💌 님의 IDA Pro가 트로이목마일 수도 있어요!

11월 4주차 해킹짹짹 뉴스레터 💌

안녕하세요! 😃 오늘도 따끈따끈한 뉴스를 들고 찾아왔습니다!

여담으로 IDA Pro는 저도 20살 때 선배에게 조심하라는 이야기를 들었었는데 그 기억이 다시 떠오르는 뉴스네요. 재밌는 것은 트로이목마가 된 해당 프로그램은 설치 메시지가 'It is will install...'로 시작한답니다. 🤣

이번 주는 Steganography와 짹짹's profiling이 준비되어있습니다. 이번 주에는 과연 어떤 사건을 알아볼까요?🕵🏻 이번 주도 기대해주세요!

주간뉴스

지난 주에는 어떤 일들이 있었을까? 😏

북한 해킹 그룹 Lazarus, IDA Pro를 트로이목마화해서 사이버보안 연구원을 노린다.

IDA Pro는 기계어를 어셈블리어로 변환해주는 디스어셈블러로, 프로그램의 내부 작동을 분석하기 위해 악성코드 분석가 및 사이버보안 연구원들에게 널리 사용됩니다. 하지만 고가의 응용프로그램이기 때문에 많은 사람이 불법 복제된 크랙 버전을 다운로드합니다. 모든 크랙 버전과 마찬가지로 악성 실행 파일을 포함하도록 변조될 위험이 항상 존재하죠. 👿

바로 북한 해킹 그룹 Lazarus가 배포한 IDA Pro 7.5의 크랙버전을 트로이목마화시켜 보안 연구원을 공격하려는 것이 밝혀졌습니다. 😱 해당 프로그램은 설치될 때 실행될 두 개의 악성 DLL을 포함해 NukeSped 원격 액세스 트로이 목마로 여겨지는 페이로드를 다운로드합니다. 이를 통해 보안 연구원의 기기에 액세스하여 파일을 훔치고, 스크린샷을 찍고, 키 입력을 기록하거나, 추가 명령을 실행할 수 있습니다.

TikTok, 인플루언서의 계정을 탈취하려는 피싱 공격 발견! 📩

인플루언서, 브랜드 컨설턴트 등 유명 TikTok 계정을 대상으로 새로운 피싱 공격이 발견되었습니다. 🎣 해커는 TikTok 직원을 가장하여 사용자에게 다음 두 가지 중 하나의 메일을 피해자에게 보낸다고 해요. 하나는 플랫폼 약관 위반 혐의로 인해 즉각적인 계정 삭제를 하라는 메일과 TikTok의 'verified' 뱃지를 제공한다는 메일입니다. 두 경우 모두 메일에 포함된 링크를 클릭하여 계정을 확인하는 방법으로 이메일 주소, 전화번호, 다단계 인증을 확인하고 계정 비밀번호를 재설정 코드를 요청하여 계정을 탈취한다고 해요. 😠 해커들의 목적이 뭔지 분명하지 않지만, 피해자들에게 계정을 돌려주는 대가로 돈을 지불하도록 강요하기 위해 계정을 탈취하는 것으로 추측하고 있습니다.

FBI의 이메일 서버를 해킹하고 메일을 발송했다! 그런데 내용이 누가 곧 데이터를 훔친다고?

해커들은 11월 13일 공식 FBI 이메일 서버에 침입하여 "Urgent: Threat actor in systems"라는 제목과 누군가 데이터를 훔치려한다는 내용으로 조직에 10만여 개의 메일을 발송했습니다. 하지만 FBI가 절대 저지르지 않는 철자 오류 외에 너무 노골적으로 보안 연구원 Vinny Troia가 네트워크에서 데이터를 훔치려는 것을 감지했다는 내용이었어요. 🤨

Vinnry Troia는 해킹 그룹 TheDarkOverlord에 대한 정보를 공개하는 책을 저술한 이후에 그의 트위터와 웹사이트가 해킹된 적이 있으므로 이번 사건도 TheDarkOverlord의 소행이라고 추측하고 있습니다. 그는 "FBI 이메일 서버를 해킹한 해커들이 내 이름으로 그런 일을 하기로 했다니 자랑스러워해야 하나?"라고 말했다고 하네요. 🤣

by y00n_nms

하루한줄

해키보이즈팀이 연구하고 분석하는 최신 해킹 기술👇

Sitecore Experience Platform Pre-Auth RCE - CVE-2021-42237

[대상]

Sitecore XP 7.5 Initial Release - Sitecore XP 7.5 Update-2,

Sitecore XP 8.0 Initial Release - Sitecore XP 8.0 Update-7,

Sitecore XP 8.1 Initial Release - Sitecore XP 8.1 Update-3,

Sitecore XP 8.2 Initial Release - Sitecore XP 8.2 Update-7

[설명]

Enterprise CMS (Content Management System)인 Sitecore XP에서 원격 코드 실행 취약점이 발견되었습니다. Sitecore XP는 소비자 데이터, 통계, 마케팅 자동화 등의 기능을 가지고 있는 툴입니다. Sitecore XP는 .NET으로 개발되었는데 insecure deserialization 취약점이 있는 NetDataContractSerializer을 사용해 원격 커멘드 실행 취약점이 발생합니다. POST request의 XML node에 따라 그에 맞는 deserialization 함수가 호출됩니다.

그 중 DeserializeParameters는 NetDataContractSerializer를 사용하는 insecure desrialization 패턴이 있습니다.