윈스 [ 2020 년 2 월 10 일 ] 주요 보안 이슈 : : 윈스 
 total 17865 
 보안 동향 [ 2020 년 2 월 10 일 ] 주요 보안 이슈 
 1 . [ 기사 ] [ 긴급 ] 신종 코로나 바이러스 이슈 악용 악 성 메일 , 국내 에 도 유포 
 최근 신종 코로나 바이러스 이슈 를 악용 한 각종 피싱 메일 이 전 세계 적 으로 유포 되 고 있 다 . 코로나 바이러스 피싱 메일 은 주로 CDC ( Centers for Disease Control and prevention ) 혹은 바이러스 연구 학자 를 사칭 해 피싱 메일 을 유포 하 는 지역 의 새로운 감염 사례 에 대해 경고 하 고 ‘ 안전 조치 ’ 를 제공 하 는 형태 로 첨부 파일 혹은 첨부 문서 를 열 어 보 도록 사용 자 들 을 현혹 하 고 있 다 . 이스트 시큐리티 시큐리티 대응 센터 ( ESRC ) 는 이번 에 한국 에서 새롭 게 확인 된 악 성 메일 도 마찬가지 형태 라고 설명 하 면서 , 메일 제목 이 ‘ Coronavirus Update : China Operations ’ 라고 되 어 있 어 신종 코로나 바이러스 에 대한 메일 수신자 들 의 관심 과 염려 를 악용 하 고 있 다고 지적 했 다 . 악 성 메일 에 첨부 된 첨부 파일 ‘ Factory Contacts and Office Resumption . pif ’ 는 정상 프로세스 ‘ Regasm . exe ’ 에 Nanocore 페이로드 를 다운로드 하 는 코드 를 인젝션 시키 고 이 를 실행 한다 . 인젝션 되 어 실행 되 는 Regasm . exe 는 구글 드라이브 에서 인코딩 된 페이 로드 를 다운로드 및 디 코딩 해서 실행 한다 . 2 월 7 일 오전 현재 까지 한글 로 작성 된 신종 코로나 관련 피싱 메일 을 포함 한 악 성 메일 은 확인 되 지 않 고 있 다 . 
 2 . [ 기사 ] 텔레 그램 n 번방 운영 자 및 음란물 유포 자 등 총 66 명 잡혔 다 
 경찰청 은 2 월 9 일 이른바 ‘ 텔레 그램 n 번방 ’ 을 통해 사이버 성폭력 범죄 를 일으킨 운영 자 와 공범 16 명 , 아동 성 착취 물 을 유통 하 고 소지 한 50 명 등 총 66 명 을 검거 했 다고 발표 했 다 . 특히 , 이 들 은 피해자 의 개인 정보 를 탈취 한 뒤 이 를 가족 이나 학교 등 에 유포 하 겠 다고 협박 해 노출 사진 과 영상 을 받 은 후 이 를 유포 한 것 으로 알려졌 다 . 경찰청 은 SNS 를 이용 한 음란물 유통 은 검거 가 쉽 지 않 자 전문가 들 로 구성 된 ‘ 텔레 그램 추적 기술 적 수사 지원 TF ’ 를 만들 어 수사 한 것 으로 알려졌 다 . 향후 이렇게 구축 된 조직 과 기술력 을 활용 해 △ 텔레 그램 등 SNS △ 다크 웹 △ 음란 사이트 △ 웹 하드 등 이른바 사이버 성폭력 4 대 유통망 을 단속 하 겠 다고 밝혔으며 , 2 월 10 일 부터 6 월 30 일 까지 텔레 그램 등 SNS 와 다크 웹 , 음란 사이트 와 웹 하드 등 사이버 성폭력 4 대 유통망 을 집중 적 으로 단속 하 겠 다고 말 했 다 . 
 3 . [ 기사 ] 김수 키 공격 그룹 의 ‘ 주민 등록 등본 ’ 파일 위장 APT 공격 발견 
 ‘ 김수 키 ( Kimsuky ) ’ 공격 그룹 이 2 월 6 일 한 교 육 원 관계자 의 주민 등록 등본 으로 위장 한 APT 공격 을 시작 한 것 으로 알려져 관계자 들 의 주의 가 요구 된다 . 이번 공격 은 지난 2019 년 12 월 4 일 공개 된 바 있 는 ‘ 청와대 녹 지원 / 상춘 재 행사 견적서 사칭 APT 공격 ’ 의 3 번 째 변종 으로 확인 됐 다 . 이스트 시큐리티 가 ‘ 블루 에스티 메이트 ’ 라 이름 붙인 캠페인 이 지속 되 고 있 는 가운데 , 2 월 6 일 제작 된 변종 은 실제 온라인 에서 발급 된 특정인 의 주민 등록 등 본 화면 을 보여준다 . PDF 문서 처럼 2 중 확장자 로 위장 한 악 성 파일 은 실제 화면 보호기 ( SCR ) 확장자 를 통해 EXE 실행 파일 과 동일 하 게 실행 된다 . 그리고 내부 리소스 에 포함 된 ‘ 주민 등록 등본 . tif ’ 이미지 파일 을 생성 하 고 로드 시킨다 . 과거 유사 오퍼레이션 의 페이로드 는 각 오퍼레이션 별 로 차이 를 보이 는데 , 특징 적 으로 C & C , 문자열 , 기능 방식 등 에서 차이 가 존재 하 지만 , ‘ 맥 ( MAC ) 어 드레스 및 시리얼 정보 수집 ’ 기능 에서 공통 된 코드 를 보인다 . 
 4 . [ 기사 ] RobbinHood ransomware exploit GIGABYTE driver flaw to kill security software 
 [ https : / / securityaffairs . co / wordpress / 97457 / malware / robbinhood - ransomware - gigabyte - driver . html ] 
 RobbinHood 랜섬 웨어 의 배후 에 있 는 운영 자 는 GIGABYTE 드라이버 의 취약점 을 악용 하 여 안티 바이러스 제품 을 비 활성 화 한다 . 일반 적 으로 Windows 보안 소프트웨어 프로세스 는 커널 드라이버 에 의해서 만 종료 될 수 있 으며 , 커널 드라이버 의 남용 을 방지 하 기 위해 Microsoft 는 드라이버 서명 확인 메커니즘 도 구현 한다 . 공격자 는 대상 네트워크 에 기반 을 두 고 합법 적 인 Gigabyte 커널 드라이버 GDRV . SYS 를 설치 하 고 , 해당 드라이버 의 CVE - 2018 - 19320 취약점 을 악용 하 여 커널 액세스 권한 을 얻 는다 . 그리고 해당 권한 을 사용 하 여 Windows OS 드라이버 서명 적용 을 일시 적 으로 비활성 화 하 고 RBNL . SYS 라는 악 성 커널 드라이버 를 설치 한다 . 이 드라이버 를 통해 공격자 는 보안 제품 을 비 활성 화 하 고 , RobbinHood 랜섬 웨어 를 실행 한다 . 
 5 . [ 기사 ] Critical Android Bluetooth flaw CVE - 2020 - 0022 could be exploited without user interaction 
 [ https : / / securityaffairs . co / wordpress / 97421 / cyber - crime / cve - 2020 - 0022 - android - bluetooth - flaw . html 
 구글 은 블루투스 서브 시스템 에 영향 을 미치 고 사용 자 상호 작용 없이 이용 될 수 있 는 안드로이드 OS 의 심각 한 결함 을 해결 했 다 . CVE - 2020 - 0022 로 추적 된 취약 성 은 공격자 가 무선 모듈 이 활성 상태 일 때 Bluetooth 데몬 의 상승 된 권한 으로 장치 에서 코드 를 실행 할 수 있 는 원격 코드 실행 결함 이 다 . 해당 취약점 은 Android Oreo ( 8 . 0 및 8 . 1 ) 및 Pie ( 9 ) 에 영향 을 미치 며 기술 적 인 이유 로 Android 10 에서 는 악용 할 수 없 으며 Bluetooth 데몬 의 DoS 조건 만 트리거 한다 . 이 섹션 에서 가장 심각 한 취약점 으로 인해 특수 하 게 조작 된 전송 을 사용 하 는 원격 공격자 가 권한 있 는 프로세스 의 컨텍스트 내 에서 임의 의 코드 를 실행 할 수 있 다 . 또한 , 이러 한 종류 의 취약점 을 악용 할 경우 , 감염 된 장치 에서 블루투스 를 통해 접근 가능 한 다른 장치 로 빠르 게 확산 할 수 있 는 모바일 악 성 코드 웜 행동 을 구현 하 는 데 악용 될 수 있 다 . 
 Nanocore Kimsuky RobbinHood CVE - 2020 - 0022