💌 2022년이 아니라, 2002년이라고요?

1월 2주차 해킹짹짹 뉴스레터 💌 안녕하세요! 😃 눈 깜짝할 새에 새해 첫 주가 지나가 버렸네요. 모두 신년 계획

2022. 1. 9.

웹에서 보기

지난 뉴스레터 보기

1월 2주차 해킹짹짹 뉴스레터 💌

안녕하세요! 😃 눈 깜짝할 새에 새해 첫 주가 지나가 버렸네요. 모두 신년 계획은 잘 실천하고 계신가요? 해킹짹짹 꾸준히 읽기도 있겠죠! 😏

이번 주에는 Open Redirect 취약점과 지난 주의 해커의 TMI에 이어 2021년 Hackboiz 결산 2편으로 해킹 알려줄게를 정리해보았습니다. 기대해주세요! 😆

주간뉴스

지난 주에는 어떤 일들이 있었을까? 😏

곳곳에 들리는 Y2K22 버그, 이번에는 혼다 자동차를 2002년으로 되돌리다. 🚗

오늘의 하루한줄에는 Microsoft Exchange에 이메일 전송을 중단시키는 Y2K22 버그를 소개되어 있습니다. 버그의 원인은 int32 변수의 최댓값 2147483647을 넘어서 2201010001(22년 1월 1일 0시 1분)가 저장되어 허용하는 정수 범위를 벗어났기 때문이죠.

또한 이번에는 Honda와 Acura(일본의 자동차 기업)의 모든 구형 자동차에서 내비게이션 시스템의 날짜가 자동으로 2002년 1월 1일로 변경되었고, 시각은 12:00, 2:00, 4:00 또는 모델의 종류와 차가 위치하는 지역에 따라 각기 다른 시간으로 변경되었다고 합니다. 시간이 맞지 않아 불편함을 사고 있지만 아직 뚜렷한 해결책이 없다고 하네요. Honda 측은 8월에 자동으로 문제가 해결될 것이라고 밝혔습니다. 😒

꺼진 줄 알았는데 카메라와 마이크로 몰래 보고 듣게 해주는 ‘NoReboot’! 🍎

지금까지는 악성코드가 iOS 기기를 감염시키면 재부팅하여 간단히 제거할 수 있었지만, 이번에 발견된 ‘NoReboot’ 기술로 iOS의 종료 또는 재부팅 프로세스를 감염시켜 아이폰이 실제로 종료되는 것을 막기 때문에 아이폰이 꺼져있는지 여부를 물리적으로 확인할 수도 없으며, 공격의 지속성을 달성할 수 있다고 합니다.

즉, 사용자가 “밀어서 전원 끄기”로 종료할 경우 실제로 종료되지 않고 마음껏 기기를 제어하여 비밀리에 카메라와 마이크를 스누핑하고 라이브 네트워크 연결을 통해 민감한 데이터를 수신하는 등의 작업을 할 수 있다고 하네요. 전원을 껐다고 생각해도 해커가 계속 카메라로 지켜보고, 마이크로 듣고있다는 것이죠! 🤨

해당 기술이 작동하는 모습으로, 아이폰이 종료되었지만 사실은 계속 카메라가 실행되고 있는 영상을 직접 보시고 싶으시면 해당 링크의 영상을 확인해주세요.

스피어피싱에 악용되는 Google 문서의 댓글 기능 🔱

Google의 문서는 댓글에 @로 대상을 언급하면 대상에게 언급되었다는 메일을 발송합니다. 이를 악용해 피해자를 언급하여 악성 링크가 포함된 댓글을 작성하여 메일을 보내는 스피어피싱 공격이 발견되었습니다.

Google에서는 이러한 메일을 Google 인프라를 통해 전송되기 때문에 악성 메일로 식별하지도 않고, 완화하기 위해 시도했지만 아직 완전히 해결되지는 않았다고 해요. 심지어 해커의 이메일 주소는 표시되지 않고, 이름만 표시되기 때문에 사칭하기가 매우 쉽다고 하네요.

현재 진행 중인 이 스피어피싱 공격은 100개 이상의 Google 계정을 사용하며 이미 30개의 조직에서 500개의 메일을 받았다고 합니다. 댓글에 달린 링크는 되도록 클릭하지 않고, 보낸 사람이 맞는지 확인하는 등 조심해야겠네요. 🙁

by y00n_nms

하루한줄

해키보이즈팀이 연구하고 분석하는 최신 해킹 기술👇

Y2K22: Email Stuck in Exchange On-premises Transport Queues

[대상]

Microsoft Exchange 2016 server, Microsoft Exchange 2019 server

[설명]

2022년 새해가 밝자 Microsoft Exchange mail server들에서 대량의 이메일들이 전송 queue에 머무르며 서버를 다운시키는 사건이 발생합니다. 원인을 분석한 결과, 해당 사건을 발생시킨 버그에 Y2K22라는 이름이 붙여졌습니다. Y2K(Millennium bug)와의 유사성 때문에 붙여진 이름입니다.

Microsoft Exchange 2016과 2019 server에는 FIP-FS라는 악성코드 탐지 엔진이 포함되어 있습니다. 해당 엔진은 32-bit integer에 날짜를 저장하는 signature file을 사용합니다. 문제는 32-bit integer에 yymmddhhmm의 형태로 날짜를 저장한다는 것입니다. 32-bite integer 형식은 -2147483648 ~ 2147483647 범위의 정수를 저장하는 데이터 타입입니다. 22년 1월 1일 0시 1분을 뜻하는 2201010001이 integer에서 허용하는 정수 범위를 넘어서게 되어 악성코드 탐지 엔진의 날짜 검증 루틴을 통과하지 못하고 queue에 쌓이게 된 것입니다.