💌 Log4j, 또 너야?!

12월 4주차 해킹짹짹 뉴스레터 💌 안녕하세요! 해킹짹짹이 구독자 500분을 훌쩍 넘었답니다. 😃

2021. 12. 19.

💌 Log4j, 또 너야?!

웹에서 보기

지난 뉴스레터 보기

12월 4주차 해킹짹짹 뉴스레터 💌

안녕하세요! 해킹짹짹이 구독자 500명을 훌쩍 넘었답니다. 😃

오늘 처음 뉴스를 받으시는 분들이 많을 것 같네요!

지난주에 말씀드린 대로 오늘 이후에 해킹짹짹은 1월 3일 주간뉴스로 다시 찾아옵니다.

아쉬우신 분들은 해킹짹짹 정주행 어떠신가요? 😉 -> 정주행하러 가기!

그럼 다들 즐거운 연말 보내시고, 내년에 다시 찾아뵙겠습니다! 🎄

주간뉴스

지난 주에는 어떤 일들이 있었을까? 😏

페이스북, 5만 명의 사용자를 감시하는 ‘사이버 용병’ 검열 🚨

지난 12월 18일, 페이스북과 인스타그램의 모 기업인 ‘메타’에서 반체제 인사, 언론인, 인권 운동가 등을 감시하는 ‘사이버 용병’들을 발견해 해당 의심 인물들의 페이스북, 인스타그램 계정을 정지시켰다고 밝혔습니다.

사이버 용병이란 의뢰를 받아 감시 대상의 기본적인 개인 정보부터 각종 멀웨어를 통해 일상적인 민감한 개인 정보까지 수집해주는 사람을 말해요! 지속적으로 상대나 상대의 주변인과 메신저로 연락을 취해 신뢰를 얻은 뒤 악성코드가 포함된 파일을 다운받게 한다고 해요 ! 😭

현재까지 밝혀진 바에 따르면, 메타에서 적발한 사이버 용병 기업 7곳 중 4곳이 이스라엘 소속 회사이고 나머지는 인도, 북마케도니아 소속이라고 해요! 또한 이번에 밝혀진 것 외에도 중국 소속 사이버 용병으로 추정되는 페이스북, 인스타 계정 100여 개 또한 추가로 폐쇄했다고 합니다. 😱

Log4j 취약점을 이용한 Khonsari Ransomware 발견!

사이버 보안 회사 Bitdefender에서 Khonsari 랜섬웨어를 발견했다고 발표했습니다. 지난주 주간뉴스와 하루한줄로 보내드렸던 log4j 취약점을 기억하시나요? 해당 랜섬웨어는 이 Log4j 취약점을 악용하는 랜섬웨어입니다! 😭

Khonsari 랜섬웨어는 Log4j 취약점을 활용해 랜섬웨어와 백도어를 배포하고 목표 컴퓨터에 원격으로 코드를 실행시켜 모든 파일을 “.khonsari”라는 확장자의 파일로 암호화합니다.

현재 log4j 취약점은 딥웹 등 여러 곳에서 공격을 위한 활발한 논의와 해킹 시도가 이루어지고 있는데요. log4j를 사용하는 회사에서 취약점에 대한 패치가 이루어지기 전 골든 타임을 잡기 위한 것이었다고 해요! 만약 현재 log4j를 사용 중이시라면, 빠르게 업데이트를 해서 추가적인 공격을 막는 게 좋을 것 같아요. 아직은 긴장의 끈을 놓지 말자고요. 😖

우크라이나에서 3억 명의 미국, 유럽인 개인 정보를 판매한 일당 체포 🚓

우크라이나 법 집행 기관에서 발표한 바에 따르면, 전 세계 수억 명의 개인 정보 데이터를 훔쳐 판매한 용의자 51명이 체포되었습니다.

우크라이나 경찰 측은 압수한 데이터베이스를 조사한 결과 우크라이나, 미국, 유럽 등의 여러 각국의 약 3억 명의 성, 이름, 전화번호, 주소, 차량 등록 정보 등 개인의 신상 정보가 포함되어 있다고 밝혔어요. 😨

용의자들은 해당 데이터를 사이트, 해킹 포럼, 메신저 등을 통해 판매했으며 판매 사이트는 개인정보를 판매하는 불법 사이트 중 가장 큰 사이트 가운데 하나로 밝혀졌는데요. 해당 체포 작전을 수행하면서 사이트가 완전히 폐쇄되도록 조치했다고 해요! 😆

by poosic

하루한줄

해키보이즈팀이 연구하고 분석하는 최신 해킹 기술👇

CVE-2021-42835: Plex Media Server의 권한 상승 취약점

[대상]

Plex Media Server

[설명]

Plex Media Server는 글로벌 스트리밍 미디어 서비스 및 클라이언트-서버 미디어 플레이어 플랫폼 입니다. Windows용 Plex Media Server에서 SYSTEM 권한으로 코드를 실행할 수 있는 권한 상승 취약점이 발견되었습니다.

취약점의 원인은 업데이트 파일의 유효성을 검사하는 CheckBundle() 함수와 업데이트 파일 실행이 각각 CreateFile() 함수를 호출하는 과정에서 발생하는 TOCTOU입니다.

CheckBundle() 함수는 업데이트 파일의 유효성을 검사하는 함수입니다. 해당 함수는 인자로 받은 파일을 CreateFile() 함수 호출을 통해 서명된 업데이트 파일인지 확인합니다. 업데이트 파일이 서명된 정상적인 파일이라면 Install() 함수에서 다시 CreateFile() 로 파일을 실행해 업데이트를 진행하는데, CheckBundle()의 유효성 검사를 통과한 이후 파일을 Install() 호출 전 임의 코드가 포함된 악성 파일로 교체하면 유효성 검사를 건너뛰고 임의 코드를 실행할 수있습니다. 이때 업데이트 과정은 RPC 인터페이스로 이루어지고, 업데이트 클라이언트의 RPC 호출이 유저 컨텍스트에서 실행되도록 하는 RPCImpersonateClient() 또는 CreateProcessAsUser() 호출이 없어 SYSTEM 권한으로 작동하기 때문에 해당 TOCTOU를 통한 임의 코드 실행이 SYSTEM 권한으로 작동합니다.

취약점 보고서에는 James Forshaw의 SetOpLock 툴을 사용해 업데이트 파일 접근 시도가 있으면 접근을 제한합니다. 그 뒤 타겟 업데이트 파일의 핸들을 사용해 파일의 내용을 해커의 악성 파일로 교체하고 접근 제한을 해제하면 Plex Media Server가 SYSTEM 권한으로 해커의 코드를 실행하도록 할 수 있습니다.

by L0ch

해킹짹짹 뉴스레터 후원하기(카카오페이)

지속해서 더 좋은 뉴스레터를 제공하기 위한 것으로 긍정적으로 생각해주시면 감사하겠습니다!

카카오뱅크 3333-21-5085994 ㅎㅅㅇ

오늘 전해드린 내용이 마음에 드셨나요?

주위 친구들에게 뉴스레터를 추천해주세요!

다음주에도 알찬 내용으로 돌아오겠습니다. 😙