국내 처음으로 리버싱 문제만으로 치러진 해킹대회, 제1회 CTP(Crack The Program) 대회가 120여 명이 참가한 가운데 12월 2일 온라인에서 개최돼 눈길을 끌었다. 이번 대회를 주최한 순천향대학교 정보보호학과 학술동아리 SecurityFirst의 윈도우 리버싱 팀장 김학수 학생은 “올해 처음 시도해 본 CTP는 저희 윈도우 리버싱 팀(3학년 유승우, 최진선, 신광선, 김의정, 양승근. 2학년 김경한)에서 리버싱 문제만으로 간단히 즐기자라는 의미로 대회를 개최하게 됐다”고 대회 취지를 설명했다. CTP는 Crack T

킴스큐(KimsQ)는 웹사이트와 웹어플리케이션을 편리한 방법으로 빠른 시간에 개발할 수 있는 프레임워크로 국내 사용자가 많은 오픈소스SW이다. 따라서 킴스큐를 활용한 국내 홈페이지도 상당수에 이른다. 오늘 킴스큐 어플리케이션 시스템 자체에 대한 취약점이 데일리시큐 제보를 통해 들어왔다. 킴스큐를 활용해 제작된 홈페이지들이 모두 위험한 상황이므로 신속한 패치가 있어야 할 것으로 보인다. 킴스큐 게시물 작성 부분 중 검색태그 부분의 XSS 취약점이다. 해당 취약점을 발견하고 데일리시큐에 제보한 김동현(한국IT전문학교, i2sec 소속)

구글 검색에 의한 정보노출 문제가 계속 도마위에 오르고 있다. 데일리시큐는 최근 구글 검색에 의한 기업과 기관의 정보노출 문제를 지속적으로 기사화한 바 있다. 이번에는 국내 지사를 둔 해외기업 CCTV 제품의 영상관리 페이지가 구글 검색에 노출돼 신속한 보안조치가 필요하다는 제보가 들어왔다. 해당 취약점을 발견하고 데일리시큐에 제보한 조광수(UndeFined), 이규형(평촌고등학교) 군은 “모 기업의 CCTV영상 관리 페이지 검색 노출 취약점을 발견해 해당 업체에 통보한 상태이며 유사한 보안사고 예방을 위해 데일리시큐에 제보하게 됐

악성코드 감염시도가 예사롭지 않다. 지난주에 이어 이번주에도 대대적인 감염시도가 있어 국내 사이트의 철저한 악성코드 감염 대응이 요구되고 있다. 빛스캔(대표 문일준) 측은 12월 2일 긴급 공지를 발표하고 “11월 중순부터 활발해진 악성코드 감염시도가 일정수준 이상을 넘은 상태어 11월 23일 이후 계속 되고 있으며 사회적 영향력이 높은 서비스도 공격에 직접 이용된 상황이 관찰되고 있다. 또한 접속자가 상당히 많은 P2P, 토렌트 사이트들에서의 대대적인 악성코드 감염시도가 관찰돼 긴급한 대응이 요구된다”고 경고했다. 따라서 이 업체

전국 중학교, 고등학교 재학생 중에서 11.15 대 1의 경쟁률을 뚫고 선발된 20명의 정보보호 영재를 대상으로 12주 동안의 특별 교육과정을 모두 마치고 지난 11월 30일, 고려대학교 미래융합관에서 교수진, 학부모 등이 참석한 가운데 수료식이 개최됐다. 고려대학교 정보보호대학원 부설 정보보호교육 지역센터(센터장 이경호 교수)에서 운영하는 정보보호 우수인재 아카데미는 올해 9월 7일부터 11월 30일(토)까지 12주 동안 매주 토요일에 진행되었으며, 모든 과정에서 흥미 있고, 상상력을 키우며, 꿈을 가질 수 있도록 어려운 학문 분

한국개인정보보호협의회는 올 한 해 동안 개인정보보호를 위해 노력하고 자율규제 활동을 모범적으로 실천해온 기업?단체 및 개인을 선정하여 ‘개인정보보호大賞’을 수여하기 위해 시상 공모를 시작한다고 밝혔다. 올해 공모 기간은 12월 2일부터 내년 1월 10일(금)까지이며, 신청은 한국개인정보보호협의회 홈페이지(www.kcppi.or.kr)에서 관련 양식을 다운받아 작성한 뒤 이메일 또는 우편으로 접수하면 된다. 협의회는 이를 위해 소관 주무부처인 안전행정부와의 협의를 거쳐 유관 기관 ? 단체 대표 및 관련 분야 전문가들로 ‘大賞 심사위원

네트워크 프린터의 IP가 공인IP이거나 포트포워딩 된 대부분 사이트의 네트워크 프린터 해킹이 가능하다는 취약점 제보가 들어왔다. 이번 네트워크 프린터 해킹과 관련된 제보를 해 온 익명(www.facebook.com/Koxxxxxxxxxxx)의 제보자는 “이번 취약점은 계정 관리 실패, 접근 통제 실패가 핵심이다. 우선 네트워크 프린터 자체의 관리 URL이 구글에 검색 된다는 것 자체부터 취약한 것”이라며 “구글을 통해 외부에서 접속 가능한 수십개의 네트워크 프린터들의 주소가 노출된다. 여기서부터 문제가 발생한다”고 말했다.

SK텔레콤, KT, LG유플러스(이하 이동통신3사)와 신한은행은 27일 플라자 호텔에서 ‘스마트폰 모바일토큰을 통한 新금융서비스 추진 양해각서’를 체결한다고 밝혔다. ‘모바일토큰’은 한국인터넷진흥원(이하 KISA)이 최근 발표한 공인전자서명인증 기술규격으로, 유심(범용가입자식별모듈, USIM)의 별도 보안 영역에 공인인증서를 보관해 사용하는 방식으로 해킹이 원천적으로 불가능해, 잇따른 해킹 및 전자금융사기를 방지하기 위한 대안으로 꾸준히 거론되어 왔다. 이동통신3사는 이번 MOU를 통해 USIM 기반의 공인인증 인프라 지원 및 ‘모

앞으로 개인정보보호 분야의 전문변호사가 관련 분야에 대한 컨설팅과 상담을 하게 되며, 이들을 중심으로 관련 법·제도 개선에 대한 연구도 진행된다. ‘개인정보보호법’이 시행된 지 2년이 지난 현재, 많은 기관·기업들이 법이 시행되고 있다는 사실은 많이 알고 있지만, 실제 내용을 잘 아는 내부 전문가나 외부 컨설턴트들이 부족해 구체적인 법률 이행에 어려움을 겪고 있다. 또한 개인정보가 침해된 국민들의 경우에도 자신의 권리를 쉽게 보장받기 어려운 측면이 있었다. 이에 따라 안전행정부(장관 유정복)와 대한변호사협회(회장 위철환)는 11월

한겨레신문사에서 관리하는 모 과학 사이트에서 XSS 취약점이 발견됐다. 이를 방치할 경우 악의적 공격에 피해를 입을 수 있는 상황이다. 해당 사이트의 취약점을 발견하고 데일리시큐에 제보한 박종현(도당고) 군은 “한겨레 사이언스온을 읽다가 XSS 취약점을 발견하게 됐다”며 “XSS(Cross Sit Scripting) 취약점은 사용자에게 악의적인 웹 컨텐츠나 URL, 악성코드 등을 보내는 해킹 수법이다. 사이트에 실행 코드와 태그의 업로드가 규제되지 않는 경우 발생한다”고 설명했다. 취약점 패치 방안에 대해 그는 “특수문자 사용 제한

국내 모 유명 제약회사 사이트에서 구글 검색에 의한 디렉토리 리스팅 취약점과 SQL Query 노출 및 XSS 취약점이 발견돼 신속한 조치가 필요한 상황이다. 해당 취약점을 발견하고 데일리시큐에 제보한 송준혁(인천대학교 정보통신동아리 i-Linux 소속) 씨는 “구글 검색에 의해 유명 제약회사 사내 홈페이지 디렉토리 리스팅(Directory Listing) 취약점을 발견했다. 노출된 디렉토리 내의 파일들이 무방비로 노출돼 있어 악의적 해커라면 다양한 사이버 공격을 시도할 수 있어 위험하다고 판단돼 데일리시큐에 제보하게 됐다”고 말했

“스마트폰으로 바코드를 스캐닝한 후 은행카드 잔액이 0원이 된 것을 발견했다.” “구매자가 전송해 온 바코드를 스캐닝한 후 500위안에 달하는 전화요금이 사라졌다.” 중국에서 최근 자주 보이는 뉴스 내용들이다. 많은 네티즌들은 바코드를 스캐닝하거나 혹은 타인이 전송해 온 파일을 설치 한 후에 자신의 은행카드가 소비 된 것을 발견했다. 피해자는 모두 심각한 손실을 입었다. 많은 절취자들은 은행카드의 잔액을 모두 절취하곤 한다. 피해자는 자신의 은행카드에 있던 돈이 어디로 유출되었는지를 전혀 모르고 있다. 피해자 자금이 절취되기 전,

모의해킹 전문기업 타이거팀(대표 황석훈)에서 모의해킹 인력을 모집중에 있다. 업무는 모의해킹 및 정보보안컨설팅 분야다. 타이거팀 관계자는 “타이거팀은 세계최고 모의해킹 전문업체를 목표로 하고 있는 회사다. 2012년에 모의해킹 전문가 두명이 설립해 현재 10명의 모의해커가 회사를 이끌어가고 있다”며 “특히 일반적인 웹 해킹 기술과 더불어 다양한 환경에서의 모의해킹 기술을 보유하고 있으며 최신 기법들을 연구하는 회사다. 다양한 환경에서의 모의해킹을 원하고 연구하는 자세, 컨설턴트 마인드가 있다면 타이거팀을 세계최고 모의해킹 기업으로

이스트소프트(대표 김장중)는 점점 고도화되는 보안 위협에 대응하고, 사용자 보안 인식의 고취 및 제고를 위해 ‘2014년 예상 5대 보안 이슈’를 발표했다. 내용은 다음과 같다. 1. 악성코드 공격 대상의 확대2014년에는 스마트 홈, 스마트 자동차 등 스마트 기기가 점차 보편화됨에 따라, 악성코드로 공격할 수 있는 대상이 다양해질 것이다. 또한 저사양/구형 기기에도 설치할 수 있는 안드로이드OS 4.4(KitKat)이 다양한 스마트 기기에 탑재될 것으로 예상된다. KitKat의 보급이 확산될 경우, 안드로이드OS의 파편화를 줄이고

“2013년은 2012년과 비슷한 유형의 보안 위협들이 다수 발생했다. 다만, 3.20 사이버테러와 6.25 사이버전으로 규정된 북한의 공격이 연이어 발생해 심각한 보안위협으로 대두되었다. 그외 각종 사이버범죄는 고도화되고 지능적인 양상을 보였다.” 잉카인터넷 ISARC 대응팀은 2013년 국내에서 발생한 각종 주요 보안이슈와 키워드별 사례를 종합 분석해 2014년 발생 가능한 보안위협 예측자료를 발표했다. ISARC 대응팀 관계자는 “이번 발표는 2013년 등장했던 대표적인 보안 위협들을 되짚어보고, 2014년에 출현 가능한 위협

특정 대상을 향한 APT 공격 정황이 계속 포착되고 있어 각별한 주의가 요구된다. 이번에 발견된 악성코드는 ‘한국핵정책학회 학술대회’ 관계자를 대상으로 발송된 것으로 추정되며 민감한 남북한 핵안보와 핵 정책과 관련된 전반적인 내용을 다루는 ‘한국핵정책학회의 학술대회’ 계획으로 위장해 유포됐다. 이번 APT 공격 정황을 최초 발견한 하우리 관계자는 “이번 공격은 한글 프로그램의 취약점을 이용한 감염시도로 판명됐기 때문에 한글의 최신 보안패치가 되어 있지 않은 수신자들은 문서를 열람할 경우 악성코드에 감염될 위험성이 매우 크다”고 주의

국내 인터넷서점 사이트에 로그인 한 후, 유저 정보를 세션이 아닌 쿠키를 통해 저장하면서 발생할 수 있는 보안취약점이 발견됐다. 사이트 관리자의 보안조치가 필요한 상황이다. 해당 취약점을 발견하고 데일리시큐에 상세한 내용을 제보한 한충우, 김태훈(소속 UNIST HeXA, CodeRed) 씨는 “해당 사이트는 유저 정보를 세션대신 쿠키에 저장하여 단순한 쿠키조작으로 다른 사람의 아이디에 접속하지 못하도록 보안 조치를 해야 하는 상황”이라고 밝히고 상세 취약점에 대해서는 악용의 소지가 있어 기사내용에는 공개하지 말아달라고 당부했다.

리눅스를 기반으로 php가 구동되는 x86 컴퓨팅 시스템을 타깃으로 하는 새로운 웜이 등장했다. 이로 인해 칩 구조로 된 홈 라우터나 셋톱박스와 같은 디바이스가 심각한 보안 위협에 직면하게 됐다. 달로즈(Linux.Darlloz)라고 명명된 이 웜은 php-cgi 취약점(CVE-2012-1823)을 악용하고 있다. 해당 취약점은 2012년 5월 보안패치가 배포됐으나, 이를 적용하지 않은 컴퓨터를 통해 전파되고 있다. 보안업체 시만텍은 “이 웜은 일단 실행이 되면 IP 주소를 랜덤으로 생성시키고 흔히 쓰는 ID와 비밀번호를 통해 서버

각종 보안 위협이 발생했던 2013년을 마무리하면서 2014년 새로운 보안 위협의 트렌드와 변화를 예측한 발표가 나왔다. 파이어아이의 전문 엔지니어와 연구 팀이 데이터와 인사이트를 바탕으로 작성한 내용이다.이번 2014년 보안 위협 예측에서 파이어아이는 자바(Java) 애플리케이션의 취약점을 이용한 공격은 줄어들 것이며 웹 브라우저 기반의 공격이 증가할 것으로 전망했다. APT 공격에 사용되는 악성 코드를 제작/배포 하는 세력 및 행위는 점차 규모가 확산 될 것이며, 새로운 모바일 멀웨어의 급부상으로 2014년의 위협 동향은 보다

데일리시큐는 POC 주최 측인 HNS의 도움을 받아 언더그라운드 마켓에 대한 구체적인 증거자료를 종합해 2회에 걸쳐 상세한 내용을 보도한다고 밝혔다. 아래는 그 두 번째 내용이다. 이번엔 한국 사이트들의 개인정보 DB 거래와 관련된 내용을 중점적으로 보도하겠다.앞서 밝힌 바 대로, Maxim Goncharov는 트랜드마이크로사가 운영하고 있는 언더그라운드 관련 DB 거래 정보 사이트를 POC 관계자에게 공개하고 이 DB 사이트에 접근 권한 정보도 한시적으로 제공했다. 국내에서는 처음으로 해당 DB에 직접 접근한 사항이다. 해당 사이