작년 12월 장거리 미사일 발사와 올해 2월 3차 핵실험 등 북한의 핵미사일 위협 이슈 속에 최근 국방부가 발표한 북한 핵미사일 탐지/타격체제 구축 방안에 대한 관심이 높아지면서 이와 관련된 APT공격용 한글 악성문서가 발견돼 주의가 요구된다. 하우리 보안대응센터 김정수 센터장은 “해당 한글 악성문서는 북한의 도발을 경계, 주시하고 있는 국가기관을 겨냥하여 배포되었을 것이라고 추측하고 있다”며 “해당 악성문서를 열람 시 정상 한글 문서와 악성파일이 동시에 동작하기 때문에 사용자가 감염을 인지하기란 쉽지 않다”고 설명했다. 감염된 시

민주평화통일자문위원들을 타깃으로 한 문서파일 위장 악성코드 공격이 포착됐다. 민주평화통일자문회의는 대통력 직속기관으로 대통령의 통일정책 전반에 대한 자문·건의 기능을 적극 수행하며 통일에 관한 범국민적 합의조성과 범민족적 역량 결집을 위한 활동, 온라인과 오프라인을 통해 전 국민의 참여를 유도하고 통일의지를 확산해 나가는 범국민적 통일인식 확산 운동에 힘쓰는 조직이다. 하우리 보안대응센터 김정수 센터장은 “이번에 발견된 한글 악성문서는 특정 정치 관련 단체를 가장하고 자문위

다음 번 이체 보안카드 요청 정보를 미리 알아내 이를 가로채는 악성코드가 발견되어 인터넷 뱅킹을 이용하는 사용자의 각별한 주의가 요구된다. 해당 악성코드는 다음 번 계좌 이체 시에 사용되는 보안카드 요청 번호를 알 수 있는 문제점을 이용한다. 악성코드는 사용자가 정상적인 이체 거래가 성공한 후 바로 다음 이체 시에 사용되는 보안카드 요청 번호를 알아내고, 사용자로부터 입력을 유도해 이를 가로챈다. 이렇게 가로챈 정보는 바로 해커가 훔친 계정정보들을 토대로 인터넷 뱅킹에 로그인해 계좌이체를 가능하게 한다.

감염된 스마트폰을 해커가 화면을 보면서 원격제어할 수 있는 모바일 악성 앱이 발견돼 이용자들의 주의가 필요하다. 하우리 모바일 보안연구팀은 “일반적인 스미싱 문자는 단축URL을 사용하지만 해당 문자는 일반적인 Full 링크를 그대로 사용하고, 실제 존재하는 결혼정보 회사의 웹 사이트를 보여줌과 동시에 악성 애플리케이션을 다운로드 하도록 유도하기 때문에 사용자가 인지하기 어렵다”며 주의를 당부했다. 이 악성 앱의 배포방식은 기존과는 다르게 해커가 만들어 놓은 악성 앱 배포서버에 정상 웹 페이지의 IFRAME 태그를 삽입해 악성 웹 페

최근 북한과의 대립적 관계가 악화됨에 따라 대중의 관심과 이슈를 이용해 북한 관련 내용으로 ‘김정은용인술.hwp’ 이라는 한글 악성문서를 유포해 특정기관을 공격하는 정황이 포착됐다. APT 공격은 대부분 특정 기관에 악성파일이 첨부된 해킹메일을 발송하여 사용자가 의심없이 열람하도록 유도하고 첨부된 파일을 열람할 경우 사용자가 인지할 수 없도록 정상파일과 악성파일이 함께 동작하도록 제작되어 있다. 하우리 김정수 센터장은 “이번에 발견된 해당 악성문서 또한 전형적인 APT 공격의 특징과 배포 방법을 이용해 특정기관으로 배포된 것으로 추

최근 해외에서 실제 APT 공격에 사용되고 있던 인터넷 익스플로러의 취약점 코드가 공개돼 해당 브라우저를 사용하는 사용자의 각별한 주의가 요구된다. 하우리 관계자는 “이번에 발견된 취약점(CVE-2013-3163)은 인터넷 익스플로러 8,9,10 버전에 존재하며, 해당 취약점을 패치하지 않은 상태에서 공격자가 구성한 웹 페이지에 방문할 경우 사용자 PC에서 악성코드가 실행될 수 있다”고 경고했다. 이 취약점은 지난 10일 마이크로소프트사의 7월 정기 보안 업데이트 MS13-055를 통해 패치가 이루어졌으나, 제로데이 상태로 실제 A

올해 상반기 한국에는 두 건의 주요한 사이버 사건이 발생했다. 바로 3.20과 6.25 사이버테러다. 이들 사건들은 과연 이전 발생한 7.7 그리고 3.4 사이버공격과 어떤 연관성이 있을까. 데일리시큐는 오랜 기간 한국을 상대로 사이버테러 공격을 해온 조직과 그들의 공격방법에 대해 연구해 온 최상명 하우리 팀장을 만나 영상 인터뷰를 진행했다. 최근 몇 년간 발생한 한국을 대상으로 한 사이버 공격들과 지난 6.25 공격의 연관성은 무엇이고 연관성이 있다면 그 근거는 무엇인지, 그리고 북한으로 추정할 수 있는 이유는 무엇인지 그리고 우

Tor프로토콜은 익명통신을 할 수 있는 시스템으로 Tor를 이용하면 패킷의 송신자를 알 수 없다. 그래서 해커들이 사이버 공격시 자신의 추적을 피하기 위해 사용하고 있다. 이번 6.25 사이버공격에서 공격자가 Tor를 사용해 공격한 것이 밝혀졌다. 최상명 하우리 선행기술팀장은 “Tor는 익명 네트워크라고 한다. 주로 해커들이 해킹할 때 많이 사용한다. 이를 이용해서 자신의 신분을 숨길 수 있기 때문”이라며 “이번 6.25 사이버공격자들이 Tor를 이용해 공격한 정황을 처음 포착했다. 그래서 아마 악성코드가 16일 이전에 유포됐는데도

6월 25일 정부기관 대상 DDoS 공격을 유발한 악성코드가 웹하드 2곳(심XXX, 송XX)에서 유포됐다. 이에 하우리 선행연구팀 최상명 팀장은 “송XX에서는 최초 19일부터 해당 악성코드가 유포됐고 심XXX에서는 25일 00시부터 유포됐다”고 분석했다. 그는 “19일부터 관련 악성코드가 여러 번 변경되면서 유포된 것으로 분석됐다. 즉 공격자들은 적어도 6일 전부터 이번 공격을 준비한 것으로 추정할 수 있다”며 “한국 정부기관의 DNS 주소까지 모두 알고 있었다는 것은 예전부터 많은 준비를 해오고 있었다는 증거”라고 설명했다. 또

소액결제사기는 물론 피해자의 전화, 상시녹음, 위치추적 기능이 추가된 스미싱 악성앱이 발견되어 사용자들에게 주의가 요구된다. 하우리(대표 김희천 www.hauri.co.kr) 관계자는 “이 악성앱은 ‘법원 등기 발송’이라는 내용과 함께 URL이 포함된 형태의 문자로 전달하여 악성코드를 설치하도록 유도한다. 이러한 수법을 이용한 악성코드는 기존에도 많이 발견 되었으나 전화내용을 녹음하거나 상시 도청을 하는 형태가 발견된 것이 특징이다. 특히 이번에 확인된 상시 도청기능은 스마트폰 주변에서 발생하는 모든 소리를 1분 단위로 녹음하는 기

최근 인터넷뱅킹 보안 솔루션을 공격해 사용자의 금융 개인정보를 탈취하는 악성코드가 발견돼 인터넷 뱅킹을 이용하는 사용자의 각별한 주의가 요구된다. 하우리(대표 김희천 www.hauri.co.kr)는 “해당 악성코드는 인터넷뱅킹 사용자들의 정보를 탈취할 목적으로 2012년 9월경 처음 등장했으며 현재까지 약 550개의 변종이 존재하는 것으로 확인되었다”며 “특히 올해 3월부터는 인터넷 뱅킹의 보안 인증 및 암호화 등을 수행하는 보안 솔루션의 특정 모듈을 악성행위를 수행하도록 변조하는 기법을 사용하기 시작했다”고 설명했다.

최근 APT 악성코드를 유포하기 위한 방법으로 새로운 유형의 문서 포맷 악성코드가 등장했다. 이는 국내 스프레드시트 프로그램인 한셀 프로그램의 취약점을 이용해 악성코드를 설치하는 방법으로 주로 이메일을 통해 한셀 문서 파일(.cell 확장자)이 첨부 파일 형태로 전달된다. 특히 이번에 등장한 한셀 문서 파일은 특정 연구기관의 주소록 파일 이름으로 배포되었다. 사용자가 취약한 버전의 한셀 프로그램을 통해 해당 문서를 열람하면 취약점을 이용해 문서 속에 포함된 악성코드가 설치된다. 이렇게 설치된 악성코드는 “CyberGate RAT”이

하우리(대표 김희천 www.hauri.co.kr)는 최근 무분별하게 범람하고 있는 스미싱(Smishing)문자를 차단해주는 “스미싱 디펜더” 솔루션을 개발 완료하여, 이를 안드로이드 기반 스마트폰을 사용하는 일반 사용자들에게 무료로 제공한다고 5월 27일 밝혔다. 스미싱은 악의적인 목적을 갖는 개인 혹은 특정 단체를 통해 스마트폰 사용자 누구에게나 발송될 수 있고, 스마트폰 사용자는 정상적인 문자와 스미싱 문자를 구분하기가 쉽지 않기 때문에 감염 시 금전적인 피해뿐만 아니라, 개인정보까지도 유출이 가능하다. 최근에는 스미싱을 이용한

3.20 사이버테러에 대한 민관군 합동대응팀의 중간조사 결과가 10일 발표됐다. 결론부터 말하면 북한의 과거 해킹수법과 일치하는 증거가 발견돼 북한의 사이버테러였다는 것이다. 민관군 합동대응팀은 지난 3.20 방송·금융 6개사 전산장비 파괴와 3.25 날씨닷컴 사이트를 통한 전 국민대상 악성코드 유포, 3.26 대북 보수단체 홈페이지 14개 자료삭제, YTN 계열사 홈페이지 자료서버 파괴 등 연쇄적 사이버테러가 2009년 7.7DDoS, 2011년 3.4DDoS와 농협사태, 2012년 중앙일보 전산망 파괴 등 수차례 대남 해킹을 시

이 글은 '백신 무용론'을 주장하는 것이 아니다. 공격자는 백신의 특성 및 한계를 명확히 파악하고 있고 이를 통해 악성코드를 효과적으로 전달, 감염시킨다는 것을 말하고 있는 것이다. 지난 수요일 오후에 발생한 주요 방송국, 은행 등 금융 업계를 대상으로 한 악성코드 공격이 어느정도 분석이 마무리되면서 결과 및 추후 대응이 주목되고 있다. 내부 네트워크에서 확산되었다는 점, 특히 내외 백신 업체에서 악성파일의 탐지 여부에 대한 논평이 이어지고 있다. 이번에 발견된 악성파일은 신종이기 때문에 기존 백신 제품에서 탐지가 어

보안전문기업 하우리(대표 김희천)는 3월 20일 발생한 '주요 방송사 및 금융권 전산망 마비' 로 파괴된 시스템의 데이터를 복원할 수 있는 '데이터 복원 툴'을 긴급 개발했다고 밝혔다. 이번 복원 툴은 피해 시스템의 C 드라이브 데이터를 전체 또는 특정 확장자로 선택해 복원이 가능 하도록 개발 되었으며, 운영체제가 Windows XP 이하 버전으로 설치되었던 PC에 한해 데이터 복원이 가능하다. 지원되는 운영체제가 제한적이기는 하나, 피해를 최소화 하는데 조금이라도 도움을 주고자 무료 배포하고 있다. &

이번 3.20 사이버 공격 사건을 정리해 보자면 이렇다. 지난 3월 20일 2시를 기점으로 일부 방송사 및 금융사 PC 및 윈도우 서버들이 자동으로 리부팅이 되면서 바로 먹통상태에 빠졌다. 이들 회사들은 국산 안티바이러스 소프트웨어를 사용하고 있던 고객들로 이들 보안 밴더(안랩, 하우리)의 시그니처 배포 서버(PMS)를 통해 직원 PC에 설치된 안티 바이러스 시그니처를 최신으로 유지하고 있었다. 하지만 이런 PMS 시스템이 APT로 추정되는 공격에 의해 관리자의 로그인 정보가 해커들에 의해 갈취되었고 해커들은 이들 PMS 서버에 백

3월 20일 14시경 주요 방송사 및 금융기관의 전산망 마비가 발생했다. 이에 하우리는 “현재까지 파악된 내용으로는 시스템 부팅시 로드되는 MBR(Master Boot Record)과 드라이브 파티션 정보를 악성코드가 변조 및 파괴를 생하기 때문”이라고 밝혔다. 또 “장애 증상 PC에서 샘플 파일을 수집하여 분석한 결과, 악성코드가 하우리 백신 프로그램의 구성모듈 파일(파일명: othdown.exe)로 위장했고 타사(안랩) 백신 프로그램 경우도 서버 구성모듈로 악성코드가 위장했다”고 설명했다. 정상 파일로 위장한 악성코드는 특정 언

13일 오전, 최근 발생한 PC 공인인증서 탈취 이슈와 더불어 스마트폰에서도 공인인증서를 탈취하는 악성앱이 발견돼 사용자들의 각별한 주의가 요구된다. 보안전문기업 하우리(대표 김희천 www.hauri.co.kr/) 관계자는 “이 악성앱은 스미싱 기법을 이용해 스마트폰 사용자들에게 ‘보험료미환급금조회’라는 내용으로 허위 문자메세지를 발송하고 문자메세지 내의 URL 링크를 접속해 설치를 유도한다”며 “설치된 악성앱은 자동실행되며 사용자의 문자메세지는 해커에게 발송되어 사용자가 확인할 수 없다”고 주의를 당부했다. 또한 “이 악성앱은 감

보안전문기업 하우리(대표 김희천 www.hauri.co.kr)는 북한의 도발위협이 계속 되고 있는 가운데 APT 공격용 악성 한글 악성 문서가 계속 발견되고 있다고 밝히고 주의를 당부했다. 해당 악성코드의 정보는 아래와 같다. 지난 주 5일 접수된 악성문서는 모 라디오 프로그램으로 위장해 특정 국회위원에게 직접 해킹 메일이 발송한 정황이 포착됐다. 해당 해킹 메일에는 Adobe Reader 프로그램 취약점을 이용한 첨부파일(‘초점.pdf’)이 포함되어 있다. 사용자가 첨부파일을 열람할 경우 아래와 같은 러시아어 문서가 출력된다. 해