[Sophos] 가짜 Microsoft Service Agreement 이메일에 숨어있는 Java 보안 결함에 대한 공격

http://www.securitytrust.co.kr/bbs/view.asp?tName=tb_sophosnews&RecID=18400

가짜 Microsoft Service Agreement 이메일에 숨어있는 Java 보안 결함에 대한 공격

온라인 스캐머들이 취약한 시스템에 악성 프로그램을 설치하기 위해 Oracle의 Java 소프트웨어 취약성을 악용하는 널리 퍼진 스팸 캠페인의 미끼로 Microsoft가 보내는 최신 이메일을 사용합니다. SANS 연구소의 인터넷 스톰 센터(Internet Storm Center) 전문가들은 오퍼레이터들이 어리석은 사용자들에게 Hotmail과 Skydrive와 같은 제품에 대한 서비스 협약(Services Agreement)의 변경에 관한 내용을 담고 있는 Microsoft의 최신 이메일을 이용한 스팸 캠페인에 대해 여러 가지 보고서를 받았다고 경고하였습니다. 그 공격은 치명적인 보안 결함을 수정하기 위한 Oracle 사로부터의 새로운 업데이트인 척하며 인터넷 사용자들의 시스템에서 Java를 [사용안함]으로 하려고 사용자들에게 새로운 요구사항을 촉구하였습니다. SANS에 따르면, 그 악성 이메일은 8월27일 'Important Changes to Microsoft Services Agreement and Communication Preferences.'이란 제목으로 Microsoft로 부터 발송된 것에 근거한 것입니다. ISC 참모 Russ McRee가 9월1일 포스트에서 경고했듯이, 피싱 이메일은 눈치 채지 못하는 독자들에게 보내는 악성 링크를 지닌 원문의 링크를 Zeus 맬웨어의 새로운 변종을 설치하는 웹사이트로 대체합니다. 8월27일자의 실제 Microsoft 메시지는 여기에서 볼 수 있습니다. 그것은 Hotmail, Windows Live Messenger, Microsoft Photo Gallery 및 Microsoft의 저장 서비스인SkyDrive를 포함한 광범위한 제품 사용자들에 대한 서비스 협약(service agreement)면에서의 세세한 변화를 담고 있습니다. 의문의 악성 웹사이트에는 보안이 취약한 컴퓨터에 대한 맥가이버 칼(스위스 군사용 칼)과 같은 Blackhole Exploit Kit의 최신 버전이 작동하고 있습니다. Blackhole Exploit Kit은 익스플로잇 킷이 설치된 웹사이트를 방문한 컴퓨터에 설치된 소프트웨어와 환경설정을 분석할 수 있으며, 의도된 타깃에 대해서만 작동할 것 같은 익스플로잇만 제공합니다. 보안업체 시큐러트(Seculert)의 자료에 따르면, Java 취약성에 대해 최근에 추가된 익스플로잇 코드는 몇 천 몇 만개의 새로운 시스템을 감염시키는 블랙홀 익스플로잇의 성공률을 2배 이상으로 만들었습니다. 이번이 Java 취약점을 공격하기 위해 링크된 첫 번째 피싱 이메일은 아닙니다. 지난주, 소포스랩 전문가들은 Java 결함을 악용하는 웹사이트에 포함된 링크가 세율인상에 대한 정보를 담고 있는 척하는 악성 이메일을 발견하였습니다. 데이터베이스 업계의 거두인 Oracle은 2009년에 Sun Microsystems를 사들였을 때 Java를 인수하였고, 이전에 유비쿼터스 웹 기술에 있어서 보안 취약점에 빠르게 응대하지 못한 것에 대해 보안 전문가들로부터 비평을 받았습니다. 최근의 보안 결함은 회사 이미지를 향상시키지 못했습니다. 지난주에 Java 보안 결함에 대해 억지로 서둘러 패치를 내놓았고, 폴란드 보안 컨설팅 업체인 Security Explorations이 4개월 전인 4월에 Oracle에 대한 치명적인 보안 결함을 보도했던 것이 밝혀진 이후 맥 빠지게 하는 비평을 받았습니다. Oracle이 결함을 고치기 위해 패치를 발표하였지만 그 보안 결함을 완전히 없애지 못하였기 때문에 회사의 이미지는 더욱 더 손상되었습니다. 패치된 Java 7 버전이 실행되는 시스템은 “완전한 Java 샌드박스 바이패스(sandbox bypass)”를 허용하는 초기 버전과 유사한 형태로 피해갈 수 있다고 Oracle이 지난 금요일에 공지하였다고 Security Explorations은 밝혔습니다. Oracle이 그 보고를 받은 것을 확인하고 조사에 착수했다고 Security Explorations이 전했습니다. 그러는 동안, ISC 등은 사용자들에게 다음 업데이트가 준비될 때까지 Java를 [사용안함]으로 설정하라고 권고하고 있습니다. Java를 계속해서 사용해야 하는 이들을 위해, SANS ISC는 이메일 수신인이 그 링크를 클릭하기 전에 마우스 커서를 링크에 올려놓고 의심스러운 메시지에 대해 이메일 헤더를 살펴봄으로써 모든 이메일 메시지에 있는 하이퍼링크를 유심히 살펴봐야 한다고 전했습니다. 소포스 전문가 Paul Ducklin과 Chet Wisniewski는 최신 테크나우(Technow) 팟캐스트 'Java에 대한 모든 것(All about Java)'에서 Java에 대한 좀 더 이해하기 쉬운 충고를 제안합니다.