openLab

0xNews - 미군을 주제로 하여 한국인을 노리는 피싱 공격 캠페인 경고 Securonix 발표 https://www.securonix.com/blog/detecting-ongoing-starkmule-attack-campaign-targeting-victims-using-us-military-document-lures/ 미군을 주제로한 문서를 미끼로 이용하여 한국어를 사용하는 개인을 대상으로 손상된 시스템에서 맬웨어를 실행하도록 하는 공격 확인 STARK#MULE 고 명명하여 공격 추적 중 현재까지 공격의 규모나 공격 결과에 대한 정보는 알려지지 않고 있음 소스와 가능성 있는 대상을 기준으로 판단해볼 때 이러한 유형의 공격은 역사적으로 한국이 이 그룹, 정부 관리의 주요 대상이었기 때문에 APT37 과 같은 전형적인 북한 사이버 공격 그룹에서 비롯된 과거 행적과 유사함 APT37 은 북한에서 지원하는 대표적인 사이버 공격 그룹 중 하나로 북한에 대해 보도하거나 탈북자를 지원하는데 관련된 조직을 대상으로 초점을 맞추는 것으로 알려져 있음 이 그룹이 탑재한 공격 체인은 역사적으로 사회공학적 해킹에 의존 피해자 피싱 후 RokRat 와 같은 페이로드를 대상 네트워크에 전달 적대적 집단은 최근 몇달 동안 AblyGo 라는 Go 기반 백도어를 포함하여 다양한 맬웨어 제품군으로 공격 무기를 확장 이번 캠페인의 주목할만한 특징은 시스템에 설치된 보안 솔루션의 레이더 아래로 이동하기 위해 페이로드나 C2 Command-and-Control 서버를 준비하기 위해 한국 전자상거래 웹 사이트를 점거 후 사용 시발점 역할을 하는 피싱 이메일은 미 육군 모집 메시지를 사용 수진자가 PDF문서로 가장한 바로가기 파일이 포함된 ZIP 아카이브 파일을 열도록 유도 바로가기 파일이 실행되면 미끼PDF 를 표시하지만 아카이브 파일에 있는 악성 Thumbs.db 파일의 실행을 은밀하게 활성화 이 파일은 추가 스테이지를 다운로드하고 schtasks.exe 를 활용 지속성 확보 후 여러 기능을

0xNews - 정교한 공격에 특화된 새로운 AI 도구 FraudGPT 등장 NetenRich 발표 https://netenrich.com/blog/fraudgpt-the-villain-avatar-of-chatgpt FraudGPT 라는 또 다른 사이버 범죄 생성형 AI 도구가 텔레그램 채널과 다크웹 마켓플레이스에서 판매를 위한 광고 하는 것을 확인 이는 스피어 피싱 이메일 제작, 크래킹 도구 생성 등과 같은 공격적인 목적을 위한 생성형 AI 도구 최소 2023년 7월 22일 이후 월 USD 200, 6개월 USD 1000, 1년 USE 1700 구독 비용으로 제공 이 도구를 사용하여 악성 코드를 작성한 결과 감지할 수 없는 악성 코드를 생성하여 누출이나 취약점을 찾을 수 있음 3,000개 이상 판매와 리뷰로 사용자 리뷰 등록 이 시스템 개발에 사용된 정확한 LLM Large Language Model 은 현재까지 확인되지 않고 있음 이러한 도구는 PhaaS Phishing-as-a-Service 모델을 한 단계 끌어올리는 것 외에도 설득력 있는 피싱이나 BEC Business Email Compromise 공격을 초급 공격자가 손쉽게 할 수 있도록 발판 역할을 할 수 있도록 유발 조직이 윤리적 보호 장치가 있는 GhatGPT 나 기타 도구를 만들 수 있지만 이러한 보호 장치 없이 동일한 기술을 다시 구현하는 것은 전문가 집단이나 공격자 그룹에게는 어려운 일이 아님 빠른 분석에 사용할 수 있는 모든 보안 원격 측정을 통해 심층 방어 전략을 구현하는 것이 피싱 이메일이 랜섬웨어나 데이터 유출로 변하기 전에 빠르게 움직이는 위협을 찾아 대응하는 것이 더욱 중요해짐

0xNews - AMD zen2 프로세서에서 새로운 취약점 발견 Google Project Zero 발표 https://lock.cmpxchg8b.com/zenbleed.html 암호화 키나 암호와 같은 민감 정보를 추출하는데 악용 가능한 새로운 취약점으로 AMD zen2 아키텍처 기반 프로세서에서 발견 Zenbleed 로 명명 CVE-2023-20593 지정 CVSS 6.5 코어당 30kb 속도로 데이터 유출 가능 최신 CPU 에서 널리 사용되는 최적화 기술이 CPU 레지스터에서 암호화 키에 접속하는데 남용되는 speculative execution attacks AMD 는 특정 마이크로아키텍처 환경에서 Zen2 CPU 의 레지스터가 0 에 올바르게 기록되지 않을 수 있음을 확인 이로 인해 다른 프로세스나 스레드의 데이터가 YMM 레지스터에 저장되어 공격자가 중요한 정보에 잠재적으로 접속할 수 있음 AMD 에서 이번 취약점에 대한 발표 https://www.amd.com/en/resources/product-security/bulletin/amd-sb-7008.html Cloudflare 는 이번 공격이 웹 사이트에서 JavaScript 를 통해 원격으로 수행될 수도 있음을 경고 컴퓨터나 서버에 대한 물리적 접속이 필요하지 않아도 공격 가능 경고 YMM 레지스터를 사용하여 효율적으로 백터화된 작업 실행 가능 많은 양의 데이터를 처리하는 애플리케이션은 상당한 이점을 얻을 수 있지만 이를 이용하여 악의적인 활동에 초점을 맞출 수 있음 이번 공격은 레지스터 파일을 조작하여 잘못 예측된 명령을 강제하는 방식으로 작동 레지스터 파일은 동일한 물리적 코어에서 실행되는 모든 프로세스에서 공유되기 때문에 이번 공격은 CPU와 나머지 컴퓨터 간에 전송되는 데이터를 모니터링하여 가장 기본적인 시스템 작업을 도청하는데 사용 가능 현재까지 취약점을 악용한 정보는 확인되지 않았음 OEMs Original Equipment Manufacturers 을 통해 마이크로 코드 업데이트가

0xNews - 리눅스 시스템에 원격 명령어 인젝션 공격이 가능한 새로운 openSSH 취약점 발견 Qualys 발표 https://blog.qualys.com/vulnerabilities-threat-research/2023/07/19/cve-2023-38408-remote-code-execution-in-opensshs-forwarded-ssh-agent 특정 조건에서 손상된 호스트에서 임의의 명령을 원격으로 실행하기 위해 잠재적으로 악용될 수 있는 openSSH 상세 정보 공개 이번 취약점을 통해 원격 공격자는 취약한 openSSH 의 ssh-agent 에서 잠재적으로 임의의 명령 실행할 수 있는 것을 확인 CVE-2023-38408 지정 CVSS 점수 측정 전 openSSH v.9.3p2 이전의 모든 버전이 영향을 받음 openSSH 는 도청, 하이재킹, 기타 공격을 제거하기 위해 모든 트래픽을 암호화하는데 사용되는 SSH 프로토콜을 사용한 원격 로그인을 위한 연결 도구 이번 취약점을 악용에 성공하려면 피해자 시스템에 특정 라이브러리가 있어야 함 SSH 인증 에이전트가 공격자가 제어하는 시스템으로 전달 되어야 함 SSH 에이전트는 사용자의 키를 메모리에 유지하고 암호를 다시 입력하지 않고도 서버에 원격 로그인할 수 있도록 하는 백그라운드 프로그램 ssh-agent 의 소스 코드를 탐색하는 동안 A 의 ssh-agent 가 전달되는 원격 서버에 접속 이를 가능하게 한 원격 공격자가 A 의 리눅스 컴퓨터의 /usr/lib* 에 있는 모든 공유 라이브러리를 로드 dlopen()  이후 기본값인 ENABLE_PKCS11 로 컴파일된 경우 전달된 ssh-agent 를 통해 즉시 언로드 dlclose() 할 수 있는 것을 발견 테스트 결과 ubuntu desktop 22.04, 21.10 에서는 기본 설치 버전 대상 PoC 고안 가능 다른 리눅스 배포판 역시 취약할 것으로 예상 현재 사용 중인 openSSH 는 모두 최신 버전으로 업데이트 하는 것을 권고

0xNews - 취약한 MS-SQL 서버를 노리고 네트워크에 칩입하는 Mallox 랜섬웨어 공격 경고 Palo Alto Networks Unit42 발표 https://unit42.paloaltonetworks.com/mallox-ransomware/ 새 조사 결과에 따르면 2023년 Mallox 랜섬웨어 활동은 전년 대비 174% 증가 Mallox 랜섬웨어는 다른 많은 랜섬웨어 공격자와 마찬가지로 이중 갈취 double extortion 추세를 보임 조직의 파일을 암호화하기 전 데이터를 탈취하여 다음 피해자가 몸값을 지불하도록 유도하기 위한 수단으로 탈취한 데이터를 유출 사이트에 게시하겠다고 위협 Mallox 는 TargetCompany, Tohnichi, Fargo, Xollam 과 같은 다른 랜섬웨어 변종에도 공격자가 연관이 되어 있는 것으로 판단 2021년 6월 최초 등장 Mallox 의 주요 대상은 제조업, 특정 전문 분야, 법률 서비스, 도매, 소매 업종 등으로 확인 공격에 대한 주목할만한 측면은 피해자의 네트워크를 손상시키기 위한 침투 벡터로 사전 공격 Dictionary attacks 실행 이를 통해 보안이 취약한 MS-SQL 서버를 악용하는 것이 중요 패턴 Xollam 은 초기 접속에 악성 MS 의 OneNote 첨부 파일을 사용하는 것이 확인되었다는 점에서 공격 방식의 변화를 확인 공격 후 호스트 감염에 성공하여 거점을 확보하게 되면 PowerShell 명령이 실행되어 원격 서버에서 랜섬웨어 페이로드 검색 이 바이너리는 암호화 프로세스를 시작하기 전  SQL 관련 서비스를 중지하거나 제거 볼륨 쉐도우 복사본 삭제 시스템 이벤트 로그 삭제 보안 관련 프로세스 강제 종료 랜섬웨어 공격에 대응하도록 설계된 오픈소스 도구인 Raccine 우회 시도 이런 일련의 실행 후 랜섬웨어가 실행되어 DB정보가 랜섬웨어 암호화 실행 TargetCompany 는 작고 폐쇄적인 그룹으로 남아있지만 RAMP 사이버 범죄 포럼에서 Mallox RassS Ransomwa

0xNews - 리눅스와 윈도우 Redis 서버를 대상으로 하는 새로운 웜을 이용한 공격 캠페인 발견 Palo Alto Networks Unit42 발표 https://unit42.paloaltonetworks.com/peer-to-peer-worm-p2pinfect/ 취약한 Redis 인스턴스를 대상으로 하는 새로운 클라우드 대상 P2P Peer to Peer 웜 발견 P2PInfect 로 명명 리눅스와 윈도우 운영체제에서 실행되는 Redis 서버를 악용 다른 웜 Worm 보다 확장 가능이 매우 빠르고 강력함 클라우드 친화적인 프로그래밍 언어인 Rust 기반 개발과 작성 최대 900여개 고유한 Redis 시스템이 위협에 취약할 수 있는 것으로 추정 P2PInfect가 첫번째 공격은 2023년 7월 11일 공격 확인 이전에는 Muhstik, Redigo 와 같은 여러 악성코드군을 전달하는데 악용된 치명적인 Lua 샌드박스 탈출 취약점을 악용 CVE-2022-0543 지정 CVSS 10.0  Redigo와 HeadCrab 은 Redis 의 'Primary/Secondary' 모듈 동기화 공격과 관련이 있는 것으로 판단 이런 기술은 공격자가 손상된 인스턴스를 제어할 수 있도록 손상된 Redis 인스턴스가 기본 인스턴스에서 보조 인스턴스로 이동될 때 사용 P2PInfect 공격은 Lua 샌드박스 탈출과 직접 연결 공격자는 Lua 라이브러리를 활용하여 손상된 호스트에서 실행될 RCE스크립트를 추가 이는 Muhstik 익스플로잇과 더 밀접하게 관련이 있음 최초 접속을 통해 성공적으로 공격에 성공 후 대규모 P2P 네트워크에 대한 P2P 통신을 설정 다른 곳에 노출된 Redis 서버에 악성코드를 전파하기 위한 스캔용 소프트웨어를 포함하여 추가 악성 바이너리를 가져오는 드롭퍼 페이러도를 전달하는데 활용 감염된 인스턴스는 P2P 네트워크에 합류 향후 손상된 Redis 인스턴스에 다른 페이로드에 대한 접속 정보 제공 또한 PowerShell 스크립트를 사용 손상

0xNews - WordPress 금융 플러그인 취약점을 악용하여 하이재킹 공격 캠페인 발견 Wordfence 발표 https://www.wordfence.com/blog/2023/07/massive-targeted-exploit-campaign-against-woocommerce-payments-underway/ 워드프레스 WordPress 의 금융 플러그인 중 하나인 WooCommerce Payments 에서 발견된 보안 취약점을 악용 CVE-2023-28121 지정 CVSS 9.8 인증되지 않은 공격자가 임의의 사용자로 위장 관리자를 포함하여 위장된 사용자로 일부 작업을 수행 사이트 탈취로 이어질 수 있는 인증 우회 사례 2023년 7월 14일부터 해당 취약점을 악용하여 대규모 공격 수행 7월 16일 15만 7천여개 사이트에 대해 130만건 공격 확인 WooCommerce Payments v.4.8.0~5.6.1 이 취약 대상 버전 이 플러그인을 이용하여 60만개 이상 사이트에서 설치되서 이용 중 버그에 대한 패치는 2023년 3월 WooCommerce 에서 다시 릴리스 워드프레스는 영향을 받는 소프트웨어 버전을 사용하는 사이트에서 자동 업데이트 수행 이번 공격 캠페인에서 관찰된 공통점 HTTP request header 를 X-Wcpay-Platform-Checkout-User: 1 로 사용을 수반 취약한 사이트가 추가 페이로드를 관리 사용자로부터 오는 것으로 처리하도록 함 이를 통해 공격자는 관리자가 악성 코드를 실행하고 파일 업로더를 설치하도록 유도 공격자는 지속성을 확보하고 손상된 사이트를 백도어하여 사용할 수 있는 WP Console 플러그인을 배포하기 위해 무기화 수행 이번 공격 켐페인은 Rapid7 이 2023년 7월 13일부터 다수 고객 환경에서 Adobe ColdFusion 취약점을 적극적으로 악용하여 감염된 엔드포인트에 웹셀을 배포하는 것을 관찰했다는 리포트를 확인하면서 파악 공격자들이 2차 취약점과 함께 CVE-2023-29298 취약

0xNews - 사이버 공격자가 더욱 정교한 공격을 실행하게 도와주는 새로운 AI 도구 발견 SlashNEXT 발표 https://slashnext.com/blog/wormgpt-the-generative-ai-tool-cybercriminals-are-using-to-launch-business-email-compromise-attacks/ WormGPT 라는 새로운 AI도구가 언더독 해커포럼에서 피싱이나 비즈니스 이메일 손상과 같은 공격 도구에 활용할 수 있는 방법을 공개와 광고 등록된 것을 확인 이런 도구는 악의적인 활동을 위해 특별히 설계된 GPT모델에 대한 블랙햇 대안으로 판단 사이버 공격자는 이러한 기술을 사용하여 특정된 대상, 개인에게 개인화된 매우 설득력 높은 허위 이메일 생성을 통해 공격 자동화를 수행하여 성공 가능성을 높일 수 있음 모든 종류의 불법적인 작업을 수행할 수 있도록 허용하여 공격 성공률을 높임 OpenAI ChatGPT 나 Google Bard 가 설득력 있는 피싱 이메일을 조작하고 악성코드를 생성하기 위해 대규모 언어 모델 LLM Large Language Models 을 남용 이를 방지하기 위한 조치를 점점 많이 취하고 있음 CheckPoint 는 사이버 보안 영역에서 Google Bard 의 악용 방지 제한 장치는 ChatGPT 에 비해 훨씬 낮은 것으로 판단 따라서 공격자는 Google Bard 의 기능을 사용하여 악성 컨텐츠 생성하는 것이 훨씬 쉬움 또 다른 보안회사는 공격자들이 API를 활용하여 ChatGPT 의 제한을 회피하는 방법을 공개 탈취한 프리미엄 계정을 거래하거나 이메일 주소, 비밀번호 목록을 사용하여 ChatGPT 계정을 해킹하는 무차별 대입 공격을 하는 소프트웨어를 판매하는 것도 확인 CheckPoint 발표 정보 사이트 링크 https://blog.checkpoint.com/2023/03/15/check-point-research-conducts-initial-security-analysis-of-cha

0xNews - GitHub를 통해 리눅스 커널 취약점 공개에 대한 가짜 PoC 공개를 통해 맬웨어 유포 Uptycs 발표 https://www.uptycs.com/blog/new-poc-exploit-backdoor-malware GitHub에서 교묘한 방법으로 지속적으로 백도어를 숨기는 PoC 발견 이런 경우 PoC는 양의 탈을 쓴 늑대이며 무해한 학습 도구로 위장한 악의적인 의도를 품고 있음 다운로더로 작동하면서 리눅스 bash script를 자동으로 덤프하고 실행하는 동시에 작업을 커널 수준 프로세스로 위장 이번에 발견된 GitHub 리포지토리는 최근 공개된 리눅스 커널 취약점 CVE-2023-35829 에 대한 PoC 로 위장 취약점 CVE-2023-35829 에 대한 상세 정보 https://nvd.nist.gov/vuln/detail/CVE-2023-35829 현재 해당 리포지토리는 삭제 25번 포크 되기 전까지 삭제되지 않았음 VMware Fusion 에 영향을 미치는 권한 상승 버그인 CVE-2023-20871 에 대해 동일 계정인 ChriSanders22 에서 공유하는 또 다른 PoC가 2번 분기 CVE-2023-35829 에 대한 가짜 PoC 가 포함된 두번째 GitHub 프로필 정보도 식별 작성 당시에도 여전히 사용 가능하며 19번 포크된 것을 확인 커밋 기록을 보면 변경 사항이 ChriSanders22 에 의해 푸시되었음을 확인 이는 원래 리포지토리에서 분기되었음을 나타냄 백도어에는 손상된 호스트에서 중요한 데이터를 탈취하는 광범위한 기능이 포함 위협 행위자가 SSH키를 .ssh/authorized_keys 파일에 추가하여 원격 접속 권한 획득 가능 PoC 는 우리가 소크 코드 파일에서 실행 파일을 컴파일하고 빌드하는데 사용되는 자동화 도구인 make 명령을 실행하도록 의도 하지만 makefile 에는 악성코드를 빌드하고 실행하는 코드 스니펫이 상주 악성코드는 kworker 라는 파일의 이름을 지정하고 실행 이 파일은 $HOME/.bas

0xNews - AWS와 쿠퍼네티스 사용자를 대상으로 하는 크립토재킹 캠페인 발견 Sysdig 발표 https://sysdig.com/blog/scarleteel-2-0/ SCARLETEEL 로 명명 AWS Amazon Web Services Fargate를 대상으로 하는 지능형 공격 캠페인 클라우드 환경 대상으로 사용자와 조직, 기업의 사용이 증가하면서 공격자 역시 클라우드 환경을 대상으로 하는 공격 수행 사용되는 도구와 기술은 점점 발견하는 중이고 C2 Command and Control 아키텍처와 함께 새로운 보안 조치를 우회하도록 조정 SCARLETEEL 은 2023년 2월 처음 발견 https://sysdig.com/blog/cloud-breach-terraform-data-theft/ AWS 인프라에서 독점 데이터를 탈취하거나 손상된 시스템 자원을 불법적으로 이익을 얻기 위해 암호화폐 채굴기를 배포하는 정교한 공격 체인을 실행 이번 캠페인은 취약한 공개 웹 애플리케이션을 악용하여 지속성을 확보 지적 재산을 탈취하거나 잠재적으로 암호화 마이너를 사용하여 하루 최소 4,000달러 수익을 창출하는 것 이를 위해 캠페인 수행자는 AWS계정을 추적하여 탈취 시도 공격자는 AWS 정책에서의 실수를 발견하여 악용 중 AdministratorAccess에 대한 권한 상승을 시도하여 계정에 대한 제어권을 획득 이후 공격자가 원하는데로 할 수 있도록 함 쿠퍼네티스 Kubernetes 클러스터에 배포된 JupyterLab NoteBook 컨테이너를 악용 초기에 거점을 활용하여 대상 네트워크에 대한 정보 획득 AWS 자격 증명을 수집하여 피해자의 환경에 대해 더 깊이 분석하는 것에서 부터 시작 이후 AWS CLI 도구와 후속 공격을 위한 Pacu 라는 공격 프레임워크 설치 공격은 AWS 자격 증명을 검색하기 위해 다양한 쉘 스크립트를 사용 이중 일부는 AWS Fargate 컴퓨팅 엔진 인스턴스를 대상으로 함 Pacu 공격 프레임워크 관련 정보 링크 https://rhin

0xNews - 리눅스 커널에서 StackRot 라는 이름의 취약점으로 권한 상승 취약점 발견 Openwall 통해 정보 공개  https://www.openwall.com/lists/oss-security/2023/07/05/1 StackRot 로 명명 CVE-2023-3269 지정 CVSS 7.8 리눅스 Linux 커널 버전 6.1에서 6.4 대상에게 영향을 미침 현재까지 악용된 증거는 발견되지 않음 StackRot는 메모리 관리 하위 시스템에서 발견된 리눅스 커널 취약점 거의 모든 커널 구성에 영향을 미치며 트리거 하는데 최소한의 기능이 필요 그러나 RCU Read-Copy Update 콜백을 사용하여 메이플 노드가 해제되어 RCU 유예 기간 이후까지 실제 메모리 할당 해제가 지연된다는 점에서 유의 결과적으로 이 취약점을 악용하는 것은 난이도가 매우 높음 23년 6월 15일 리누스 토발즈 Linus Torvalds 해당 문제 인지와 정보 공개 kernel.org 에서 해당 문제 정보 공개 https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=9471f1f2f50282b9e8f59198ec6bb738b4ccc009 23년 7월 1일 리눅스 커널 6.1.37, 6.3.11, 6.4.1 등으로 안정화 업데이트를 통해 문제 해결 StackRot 해결 업데이트 정보 공개 https://github.com/lrh2000/StackRot PoC 익스플로잇과 버그에 대한 기술 세부 사항에 대한 내용은 정리 후 공개 예정 이번 취약점은 본질적으로 메이플 트리라는 데이터 구조에 근본적인 문제를 가지고 있음 메이플 트리는 Red-Black rbtree 를 대체하여 가상 메모리 영역 VMA 를 관리하고 저장하기 위해 리눅스 커널 6.1에 도입 디스크에 있는 파일의 내용이나 실행 중에 있는 프로그램이 사용하는 메모리 특히 메이플 트리가 MM 쓰기 잠금을 제대로 획득하지 않고 노드 교체를 겪을