최근 해외에서 실제 APT 공격에 사용되고 있던 인터넷 익스플로러의 취약점 코드가 공개돼 해당 브라우저를 사용하는 사용자의 각별한 주의가 요구된다.
 
하우리 관계자는 “이번에 발견된 취약점(CVE-2013-3163)은 인터넷 익스플로러 8,9,10 버전에 존재하며, 해당 취약점을 패치하지 않은 상태에서 공격자가 구성한 웹 페이지에 방문할 경우 사용자 PC에서 악성코드가 실행될 수 있다”고 경고했다.

 
이 취약점은 지난 10일 마이크로소프트사의 7월 정기 보안 업데이트 MS13-055를 통해 패치가 이루어졌으나, 제로데이 상태로 실제 APT 공격에 사용된 것은 지난 6월초로 사용자들은 한달 이상 잠재적인 위협에 노출되어야 했다.
 
다행히 이번 공격은 APT 형태로 몇몇 목표 대상에게만 은밀하게 진행되어, 일반 사용자들이 직접적으로 공격에 노출되지는 않았다.
 
특히 이번 공격에서는 공격자가 Flash Player의 ActionScript를 이용해 쉘코드를 구성한 것으로 밝혀졌다.
 
해당 기법은 ActionScript의 Vector 오브젝트를 이용해 메모리를 구성하는 기술로 올해 2월 Flash Player Zero-day에서 최초로 사용되었으며, 인터넷 익스플로러에 해당 기법이 적용된 것은 처음이다.
 
그 동안은 Windows의 ASLR이나 DEP를 우회하기 위해 JAVA ROP 등이 이용되었지만, 앞으로는 ActionScript를 이용하는 익스플로잇도 다수 등장할 것이라는 예측이 가능한 대목이다.
 
하우리 선행연구팀 한승연 선임연구원은 “보통 인터넷 익스플로러 취약점이 악성코드를 불특정 다수에게 광범위하게 유포하는데 반해, 이번 악성코드는 특정 목표를 겨냥한 APT 공격이었다는데 의미가 있다”며 “이미 MS에서 취약점 패치를 제공했기 때문에 해당 취약점 패치를 반드시 설치해야 하며, 패치가 이루어지기까지 어느 정도의 시간이 걸리기 때문에 백신의 설치 또한 필요하다”고 말했다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com