시작 프로그램에 등록...프로세스 종료 이후에도 자동으로 재실행되는 특징 보여
취약한 버전의 제품에는 원격코드 실행 취약점 발생 가능성 커

[보안뉴스 김영명 기자] VestCert는 웹 사이트 이용 시 사용되는 공인인증서 프로그램으로, 국내 예티소프트 사에서 제조한 Non-ActiveX 모듈이다. 이 프로그램은 시작 프로그램에 등록돼 있으며, 프로세스가 종료되더라도 예티소프트의 서비스(Gozi)에 의해 재실행되는 특징이 있다. 따라서 한 번 설치되면 프로세스에 항상 상주해 있으므로 취약점 공격에 노출될 수 있어 최신 버전으로 업데이트가 필요하다.


▲ASD에서 확인된 취약점 로그[자료=안랩 ASEC 분석팀]

안랩 ASEC 분석팀은 최근 공인 인증 솔루션 VestCert에 대한 취약점을 최초로 발견했다. 취약한 버전의 VestCert에는 원격코드 실행 취약점(RCE)이 발생할 수 있다. 이번 패치 대상 및 버전은 VestCert 2.3.6 버전부터 2.5.29 버전까지가 해당된다.


▲SCSKAppLink.dll과 동일한 파일 정보[자료=안랩 ASEC 분석팀]

공격자는 해당 취약점으로 악성코드를 다운로드 후 실행했다. 해당 악성코드(winsync.dll)는 과거에도 발생한 적이 있는 SCSKAppLink.dll 파일의 외형 및 기능이 매우 유사했다. 또한, 두 파일 모두 Notepad++ 플러그인 오픈소스를 악용해 작성됐으며, 문자열을 복호화하는 코드 루틴도 동일했다.


▲과거와 동일한 코드 패턴[자료=안랩 ASEC 분석팀]

안랩 ASEC 분석팀 관계자는 “VestCert 취약점을 해결하기 위해서는 사용 중인 프로그램의 버전을 확인하고 최신 버전으로 업데이트를 하는 것이 필요하다”고 밝혔다. 이어 “먼저, 서비스 운영자는 예티소프트 사를 통해 최신 버전으로 업데이트를 해야 한다”며 “서비스 이용자는 취약한 VestCert가 설치돼 있는 경우 먼저 제거한 다음 최신 버전으로 업데이트해야 한다”고 밝혔다.

이밖에도 VestCert를 종료하고 제거할 때는 일정한 순서에 따라 진행하는 것이 필요하다. 먼저 프로세스 종료는 작업관리자의 프로세스 탭에서 Goji를 먼저 종료 후 VestCert를 종료해야 한다. 이후 [제어판]-[프로그램]-[프로그램 및 기능]에서 VestCert 버전 확인 후 ‘제거’를 클릭해 완전히 삭제한다.


▲VestCert 종료 및 제거 과정[자료=안랩 ASEC 분석팀]

그 이후에 이용 중인 금융사이트에 접속해 해당 보안 취약점이 해결된 버전의 프로그램을 재설치한다. 금융사이트별 취약한 프로그램의 패치 일정은 서로 다르기 때문에 확인할 필요가 있다. 현재 확인된 VestCert 최신 버전은 2.5.30.XX 버전이다.
[김영명 기자(boan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>