윈도 디펜더에서 발견된 초고위험도 취약점, 벌써 익스플로잇 코드 등장

2023-11-22 19:29
  • 카카오톡
  • 네이버 블로그
  • url
MS가 11월 정기 패치를 통해 해결한 취약점 중에 CVE-2023-36025가 있다. MS 패치 이전에 이미 일부 공격자들이 익스플로잇 하던 것이었다. 그런데 패치가 나오고 얼마 지나지 않은 시점에 이 취약점의 익스플로잇 코드가 공개됐다.

[보안뉴스 문가용 기자] 윈도 스마트스크린(Windows SmartScreen)에서 발견된 제로데이 취약점의 개념 증명용 익스플로잇 코드가 공개되면서 문제가 커지고 있다. 문제의 취약점은 CVE-2023-36025로, MS가 이번 11월 정기 패치를 통해 해결한 취약점이기도 하다. 하지만 패치가 나오기 전부터 이미 익스플로잇이 진행되고 있었다.


[이미지 = gettyimagesbank]

방어 장치를 우회하게 해 주는 취약점
CVE-2023-36025는 일종의 인증 우회 취약점이다. 익스플로잇에 성공하게 될 경우 공격자는 윈도 디펜더 스마트스크린 확인 장치를 우회해서 악성 코드를 피해자의 시스템에 주입할 수 있게 된다. 그 어떤 알람도 울리지 않는다. 공격자는 이를 성공시키기 위해 악성 URL을 피해자에게 보내 클릭하도록 유도하거나 악성 파일을 열도록 꾀어야 한다.

MS는 해당 취약점을 분석한 뒤 ‘공격 난이도가 낮다’고 평가했다. 윈도 10, 윈도 11, 윈도 서버 2008과 그 이후 버전들에서 발견됐다고 발표하기도 했다. 일부 보안 전문가들은 이 취약점을 별도로 분석했고, “11월 정기 패치 중 가장 시급히 패치해야 할 취약점”이라고 입을 모았다. 그런 상황에서 최근 개념 증명용 코드가 공개됐고, 이 때문에 가뜩이나 쉬운 CVE-2023-36025 익스플로잇이 더 쉬워졌다.

공개된 익스플로잇 코드를 통해 해커들은 “악성 URL 파일을 정상적으로 보이도록 둔갑시킨 뒤 피싱 메일을 통해 유포하는 방법을 터득할 수 있게 된다”고 코드 개발자는 설명하고 있다. 악성 파일을 직접 연 피해자는 악성 사이트에 곧바로 접속하게 되기도 하고, 악성 코드가 시스템에서 실행되는데 아무 것도 눈치 채지 못하게 되기도 한다. 따라서 응용하기에 따라 다양한 공격으로 이어지는 게 가능하다.

TA544, 이미 익스플로잇 시작
악명 높은 해킹 단체인 TA544는 이미 이 취약점의 익스플로잇을 시작했다. TA544는 주로 금전적인 목적을 달성하기 위해 움직이는 조직으로, 보안 업체 프루프포인트(Proofpoint) 등은 이들을 2017년부터 추적해 오고 있다. 이들은 다양한 악성 도구들을 사용해 서유럽과 일본의 조직들을 특히 많이 공략했는데, 어스니프(Ursnif)라는 뱅킹 트로이목마를 사용하는 것으로 유명하다. 최근에는 위키로더(WikiLoader)라는 다운로더를 활용하는 모습을 보이고 있기도 하다.

이번 주 프루프포인트가 발표한 바에 의하면 TA544는 CVE-2023-36025를 익스플로잇 해서 렘코스(Remcos)라는 원격 접근 트로이목마를 퍼트린다고 한다. 렘코는 윈도 장비를 공략하려는 목적으로 여러 해킹 단체가 고루 사용해 온 도구다. 즉 TA544만의 고유한 도구라고 보기는 힘들다는 것으로, TA544와 같은 고도화 되고 경험 많은 공격자들도 일상적으로 상용 멀웨어를 구매해 사용하고 있다는 것을 보여준다.

스마트스크린은 윈도 운영체제에서 사용되는 보안 기능으로, 피싱 공격이나 사용자의 악성 웹사이트 접속을 막아준다. 또한 악성 파일이나 신뢰하기 힘든 파일을 다운로드 할 때에도 경고를 날린다. 보안 업체 이머시브랩스(Immersive Labs)의 수석 연구원인 케브 브린(Kev Breen)은 “특수하게 조작된 파일을 이용하면 이 스마트스크린의 보안 기능을 무력화시킬 수 있게 된다”고 설명한다. “그러므로 OS 전체의 보안을 약화시키는 것이죠.”

CVE-2023-36025는 올해 스마트스크린에서 발견된 세 번째 제로데이 취약점이다. 2월에는 구글의 보안 연구원이 사이버 공격 캠페인에 스마트스크린이 악용되고 있다는 것을 발견해 MS에 제보한 적이 있다. 당시 공격자는 CVE-2023-24880이라는 취약점을 익스플로잇 해서 마그니버(Magniber)라는 랜섬웨어를 퍼트리고 있었다. MS는 이 취약점을 3월에 패치했다. 7월에는 CVE-2023-32049라는 취약점이 공개되고 패치됐다. 역시 공격자들이 미리 알고 익스플로잇 하고 있었다.

3줄 요약
1. 11월에 패치된 제로데이 취약점, 벌써 익스플로잇 코드 공개됨.
2. 익스플로잇 코드가 공개됐다는 건 취약점 익스플로잇 난이도가 상당히 내려갔다는 뜻.
3. 문제는 해당 취약점의 공격 난이도가 이미 낮았다는 것.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

헤드라인 뉴스

TOP 뉴스

이전 스크랩하기


과월호 eBook List 정기구독 신청하기

    • 하이크비전

    • 인콘

    • 모토로라시스템

    • 마이크로시스템

    • 다봄씨엔에스

    • 아이디스

    • 씨프로

    • 웹게이트

    • 씨게이트

    • 한화비전

    • ZKTeco

    • 비엔에스테크

    • 비엔비상사

    • 원우이엔지
      줌카메라

    • 지인테크

    • 비전정보통신

    • 이화트론

    • 다누시스

    • 테크스피어

    • 렉스젠

    • 슈프리마

    • 혜성테크윈

    • 시큐인포

    • 미래정보기술(주)

    • 엔토스정보통신

    • 아이서티

    • 경인씨엔에스

    • 메인아이티

    • 성현시스템

    • 효성인포메이션시스템

    • 다후아테크놀로지코리아

    • 디비시스

    • 아이리스아이디

    • 한국씨텍

    • 지오멕스소프트

    • 이오씨

    • 투윈스컴

    • 이에스티씨

    • (주)우경정보기술

    • 살토시스템

    • 유니뷰코리아

    • 세연테크

    • 이앤엠솔루션

    • 위트콘

    • 트루엔

    • 엔텍디바이스코리아

    • 포엠아이텍

    • 유에치디프로

    • 주식회사 에스카

    • 넥스트림

    • 포티넷

    • 휴네시온

    • 안랩

    • 나온웍스

    • 클래로티

    • 앤앤에스피

    • 이글루코퍼레이션

    • 노조미네트웍스

    • 카스퍼스키랩코리아

    • 한드림넷

    • 신우테크
      팬틸드 / 하우징

    • 에프에스네트워크

    • 네이즈

    • 케이제이테크

    • 셀링스시스템

    • 사라다

    • 아이엔아이

    • 풍림무약주식회사

    • 새눈

    • 앤디코

    • 태정이엔지

    • 네티마시스템

    • 에이앤티코리아

    • 모스타

    • 미래시그널

    • 유투에스알

    • (주)일산정밀

    • HGS KOREA

    • 에스에스티랩

    • 에이앤티글로벌

    • 주식회사 알씨

    • 창성에이스산업

    • 엔에스티정보통신

    • 보문테크닉스

    • 엘림광통신

    • 메트로게이트
      시큐리티 게이트

    • 현대틸스
      팬틸트 / 카메라

    • 티에스아이솔루션

    • 두레옵트로닉스

    • 지에스티엔지니어링
      게이트 / 스피드게이트

    • 지와이네트웍스

    • 구네보코리아주식회사

    • 동양유니텍

    • 포커스에이치앤에스

    • 엔시드

    • 엠스톤

    • 글로넥스

    • 유진시스템코리아

    • 카티스

    • 세환엠에스(주)

Copyright thebn Co., Ltd. All Rights Reserved.

MENU

회원가입

PC버전

닫기