지난 11월 17일, 아더브에서는 Acrobat 및 Reader에서 발생할 수 있는 보안 취약점을 해결한 업데이트를 발표했습니다.

아래는 KrCERT/CC가 발표한 자료입니다.

□ 개요
   o Adobe社는 Adobe Reader/Acrobat에 영향을 주는 취약점을 해결한 보안 업데이트를 발표[1]
   o 공격자는 웹 페이지 은닉, 스팸 메일, 메신저의 링크 등을 통해 특수하게 조작된 PDF 문서를
      사용자가 열어보도록 유도하여 악성코드 유포 가능
   o 낮은 버전의 Adobe Reader/Acrobat 사용으로 악성코드 감염 등의 사고가 발생할 수 있으므로
      이용자의 주의 및 최신버전으로 업데이트 권고

□ 설명
   o Adobe社는 Adobe Reader/Acrobat의 취약점 2개에 대한 보안 업데이트를 발표함[1]
    - 메모리 손상으로 인한 DoS 공격과 코드실행 취약점 (CVE-2010-3654)[2]
    - 메모리 손상으로 인한 DoS 공격과 코드실행의 가능성이 있는 취약점 (CVE-2010-4091)[3]

□ 해당 시스템
   o 영향 받는 소프트웨어
     - 윈도우, 매킨토시, 유닉스 환경에서 동작하는 Adobe Reader 9.4 및 이전 버전
     - 윈도우, 매킨토시 환경에서 동작하는 Adobe Acrobat 9.4 및 이전 9.x 버전

□ 해결방안
   o Adobe Reader 9.4 및 이전버전 사용자는 9.4.1 버전으로 업데이트
     ※ 유닉스용 Adobe Reader 업데이트는 아직 발표되지 않았음
     - Adobe Reader의 메뉴에서 "도움말" → "업데이트 확인" 선택
     - Adobe 제품 업데이트 페이지에서 해당 소프트웨어를 선택 후 다운로드 및 설치[4]
   o Adobe Acrobat 9.4 및 이전 9.x 버전 사용자는 9.4.1 버전으로 업데이트
     - Adobe Acrobat의 메뉴에서 "도움말" → "업데이트 확인" 선택
     - Adobe 제품 업데이트 페이지에서 해당 소프트웨어를 선택 후 다운로드 및 설치[4]

□ 용어 정리
   o PDF(Portable Document Format) : Adobe社가 개발한 다양한 플랫폼을 지원하는 전자문서
      파일 형식
   o Adobe Acrobat : PDF 문서 편집/제작을 지원하는 상용 프로그램
   o Adobe Reader : PDF 문서의 편집 기능은 없이 보기/인쇄만 할 수 있는 무료 프로그램

□ 기타 문의사항
   o 유닉스용 Adobe Reader의 보안업데이트는 언제 발표되나요?
     - 해당 보안업데이트의 발표 일정은 11월 30일로 예정되어 있습니다.
   o 한국인터넷진흥원 인터넷침해대응센터: 국번없이 118

[참고사이트]
[1] http://www.adobe.com/support/security/bulletins/apsb10-28.html
[2] http://www.krcert.or.kr/secureNoticeView.do?num=468&seq=-1
[3] http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-4091
[4] http://www.adobe.com/downloads/updates/


감사합니다.
reTweet
Posted by 문스랩닷컴
blog comments powered by Disqus
    인터넷 위협 중에서 가장 위험하다고 여겨지는 것이 바이러스가 아니라 아크로뱃 리더(Acrobat Reader)이다.  - from 문스랩닷컴


    아도브가 개발한 아크로뱃 리더는 아마도 가장 널리 사용되는 뷰어(viewer)이며, 외국에서는 거의 전자 문서의 표준 정도에 이를 정도입니다.

    최근 1-2년간에 아도브 리더/아크로뱃 제품에서 잇달아 취약점이 발견되고 있습니다. 그 중에서 가장 문제가 되는 부분이 바로 취약점을 이용하여 악성코드를 배포하는 바로 제로데이(0-day) 습성이기 때문입니다. 제로데이란 취약점이 알려진지 24시간 내에 이를 이용하는 악성코드가 출현한다는 것으로 그만큼 악성코드 제작자의 실력도 상향 평준화되었으며, 그에 반해 개발사나 보안 업체의 대응이 상대적으로 늦을 수 밖에 없다는 것을 말합니다.

    지난 9월 6일에는 아크로뱃 리더에 관련된 새로운 제로데이 취약점이 발견되어 알려졌습니다. 문제는 이 취약점을 이용하여 악성코드를 배포할 수 있는 실제 코드도 발표되었고, 취약점을 이용하여 교묘하게 조작된 PDF 문서를 첨부 파일로 넣은 스팸 메일이 실제로 발송되었다는 점입니다.

    문제가 발생한 아크로뱃 리더의 버전은 최신버전인 9.3.4까지 포함하는 것으로 알려져 있습니다. 또한 윈도우 운영체제 뿐만 아니라 매킨토스, 유닉스 운영체제까지 모든 제품에서 취약점이 발생합니다. 이 취약점은 CVE-2010-2883 이라고 명명되었으며, 이 취약점을 통해 해커는 피해자의 컴퓨터를 원격에서 조정할 수 있으며, 시스템을 손상시킬 수도 있습니다.

    아도브 사에서는 이 문제점의 심각성을 우려해서 인지 매우 빠르게 이에 대한 대응책을 발표했습니다.

    CVE-2010-2883에 대해 간략히 정리하면 다음과 같습니다.


    1. 취약점의 상세 내용

    cooltype.dll 파일의 0x0803dcf9 모듈에서 TTF 글꼴을 적절하게 파싱하지 못하는 문제점으로 인해 발생합니다. 이로 인해 DEP(Data Execution Protection, 데이터 실행 방지)까지 우회하는 것으로 알려져 있습니다.

    아크로뱃 리더에서는 AcroJS라는 자바스크립트가 사용되는데 이는 문서를 열 때 한번 실행되는 쉽게 말하면 자동실행 스크립트라고 보면 됩니다.



    2. 취약점을 이용하는 악성 코드 출현

    이 취약점을 이용하는 코드가 Metasploit Framework에서 발표되었으며, 이러한 발표로 인해 바이러스 및 스팸 제작자들이 쌍수를 들고 환영하고 있습니다.


    또한, 아래와 같이 악성 스크립트가 포함되어 있는 PDF 파일을 스팸 메일에 함께 보내어 감염을 시도하는 실제 사례도 많은 것으로 알려져 있습니다.

    <설명: 첨부에 포함된 PDF 문서>


    3. 아도브 사의 발표 내용

    아도브 사에서는 이 문제점에 대해 신속하게 권고안을 발표했습니다만, 아쉽게도 앞에서 설명했던 사항들을 나열하는 수준에 불과했습니다. 이 취약점은 심각성이 치명적(Critical)하다고 분류했으며, 현재 문제점을 해결하는 업데이트를 발표할 일정을 조율 중에 있다고 합니다.


    아크로뱃 리더는 계속 기능을 확장해 나가고 있습니다. 하지만, 그 기능에 맞게 그 만큼의 보안에 대해 충분한 검토가 없어 이와 같은 문제점이 나타나고 있습니다. 자바스크립트가 실행되는 한, 이러한 문제점은 계속 나올 것입니다.

    아마도 나중에는 샌드박스(Sandbox)와 같은 기능이 아크로뱃 리더 내에 포함될지도 모릅니다.

    감사합니다.

    reTweet
    Posted by 문스랩닷컴
    blog comments powered by Disqus
      제로데이 취약점으로 요즘 말많은 아도브(Adobe)에서 아크로뱃/리더의 패치를 발표했습니다. 이번 발표에서는 지금까지 알려져 있던 취약점 가운데 17가지를 해결한 것으로 윈도우, 매킨토시, 유닉스 운영체제까지 모두 포함합니다.

      특히, 보안 전문가인 Didier Stevens이 발견한 /Launch 기능에 대한 보안을 강화한 것으로 알려져 있습니다. 참고로, 이 취약점은 아무런 보안 취약점이 없는 상태에서도 PDF 문서 내에 숨겨진 실행파일을 실행할 수 있는 취약점으로, 거의 보안상 무한의 자유를 주는 문제점으로 볼 수 있습니다.

      패치에 대한 자세한 사항은 아래 링크를 참고하십시오.


      감사합니다.


      PS: Didier Stevens는 자신의 블로그에서 해당 취약점을 이용하는 공격을 시연한 동영상을 공개해서 소개합니다.


      출처: http://blog.didierstevens.com/2010/03/29/escape-from-pdf/
      reTweet
      Posted by 문스랩닷컴
      blog comments powered by Disqus
        최근 외국의 한 해커가 PDF의 자체적인 구조로도 해킹이 가능하다는 시범(Poc, Proof of Concept)의 동영상을 인터넷에 공개했습니다.

        동영상을 보면, 아크로뱃 리더에서 특정한(공격할 수 있는) 명령어를 실행할 수 있는 것으로 만약 해커가 이를 악용한다면, 시한폭탄(!)이 될 수 있는 민감한 사안입니다.


        출처: http://blog.didierstevens.com/2010/03/29/escape-from-pdf/


        reTweet
        Posted by 문스랩닷컴
        blog comments powered by Disqus

          MBR(Master Boot Record)에 은닉 기술을 이용하여 기생하는 Sinowal 악성 코드에 대한 새로운 변종(Backdoor.Win32.Sinowal)이 발견되어 이에 대한 정보가 공개되었습니다.

          Sinowal 악성코드는 2008년도에 이미 초기 버전과 변형 버전에 대한 자료가 발표되었습니다.
          • http://www.viruslist.com/en/analysis?pubid=204792002
          • http://www.viruslist.com/en/analysis?pubid=204792044

          2009년 3월 말 경에 발견된 Sinowal의 최신 변형 버전은 하드 디스크의 MBR 영역을 감염시키면서 감염 자체를 숨기는 루트킷 기술을 탑재하고 있습니다. 최신 변형 버전은 보안 전문가에게 충격을 주고 있는데 기존 버전과는 달리 감염여부를 보안 제품이 진단하지 못하도록 보다 시스템 내부에 숨깁니다. 특히 은닉(Stealth) 기술은 운영체제의 최하위 수준의 디바이스 객체를 후킹하는 것으로 사이버 범죄에서 이렇게 복잡한 기술을 사용한 첫번째 사례입니다.

          물론 Backdoor.Win32.Sinowal이 처음 출현했을 때에는 이 악성코드를 치료하는 안티 바이러스 제품이 없었으며 심지어 진단 자체도 거의 불가능하였습니다. 일단 Backdoor.Win32.Sinowal 악성코드가 시스템에서 루트킷을 동작한 후에는 사용자의 데이터와 기타 계정 정보를 훔치기 위해 설계된 일련의 활동을 벌이게 됩니다.

          Backdoor.Win32.Sinowal 악성코드는 Neosploit  취약점을 이용하는 것으로 수많은 악성 사이트를 통해 광범위하게 퍼뜨려지고 있습니다. 특히, 악성 PDF 문서를 사용자 모르게 다운로드할 수 있는 아크로뱃 리더의 취약점을 이용하여 시스템을 감염시킵니다.

          이 악성코드에 감염되지 않기 위해서는 아래의 링크에서 아크로뱃 리더의 패치 버전을 반드시 설치해야 합니다.

          http://www.adobe.com/support/security/bulletins/apsb09-04.html

          reTweet
          Posted by 문스랩닷컴
          blog comments powered by Disqus
            2009년 2월 19일, 전세계적으로 전자 문서의 표준으로 널리 사용되는 PDF 형식의 프로그램인 아크로뱃(PDF 생성 프로그램)과 아크로뱃 리더(읽기 전용 프로그램)에서 제로데이(0-Day) 취약점이 발표되었습니다.

            취약점은 아크로뱃/리더의 전 제품에 걸쳐 나타나고 있으며 자세한 제품은 아래와 같습니다.
            • 아크로뱃 7 프로페셔널
            • 아크로뱃 7.x
            • 아크로뱃 8 프로페셔널
            • 아크로뱃 8.x
            • 아크로뱃 9.x
            • 아크로뱃 리더 7.x
            • 아크로뱃 리더 8.x
            • 아크로뱃 리더 9.x
            이 취약점은 아주 치명적인(Extremely Critical) 것으로 분류되어 있으며, 아크로뱃/리더를 설치하여 운영할 수 있는 모든 운영체제에서 발생합니다. 

            취약점은 교묘하게 조작한 PDF 문서를 사용자가 열어 봄으로써 발생합니다. 조작된 PDF 문서에는 크래커가 삽입한 객체를 파싱하는 과정에서 메모리에 쓰여진 데이터를 의도적으로 조작한 코드로 덮어쓰기 하는 즉, 버퍼 오버플로 오류를 통해 이루어집니다.

            취약점은 heapspray라고 하는 자바 스크립트 메소드를 사용하여 진행됩니다.


            위의 그림에서 EAX 레지스터에 트로이 목마를 설치하는 악성 쉘 코드를 실행하는 메모리 주소를 가리키도록 조작합니다. 성공적으로 공격이 이루어지는 과정에서 원격 제어 및 감염된 시스템을 모니터링하기 위한 백도어가 설치됩니다.
             
            현재 이 취약점을 해결할 수 있는 패치나 대안이 없는 상태입니다. 또한 이 취약점을 이용하는 공격 코드가 인터넷 상에 출현한 상태입니다. 백도어의 특징 및 진단에 세부 사항은 아래 링크를 참고하십시오.

            http://vil.nai.com/vil/content/v_153842.htm

            더욱 우려되는 상황은 이 악성 코드의 출현으로 인해 새로운 다수의 변종이 출현할 수 있는 가능성이 존재합니다.

            따라서, 사용자는 컴퓨터에 설치된 안티 바이러스 제품의 업데이트를 반드시 확인하여 최신으로 유지해야 하며, 출처가 불분명한 PDF 문서는 열어 보아서는 안됩니다.

            출처:

            아도브 사는 3월 11일 경에 이 취약점에 대한 패치를 제공할 예정이라고 합니다.




             



            reTweet
            Posted by 문스랩닷컴
            blog comments powered by Disqus

              자세한 전모는 밝혀지지 않았지만, 아크로뱃에 대한 공격 코드가 발견되어 사용자의 주의가 요구됩니다. 특히, 윈도우의 보안 취약점은 업데이트를 강조하지만 다른 애플리케이션에 경우에는 간과하는 편입니다.
              가급적 아크로뱃/아크로뱃리더를 최신 버전으로 즉시 업데이트하시기 바랍니다. 이에 대한 소식을 정리해서 알려 드립니다.


              최근 보안 전문가들은 아도브 아크로뱃에 관련된 취약점을 타겟으로 하는 새로운 익스플로잇을 감지했다고 발표했습니다.

              베리사인의 iDefense에 근무하는 긴급 대응팀의 매트 리차드는 이 익스플로잇을 추적한 결과 이 팀이 발견한 최근 1주일 전부터 지난 1월달까지 나타났다고 합니다. 발견이 늦은 이유는 이 익스플로잇이 사용자에게 미치는 영향이 적었기 때문입니다.

              이러한 감염 현상은 대부분의 안티 바이러스에서 진단하지 못하였지만 지난 주에 iDefense 팀이 통보한 이후에 진단이 이루어지고 있습니다. 감염 경로는 정상적인 웹사이트에 악성 코드가 포함된 광고 배너를 게재하고 이를 통해 사용자들에게 널리 감염됩니다.

              이 트로이 목마는 Zonebac으로 명명되었으며 분석한 결과 다행이도 정보를 훔쳐 내는 그러한 요소는 포함되지 않았다고 합니다. 대신에 특정한 광고를 대신하여 다른 광고를 보여 준다고 합니다. 이러한 취약점을 사용하는 방법이 공개된 이후에는 다른 인터넷 범죄단(criminal group)에서 개인 정보나 금융 정보를 빼내는 악성 코드를 작성할 수 있다는 점에서 앞으로도 문제가 될 것입니다.

              한 편, 아도브 사는 최근에 발생한 다양한 보안 취약점을 해결하기 위한 최신 업데이트 버전을 발표하였으며 이에 대한 자세한 사항을 자사 웹사이트에서 언급하고 있습니다. 아크로뱃 한글판을 업데이트하고 난 버전은 8.1.1입니다.

              reTweet
              Posted by 문스랩닷컴
              blog comments powered by Disqus
                지난 6월말부터 7월달까지는 첨부 파일에 PDF 문서가 들어 있는 새로운 스팸 메시지가 출현한 적이 있습니다. 하지만, 이 PDF 스팸은 위력이 그리 없어서인지 효과가 없어서 인지는 몰라도 잠시 출현했다가 사라졌습니다.

                참고자료: http://moonslab.com/390

                하지만, 최근 아크로뱃의 보안 취약점을 이용한 새로운 PDF 스팸이 출현하여 주의가 요망됩니다.

                지난 10월말부터 새로운 PDF 스팸이 출현하였습니다. 첨부된 PDF 파일을 열게 되면 기존에는 광고를 보는 정도였지만 이번에는 CVE-2007-5020 취약점(아크로뱃 리더 + IE 7)을 이용하여 악성 프로그램을 특정 서버에서 다운로드하여 실행합니다.

                참고로 아도브 사에서는 이러한 문제점을 해결하는 패치(v8.1 및 이하 버전용)를 지난 10월 22일 경우 발표하였습니다. 가급적 아크로뱃 리더를 최신 버전으로 재설치하여 보안상 취약점을 미리 예방하기 바랍니다.

                아크로뱃 리더 다운로드: http://www.adobe.com/kr/products/acrobat/readstep2.html



                reTweet
                Posted by 문스랩닷컴
                blog comments powered by Disqus


                  Web Analytics Blogs Directory