사용하는 OS와 오피스 제품의 보안 패치 주기적 설치가 중요
[보안뉴스 김태형] 어도비 리더(Adobe Reader)와 마이크로소프트 오피스(Microsoft Office)와 같은 전자 문서에 존재하는 취약점을 악용하여 악성코드 감염을 시도하는 사례들은 지속적으로 발견되고 있다.
이러한 가운데 10월 17일 안랩 시큐리티대응센터(이하 ASEC)에서는 “대만의 기상청 내부 직원을 대상으로한 타깃 공격(Targeted Attack)이 발생했음을 발견했다”고 밝혔다.
이번 대만 기상청의 내부직원을 대상으로 한 타깃 공격은 아래 이미지와 동일한 이메일을 통해 진행됐다.
ASEC는 “해당 이메일들에는 첨부된 전자 문서는 ‘個人資料同意申請書.doc(247,200 바이트)’, ‘中央氣象局颱風資料庫?究用帳號申請表.doc(248,224 바이트)’ 그리고 ‘國立中央大學大氣科學系通訊錄.xls(146,432 바이트)’ 파일이 첨부되어 있었다”고 설명했다.
첨부된 전자 문서 파일들은 개인정보 동의 신청서와 기상 관련 자료들인 것으로 위장해 이메일의 수신인의 문서를 열어보기 쉬운 파일명을 사용하고 있다.
그리고 워드문서의 경우에는 CVE-2012-0158 취약점을 악용하며 보안 권고문 “Microsoft Security Bulletin MS12-027 - 긴급 Windows 공용 컨트롤의 취약점으로 인한 원격 코드 실행 문제점(2664258)”을 통해 이미 보안 패치가 배포 중인 알려진 취약점이다.
ASEC 측은 “취약한 전자 문서 파일들은 공통적으로 원격 제어가 가능한 백도어 형태의 악성코드 감염을 시도하고 있어 내부 정보 탈취를 목적으로 유포된 것으로 추정된다”고 밝혔다.
마이크로소프트 오피스에 존재하는 취약점들을 악용하여 악성코드 감염을 시도하는 악성코드들 모두 V3 제품군에서 다음과 같이 진단한다.
Dropper/Cve-2012-0158
Dropper/Mdroppr
Trojan/Win32.Scar
Win-Trojan/Ghost.98304
Win-Trojan/Downloader.66048.AU
Win-Trojan/Agentbypass.184320
APT 전문 대응 솔루션인 트러스와쳐(TrusWatcher)에 포함된 DICA(Dynamic Intelligent Content Analysis)에 의해 시그니처 없이 아래와 같이 탐지가 가능하다.
Exploit/DOC.AccessViolation-DE
ASEC 측은 “앞서 언급한 바에 해당되는 취약한 전자문서들은 기존에 알려진 취약점들을 악용하고 있음으로 사용하는 운영체제와 오피스 제품들에 대한 보안 패치를 주기적으로 설치하는 것이 중요하다”고 강조했다.
그리고 외부에서 발신인이 잘 모르는 사람이 보낸 전자 문서 파일들이 첨부된 이메일을 수신할 경우에는 각별한 주의가 필요하다.
[김태형 기자(boan@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-05-12] 
.jpg)
.jpg)
