D 드라이브에 저장되어 있는데 이 파일을 일단 실행하게 되면 다른 드라이브로 사본을 스스로 복사합니다. 하드 드라이브 뿐만 아니라 USB 드라이브에도 복사되며 이 후에는 인터넷에서 악성 코드를 내려 받아 설치합니다. 이로 인해 컴퓨터가 느려질 뿐만 아니라 보안 위협에 노출됩니다.

아서스의 리 유셍(Li Yusheing)에 따르면 이 사건은 일본에 판매된 EEE PC 제품에서만 발생했다고 합니다. 하지만, 일본에서는 이미 300 여대 이상 팔린 것으로 알려져 있어 빠른 리콜이 필요한 시점으로 보입니다.

출처: http://www.chinatechnews.com/2008/10/14/7729-virus-alert-asus-recalls-eee-box-pcs-in-japan/