애플이 iOS, MacOS, Safari 그리고 애플 워치와 TV 펌웨어에 존재하는 원격코드 실행 취약점을 패치했다. 이 취약점들을 익스플로잇한 공격자들은 취약한 디바이스들을 장악할 수 있다. 공격자들은 사용자가 악의적인 코드가 숨겨져 있는 JPEG나 PDF 파일을 열도록 유도하기만 하면 된다.최근 배포된 iOS 10.1 버전은 아이폰, 아이패드와 아이팟 터치의 12개 CVE 넘버를 가진 보안 취약점들에 대한 패치를 포함하고 있다. 해당 취약점들에는 JPEG 이미지의 원격 코드 실행 취약점(CVE-2016-4673), WebKit에

구글이 보안 연구 노력에 대한 보상으로 Shellphish팀에 10만 달러를 지불했다. Shellphish팀은 안티 멀웨어로 유명하며, 올해 8월 DARPA가 주최한 CGC(Cyber Grand Challenge)에서 자동 취약점 탐지 및 패치 플랫폼인 Mechanical phish로 3위을 수상하기도 했다.캘리포니아 산타바바라 대학 박사인 Giovanni Vigna(지오반니 비그나) 교수는 멀웨어 탐지에 대한 오랜 연구를 지속해온 끝에 구글로부터 상을 받게 됐다. 구글은 비그나 교수가 구체적으로 어떤 연구와 작업을 통해 수상하게

지난 5년간 페이스북이 보안 취약점을 찾아 버그바운티 프로그램을 통해 제보한 보안 연구자들에게 지불한 비용이 5백만 달러로 알려졌다. 이는 한화 약 57억에 해당하는 금액이다.Social Network은 순조롭게 버그바운티 프로그램을 운영하고 있으며, 공개되지 않았거나 아직 공격에 사용되지 않은 취약점, PoC(proof-of-concepts) 코드를 제보하면 보상금을 지불한다.보안 엔지니어인 Joey Tyson는 900여명의 연구자들에게 평균 5천556달러가 지불되었다고 말한다. 또한 올해 1월부터 6월까지는 149명의 연구원들에

FBI가 테러리스트의 잠긴 아이폰을 크랙해 접근할 수 있길 원하고 있다. 지난 달 IS 대원인 Dahir Adan은 아이폰 7을 구입하기 위해 방문한 미네소타의 모 쇼핑몰에서 10명의 사람들을 저격하고 현장 경관에 의해 총살당했다. IS는 후에 공격에 대한 책임을 인정했다.Adan은 샌 버너디노의 총격 테러리스트 Rizwan Farook와 같이 잠금된 아이폰을 가지고 있었고, 미네소타 기자회견 동안 FBI 특별 수사관 Rich Thorton은 어떤 버전의 아이폰인지는 물론, 운영체제 버전 또한 알려주지 않고 크랙하고 싶다고 언급했다

EMC 저장 플랫폼을 관리하는 웹 애플리케이션인 VMAX의 주요 기능을 손쉽게 관리할 수 있는 Dell의 EMC Unisphere(유니스피어)에서 5개의 보안취약점 세트가 발견되었다.공격자는 해당 취약점들을 이용해 네트워크 저장 디바이스에 접근할 수 있으며, 저장 시스템에서 실행 중인 웹 애플리케이션 서버에 악의적인 어도비 플래시 AMF(Action Message Format)을 보낼 수 있다. 즉 저장 시스템에 임의 명령 코드를 실행할 수도 있고, 저장 디바이스의 통제권을 얻을 수도 있다. Dell EMC 고객들에게는 보안 권고

마이크로소프트가 엣지 브라우저에 존재하는 버그를 찾아 리포트하는 해커들에게 주는 상금액을 인상했다. 버그헌터들은 더 광범위한 취약점에 대해 더 많은 상금을 얻을 수 있게 된 것이다.8월에 ‘Microsoft Edge Web Platform onWindows Insider Preview Bug Bounty Programme’라는 이름의 버그바운티 프로그램을 시작했고, 해당 프로그램을 통해 취약점을 보고한 사람은 누구든 큰 금액의 현금을 받을 수 있다.이제 마이크로소프트는 ‘개인정보와 주요 사용자 데이터의 무결성을 침해하는 W3C 기준

한 해커가 테러리스트 그룹인 ISIS에게 미 정부와 군 소속 1,351명의 데이터를 넘겨준 혐의로 20년형을 선고받았다.Th3Dir3ctorY라는 닉네임의 Ardit Ferizi는 코소보 출신으로 지난 금요일 미 사법부에 의해 ‘ISIL(이슬람 국가의 이라크와 레반트)에 물질적인 지원을 제공하고 인증 절차 없이 사용자 컴퓨터에 접근해 정보를 수집’한 혐의로 이와 같은 형을 받았다.Ardit Ferizi는 21살의 해커로, 2015년 6월에 미국 웹 호스팅 기업의 서버를 해킹해 데이터를 획득했다. 획득한 데이터에서 미군 및 정부 소속

중국 인터넷 기업인 텐센트의 KEEN Lab 보안 연구원들이 테슬라 모델 S의 보안 취약점을 공개했다. 해당 취약점을 통해 공격자는 차량의 CAN(Controller Area Network) 통신에 원격으로 접속하여 주차되어 있거나 움직이는 차량을 조종할 수 있다.KEEN 연구원들은 테슬라 모델 S 차량의 문과 트렁크를 원격으로 여는데 성공했고, 디스플레이 또한 조종할 수 있었다. 기본적으로 탑재된 웹 브라우저를 타깃으로 공격이 성공하면, 무선으로 움직이는 차량의 브레이크를 작동시킬 수 있다.테슬라는 해당 취약점에 대해 이미 인지하

모질라가 20일 파이어폭스 브라우저에 존재하는 취약점을 패치할 예정이다. 공격자는 해당 취약점을 통해 중간자 공격이 가능하며, 토르 네트워크에도 영향을 줄 수 있다. 이 취약점은 6.0.5 버전의 공식 패치 전, 일부 연구원들에 의해 처음 발견되었다.토르 개발자인 Georg Koppen은 “addons.mozilla.org에 유효한 인증서를 가진 공격자는 모질라 서버를 가장하고, 악의적인 확장 업데이트를 전달할 수 있다. 이것은 임의 코드 실행을 야기시킬 수 있으며, 기본 제공 인증서들 또한 영향받을 수 있다”고 말했다.보안 연구원

미 당국이 2명의 노스캐롤리나 남성을 체포했다. ‘Crackas With Attitude’라는 이름으로 알려진 해커 그룹에 속해있다는 혐의이다.Crackas With Attitude 해커 그룹은 CIA, FBI, 백악관, 국방부, 다른 연방 기관들의 고위급 인사들의개인 이메일 계정을 타깃으로 하는 공격의 배후에 있다고 알려졌다.법무부의 공식보도자료에 따르면, Andrew Otto Boggs와 Justin Gray Liverman가 현지시각 목요일 오전 해킹 관련 혐의로 체포되었다. 22살의 Andrew Otto Boggs는 온라인에

정부가 아이폰, 아이패드, 아이팟을 염탐하는데 사용됐다는 취약점들이 데스크탑의 사파리와 OS X에도 존재한다고 밝혀졌다. 이에 대해 애플은 빠른 패치를 내놓았다. iOS와 OS X, 모바일과 데스크탑 사파리는 코드를 공유하기 때문에 아이폰이나 아이패드에 나타난 취약점이 맥(Mac)에서도 발견되는 것은 당연하다.애플은 사파리에 대한 패치와 El Capitan, Yosemite에 대한 패치를 제공하고 있다. 모든 취약점은 소프트웨어 업데이트를 통해 패치가 가능하다.심각한 3개의 취약점은 CVE-2016-4564, CVE-2016-465

아제르바이잔 핵티비스트들이 아르메니아를 방문한 외국인들의 여권 정보를 유출시키고, 아르메니아 정부 서버에 침투했다. 이번 사건은 러시아와 우크라이나, 인도와 파키스탄간의 대립처럼 사이버 공간에서의 두 국가간 대립을 잘 드러내고 있다.자칭 반-아르메니아팀은 유출된 데이터들이 아르메니아 국가보안부의 서버에서 나온 것이라고 주장하고 있다. 또한 해당 팀은 자신들이 5년동안 활동한 독립된 그룹이며 사이버 공격을 통해 불안을 조장하는 것이 목적이라고 말한다.보안 인텔리전스 전문가들은 해당 데이터 덤프들이 진짜라고 확신하고 있다. 아르메니아

러시아 국회의원 아들이 판매 마켓을 이용해 미국의 290만개 신용카드 정보를 팔아 유죄 판결을 받았다. 32살의 로만 셀레즈네프는 극-국수주의인 자유민주당 국회의원의 아들이다. 그는 2014년에 러시아 당국에 의해 몰디브로 가는 비행기에 탑승하려다 체포됐었다.셀레즈네프는 체포 당시 이것은 ‘도발을 위한 행위’라고 말했다. 그는 목요일에 워싱턴 법원에 의해 유죄가 선고되었다. 죄목은 10번 이상의 금융사기, 9번의 해킹, 9번의 인가되지 않은 디바이스 15개 소지, 8번의 의도적인 해킹, 2번의 신원 도용이다. 그의 선고는 12월 2

파이어아이 연구원들이 태국과 중동 아시아의 ATM기에서 돈을 빼내는데 사용된 멀웨어를 발견했다. 연구원들은 Ripper가 지난 주 있었던, 동유럽 쪽 갱에 의해 1천2백만 태국 바트(USD $346,992)가 도난된 사건에 사용되었다고 확신하고 있다.방콕 포스트지는 7월 9일부터 8월 23일 사이에 NCR(제조업체명) ATM를 타깃으로 하는 21번의 공격이 있었다고 보도했다. 경찰은 공격자들은 감염된 기기를 통해 공격 한번마다 4만 바트를 인출할 수 있다고 말한다.멀웨어 연구원인 Daniel Regalado는 “FireEye는 8월

NYU Tandon School of Engineering(뉴욕대 공대) 과학자들이 프로세서 내에 취약점을 숨길 수 있도록 설계된 ASIC(Application-specific Integrated Circuit)의 새로운 폼을 만들어냈다.요즘에는 자기만의 제조칩을 가진 사람들이 거의 없다. 대부분의 프로세서들은 한 회사에 의해 만들어지고 있기 때문에 실제 하드웨어 설계는 수억개를 함께 제조하는 회사에 외주를 맡기게 된다. 이 과정에서 하드웨어가 보안상 취약해질 수 있다.뉴욕대 공대 팀이 설계한 ASIC는 메인 프로세서가 하드웨어 T

최근 DARPA의 Cyber Grand Challenge(이하 CGC)에서 3위를 차지한 ‘Mechanical Phish’가 GitHub에 오픈소스로 공개되었다. CGC는 인간의 개입없이 버그를 찾아내고 패치하는 소프트웨어를 만들기 위한 대회다.이 대회에서 UC 산타바바라 Giovanni Vigna 교수의 Shellphish팀은 1위를 차지한 카네기멜론(Carnegie Mellon)의 ForAllSecure팀, 2위를 차지한 버지니아 대학교와 GrammaTech의 TechX팀에 이어 3위를 차지했다.Mechanical Phish는

Bitcoin.org가 블록체인 통합 소프트웨어인 Bitcoin Core wallet이 공격 타깃이 될 것이라고 경고했다. Bitcoin.org는 공식적인 비트코인 관련 기관이 아니며 Bitcoin Core 다운로드를 호스팅하고 있는 웹사이트이다.Bitcoin.org는 곧 배포될 Bitcoin Core 0.13.0 버전 바이너리들이 어떤 국가가 배후에 있는 공격자들에 의해 타깃이 될 정황을 포착했다고 밝혔다. 그러나 어떤 국가가 해당 공격이나 위협의 배후인지는 밝히지 않았다.Bitcoin.org는 "웹사이트를 공격자로부터 방어할

은행간 결제가 가능한 SWIFT(국제 은행 간 통신 협회)의 뱅킹 시스템이 안전하다고 생각해왔다. 그러나 전 국제 은행 간 통신 협회장이 이 조직의 보안은 절대 신뢰할 수 있는 수준이 아니라고 밝혔다.SWIFT 협회는 뱅킹 시스템을 타깃으로 하는 수백만번의 고난도 해킹 공격 이후, 보안 수준을 높이기 위해 노력해왔다고 말했다. 그러나 1992년부터 2007년까지 SWIFT의 CEO였던 Leonard Schrank는 협회가 오랫동안 보안에 신경쓰지 않고 있다고 언급했다. 또한 Schrank는 Reuters를 통해 "이사회는 해당 시