매크로, 플래시, PE 파일 등 전혀 사용되지 않아 무고해 보이는 파일
INCLUDEPICTURE라는 비공식 워드 기능 악용한 공격
[보안뉴스 문가용 기자] 마이크로소프트 오피스가 가진 비공식적인 기능을 통해 공격자들이 여러 피해자들로부터 민감한 정보를 모아왔던 것이 드러났다. 악성 기능을 가진 워드 문서가 이 공격에 활용됐는데, 특이하게도 매크로 기능이 전혀 활용되지 않았다고 한다. 임베드 된 플래시 객체나 PE 파일 등 액티브 콘텐츠는 일절 동원되지 않았다.
이 공격을 이해하려면 먼저 이 ‘비공식적인 기능’이 뭔지를 알아야 한다. 이 기능은 윈도우용과 iOS용, 안드로이드용 마이크로소프트 오피스 제품에 모두 존재하는 것으로 INCLUDEPICTURE라는 필드를 사용해서 이미지를 텍스트 내 특정 글자에 첨부할 수 있게 해주는 것이다.
이를 발견한 카스퍼스키의 연구원들은 분석을 이어나갔고, INCLUDEPICTURE 필드가 ASCII 포맷이 아니라 유니코드를 사용하고 있다는 것을 파악해냈다. 유니코드 프레임워크를 사용했을 때 해커들은 난독화 처리 되어 있는 악성 URL에 대하여 GET 요청을 발동시킬 수 있게 된다고 한다. 이 URL들은 같은 워드 문서 내에 심겨 있는 코드들 안에 포함되어 있으며, 외부 웹 자원들에 위치해 있는 PHP 스크립트로 연결되어 있다. “이런 식으로 공격자들은 소프트웨어 버전 정보를 얻어낼 수 있습니다.”
한편 공식 MS 오피스 매뉴얼에는 INCLUDEPICTURE 필드에 대한 설명은 발견할 수 없었다고 카스퍼스키는 전달한다.
이렇게 조작된 워드 문서는 피싱 메일을 통해 피해자에게 전달되는데, 이 때 문서는 OLE2 포맷으로 만들어진다. OLE는 데이터와 데이터를 연결하는 방법 중 하나로, 최초의 문서 제작자가 한 개의 워드 문서를 다양한 객체를 임베드하거나 데이터에 연결시킬 수 있도록 해준다. 또한 저자가 필드를 문서 내에 하나 생성하고, 이 필드가 그래픽 파일을 ‘가리키도록’ 만들 수 있게도 해준다. 악성 그래픽 파일을 문서 내에 직접 임베드하는 것의 응용 버전이라고 할 수 있다.
“굉장히 복잡한 원리로 구성된 공격입니다. 이 공격의 목적인 피해 시스템의 정보를 모으는 것이고요. 즉 누군가가 조사와 정찰을 위해 굉장히 힘들고 어려운 공격 방법을 개발해냈다는 겁니다. 게다가 액티브 콘텐츠나 수상쩍은 링크가 걸려 있지 않기 때문에 워드 문서는 전혀 수상해 보이지도 않습니다. 정찰을 목적으로 한 고도의 공격 방법이 개발된 겁니다.”
이 기능은 LibreOffice나 OpenOffice 버전에는 포함되어 있지 않은 것으로 나타났다. 당분간은 이 버전의 애플리케이션으로 워드 문서를 여는 것이 안전하다는 뜻이다.
“소프트웨어 버전은 공격자들이 특히 많은 관심을 보이는 정보입니다. 버전들마다 취약점이 다르고, 특히 옛날 버전일 경우 그 취약점들이 널리 알려져 있는 경우가 많기 때문입니다. 정찰 단계를 넘어 추가 공격을 실행하려면 이 소프트웨어 버전 정보가 매우 유용합니다.” 카스퍼스키 측의 설명이다.
[국제부 문가용 기자(globoan@boannews.com)]
INCLUDEPICTURE라는 비공식 워드 기능 악용한 공격
[보안뉴스 문가용 기자] 마이크로소프트 오피스가 가진 비공식적인 기능을 통해 공격자들이 여러 피해자들로부터 민감한 정보를 모아왔던 것이 드러났다. 악성 기능을 가진 워드 문서가 이 공격에 활용됐는데, 특이하게도 매크로 기능이 전혀 활용되지 않았다고 한다. 임베드 된 플래시 객체나 PE 파일 등 액티브 콘텐츠는 일절 동원되지 않았다.
[이미지 = iclickart]
이 공격을 이해하려면 먼저 이 ‘비공식적인 기능’이 뭔지를 알아야 한다. 이 기능은 윈도우용과 iOS용, 안드로이드용 마이크로소프트 오피스 제품에 모두 존재하는 것으로 INCLUDEPICTURE라는 필드를 사용해서 이미지를 텍스트 내 특정 글자에 첨부할 수 있게 해주는 것이다.
이를 발견한 카스퍼스키의 연구원들은 분석을 이어나갔고, INCLUDEPICTURE 필드가 ASCII 포맷이 아니라 유니코드를 사용하고 있다는 것을 파악해냈다. 유니코드 프레임워크를 사용했을 때 해커들은 난독화 처리 되어 있는 악성 URL에 대하여 GET 요청을 발동시킬 수 있게 된다고 한다. 이 URL들은 같은 워드 문서 내에 심겨 있는 코드들 안에 포함되어 있으며, 외부 웹 자원들에 위치해 있는 PHP 스크립트로 연결되어 있다. “이런 식으로 공격자들은 소프트웨어 버전 정보를 얻어낼 수 있습니다.”
한편 공식 MS 오피스 매뉴얼에는 INCLUDEPICTURE 필드에 대한 설명은 발견할 수 없었다고 카스퍼스키는 전달한다.
이렇게 조작된 워드 문서는 피싱 메일을 통해 피해자에게 전달되는데, 이 때 문서는 OLE2 포맷으로 만들어진다. OLE는 데이터와 데이터를 연결하는 방법 중 하나로, 최초의 문서 제작자가 한 개의 워드 문서를 다양한 객체를 임베드하거나 데이터에 연결시킬 수 있도록 해준다. 또한 저자가 필드를 문서 내에 하나 생성하고, 이 필드가 그래픽 파일을 ‘가리키도록’ 만들 수 있게도 해준다. 악성 그래픽 파일을 문서 내에 직접 임베드하는 것의 응용 버전이라고 할 수 있다.
“굉장히 복잡한 원리로 구성된 공격입니다. 이 공격의 목적인 피해 시스템의 정보를 모으는 것이고요. 즉 누군가가 조사와 정찰을 위해 굉장히 힘들고 어려운 공격 방법을 개발해냈다는 겁니다. 게다가 액티브 콘텐츠나 수상쩍은 링크가 걸려 있지 않기 때문에 워드 문서는 전혀 수상해 보이지도 않습니다. 정찰을 목적으로 한 고도의 공격 방법이 개발된 겁니다.”
이 기능은 LibreOffice나 OpenOffice 버전에는 포함되어 있지 않은 것으로 나타났다. 당분간은 이 버전의 애플리케이션으로 워드 문서를 여는 것이 안전하다는 뜻이다.
“소프트웨어 버전은 공격자들이 특히 많은 관심을 보이는 정보입니다. 버전들마다 취약점이 다르고, 특히 옛날 버전일 경우 그 취약점들이 널리 알려져 있는 경우가 많기 때문입니다. 정찰 단계를 넘어 추가 공격을 실행하려면 이 소프트웨어 버전 정보가 매우 유용합니다.” 카스퍼스키 측의 설명이다.
[국제부 문가용 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2025-04-07] .png)
