보안 패치 설치하고 악성코드 감염 근본적 차단해야
[보안뉴스 김태형] 안랩 시큐리티대응센터(ASEC)는 오늘 이메일을 통해 유포되는 한글 소프트웨어에 알려진 취약점을 이용한 한글 파일이 발견되어 주의를 당부했다.
안랩 시큐리티대응센터(ASEC)에서는 한글과 컴퓨터에서 개발하는 한글 소프트웨어에 존재하는 코드 실행 제로 데이(Zero Day, 0-Day) 취약점을 악용하는 악성코드가 지난 6월 15일 발견되었음을 공개했다. 그리고 6월 22일에는 기존에 발견되었던 취약점을 악용한 취약한 한글 파일이 발견되었음을 공개한 바 있다.
그리고 최근 7월 4일에 다시 한글 소프트웨어에 존재하는 알려진 취약점을 악용한 취약한 한글 파일이 발견되었으며 해당 취약한 한글 파일 역시 이메일의 첨부 파일 형태로 국내 특정 조직을 대상으로 유포 되었다고 밝혔다.
이메일에 첨부되어 유포된 해당 취약한 한글 파일을 열게 되면 아래 이미지와 동일한 내용이 나타나게 된다.
해당 취약한 파일은 아래 이미지와 같은 구조로 되어 있으며 6월 15일 발견된 코드 실행 취약점을 응용한 형태가 아니라 이미 보안 패치가 제공되어 있는 취약점이다.
이 번에 발견된 해당 취약한 한글 파일은 HncTextArt_hplg에 존재하는 스택(Stack)의 경계를 체크하지 않아 발생하는 버퍼 오버플로우(Buffer Overflow) 취약점이며 해당 취약점은 2010년부터 지속적으로 악용되어 왔던 한글 소프트웨어 취약점들 중 하나이다. 그리고 해당 취약점은 한글과 컴퓨터에서 이미 보안 패치를 제공 중에 있다.
해당 취약점이 존재하는 한글 소프트웨어를 사용하는 시스템에서 금일 유포된 취약한 한글 파일을 열게 되면 사용자 계정의 임시 폴더에 scvhost.exe(138,240 바이트) 파일을 생성하게 된다.
c:\documents and settings\[사용자 계정명]\local settings\temp\scvhost.exe( 138,240 바이트)
생성된 scvhost.exe(138,240 바이트) 파일이 실행되면 윈도우 폴더(c:\windows) 폴더에 wdmaud.drv (78,336 바이트)를 생성하게 된다.
C:\WINDOWS\wdmaud.drv (78,336 바이트)
그리고 생성된 wdmaud.drv (78,336 바이트)는 감염된 시스템에서 다음의 정보들을 수집하여 외부로 전송을 시도하게 되나 분석 당시에는 정상적으로 접속이 되지 않았다.
·하드웨어 정보
·윈도우 운영체제 정보
·로그인 사용자 정보
·파일 업로드 및 다운로드
·감염된 시스템의 IP 주소 및 프록시(Proxy) 서버 주소
오늘 발견된 기존에 알려진 한글 소프트웨어 취약점을 악용한 악성코드들은 V3 제품군에서 다음과 같이 진단한다.
·HWP/Exploit
·Win-Trojan/Agent.138240.FK
·Trojan/Win32.Dllbot
APT 전문 대응 솔루션인 트러스와쳐(TrusWatcher)에 포함된 DICA(Dynamic Intelligent Content Analysis)에 의해 시그니처 없이 아래와 같이 탐지가 가능하다.
Exploit/HWP.AccessViolation-DE
향후 출시 예정인 V3 인터넷 시큐리티(Internet Security) 9.0 에 포함 예정인 ASD 2.0의 MDP 엔진에서도 시그니처 없이 다음과 같이 탐지가 가능하다.
Dropper/MDP.Document(57)
안랩 시큐리티대응센터는 “생성되는 파일명들과 생성된 악성코드들이 가지고 있는 기능들을 미루어 볼 때 해당 악성코드 제작자는 동일한 한글 취약점과 동일한 악성코드 소스코드를 바탕으로 지속적으로 변형들을 생산해내는 것으로 분석된다”고 설명했다.
또한 앞서 언급한 바와 같이 한글과컴퓨터에서 보안 패치를 배포 중인 상태이다. 그러므로 해당 보안 패치를 설치하는 것이 악성코드 감염을 근본적으로 차단하는 방안이다.
[김태형 기자(boan@boannews.com)]
<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>
김태형기자 기사보기
[2024-04-24] 
.jpg)
