본문 바로가기

Security_News/해외보안소식

MS 디지털 인증서를 이용한 Zeus Banking Trojan 주의 개요Comodo Anti Virus 연구소는 가짜 MS 디지털 인증서를 이용한 ZeuS Banking Trojan을 발견 - 이 악성코드는 MS 디지털 인증서를 탈취하여, 이를 통하여 모든 보안탐지를 우회하여 사용자의 컴퓨터에 침투해 금융정보를 탈취(`14.3월) ※ ZeuS Banking Trojan : 사용자의 금융정보를 탈취하는 트로이목마 주요내용공격절차 ① 공격자는 MS 디지털 인증서를 해킹하여 서명할 수 있는 권한 획득 ② 공격자가 만든 ZeuS Banking Trojan 실행파일을 MS 디지털 인증서로 서명 ③ 서명된 파일은 Windows 보안정책 및 백신으로 탐지 불가하므로 손쉽게 우회하여 사용자의 컴퓨터에 침투 ④ 사용자의 컴퓨터 침투에.. 더보기
랜섬웨어 복호화 키, 감염된 컴퓨터에서도 발견 개요글로벌 보안 업체 시만텍(Semantec)은 크립토디펜스(CryptoDefense)로 알려진 랜섬웨어의 복호화 키 (Private Key)가 감염된 컴퓨터 내에도 존재하므로 공격자에게 돈을 입금하지 않아도 복호화 가능하다고 발표 ※ 랜섬웨어 : PC 내 중요파일 등을 RSA 공개키(Public Key)로 암호화시켜 사용 불가능하도록 만든 후 복호화하기 위해서는 일정 금액의 돈을 요구하는 악성코드주요내용크립토디펜스는 메일을 통해서 사용자를 랜섬웨어에 감염시키고 컴퓨터 내 파일들을 RSA 공개키로 암호화 ※ RSA 공개키(Public Key)로 암호화 된 파일을 복호화 하려면 복호화 키(Private Key)가 필요감염 된 사용자에게 복호화 키를 제공하는 조건으로 5.. 더보기
카스퍼스키랩, 온라인 게이머를 타겟으로 하는 Top 5 위협 및 대응방안 개요보안업체 카스퍼스키랩은 최근 PC, 모바일 기기 등을 통해 인터넷 게임을 즐기는 이용자들이 늘어남에 따라 온라인 게이머 대상 Top 5 위협과 그 해결방안을 제시 주요내용게임은 십대의 놀이문화의 일종으로 여겨졌으나, 최근에 온라인 게임이 대중화됨에 따라 개인 스스로 온라인 게임과 관련된 주요 위협에 대한 인지 및 대응 필요 (TOP 5. 피싱) 일부 사기꾼은 게이머가 사용하는 온라인 게임의 관리자 등을 사칭한 이메일에 가짜 홈페이지 링크를 삽입하여 게임계정을 갈취를 시도함 - 대응방법 : 이메일에 포함된 링크 클릭에 주의하고 악성 웹사이트 차단 프로그램을 사용 (Top 4. 사이버 폭력) 대부분의 게임은 경쟁 구도이며 승패 등 불만의 이유로 채팅창을 통해 언어 폭력 등 불편한 메시지를 받을 수 있음 .. 더보기
화이트햇 해커들에 의해 손쉽게 해킹된 삼성 갤럭시5의 지문 잠금 기술 개요삼성의 새로운 스마트폰 갤럭시5가 내세운 지문센서 기술이 화이트햇 해커들에 의해 손쉽게 해킹되어 美금융 결제서비스인 페이팔 계정에도 접근할 수 있다고 밝힘패스워드를 대체할 수단으로 각광받았으나 쇼핑몰, 대중교통, 레스토랑 이용시 흔적으로 인한 유출 위험성이 대두주요내용삼성 갤럭시5의 새로운 취약점은 애플 아이폰의 터치 ID 지문스캔 우회보다 더 위험성이 높으며, 부정확한 손가락터치에 의하여 암호를 요구하는 알고리즘이 없는 것으로 밝혀짐갤럭시5 지문인식 인증기는 페이팔같은 금융 또는 결제 앱과 연관되어 있어, 해킹시 금품탈취수법으로 악용될 소지가 있음 - 中해상도의 지문사진만으로도 충분히 이번취약점 공격에 악용될 수 있음을 밝힘독일의 보안연구소, 해킹전문가 Schlabs는 이 취약점을 이용하여, 기기가.. 더보기
ITProPortal, HMIC Report : 영국 경찰의 사이버 범죄에 대한 인식 부족 및 대응 훈련 필요 개요ITProPortal의 Alex Hamilton은 HMIC의 보고서를 인용하여 영국 경찰의 사이버 범죄에 대한 인식 부족과 사이버 범죄 대응 관련 훈련이 필요하다고 분석 ※ HMIC(Her Magesty’s Chief Inspector of Constabulary) : 영국의 독립적인 경찰 병력 평가 기관 주요내용HMIC의 보고서에 따르면 잉글랜드에서 웨일즈까지의 영국 전역 경찰 인력 중 약 2%만이 대규모 사이버 범죄 조사 관련 훈련을 받음 ※ Derbyshire, Lincolnshire, West Midlands의 일부 지역만이 사이버 범죄 대응 계획을 가지고 있음고위 임원급 인력의 사이버 범죄에 대한 인식 및 대응 능력 부족 - HMIC 조사관은 대규모 사이버 공격 구성 요소에 대해 고위 임원들.. 더보기
미국보건복지부(HHS) 중소의료서비스 제공자를 위한 HIPAA 보안위험평가(SRA) 도구 발표 개요미국 보건복지부(HHS)는 중소 규모 의료서비스 제공자가 조직의 HIPAA 위험 평가를 수행 할 수 있도록 지원하는 보안위험평가도구를 개발하여 발표 ※ HHS(U.S. Department of Health and Human Services) : 미국 보건복지부 ※ HIPAA(Health Insurance Portability and Accountability Act) : ‘건강보험 이전과 책임에 관한 법'으로 이용자의 의료정보를 열람 및 수령할 수 있는 사람에 대한 규정을 명시한 연방법주요내용HIPAA 보안 규칙(164.308 (a) (1) (ⅱ) (A))에서는 HIPAA 법안의 대상이 되는 모든 의료서비스 제공자들은 보호해야할 전자 건강정보의 잠재적 위험과 취약성에 대해 철저하고 정확한 위험평가를 .. 더보기
win XP MS office 2003 최종패치 발표 개요마이크로소프트社는 자사 보안대응센터 블로그(MSRC)에 윈도우XP 및 오피스 2003의 마지막 보안 업데이트가 포함된 4월 보안 업데이트에 대해서 공지(’14.04.03) ※ 마이크로소프트社는 2014년 4월 8일 총 4개의 보안 패치 발표 예정 주요내용4월 8일 업데이트의 가장 핵심적인(critical) 패치는 지난달 말에 발견된 RTF포맷문서에 대한 보안취약점 보안 업데이트 - 아웃룩 등을 통해 RTF파일을 열면 악성코드에 감염되는 제로데이 취약점으로, 모든 버전의 MS워드, 아웃룩2007, 2010, 2013 등에서 모두 악용될 수 있는 보안취약점 ※ RTF : 서로 다른 기종, 운영체제 사이에 문서를 주고받기 위해 개발된 MS워드에 사용되는 문서파일형식 - 이 원격코드실행 취약점은 이메일 첨부.. 더보기
UAE 기반보호 신규법안 검토 개요UAE(아랍에미레이트, 이하 UAE) 중요시설 보호를 위한 새로운 법률 입법 예고 - UAE 일간지 네셔널은 정부담당자의 말을 인용하여, 연내 중요시설 보호를 위한 신규법안 입법이 이루어 질 것이라고 보도(4.3) ※ 네셔널(The National) : UAE(아랍에미레이트) 정부 소유의 국영 영자 일간지주요내용UAE는 핵심인프라 운영 기업의 보안시스템을 강화하기 위한 신규 법안을 입법 할 것으로 예상 - 핵심인프라 범위는 에너지 분야, 원자력 발전소, 석유 및 가스 생산시설, 수자원 관리시설, 전기시설을 포함 - 중요시설 보호를 위한 새로운 법안 발의준비를 마친 상태이며, 연내 법안 입법 예고UAE 사이버 보안위협은 지속적으로 증가하고 있으며, 보안에 대한 산업계의 관심이 높음 - ICT 시장조사기.. 더보기
페이스북 취약점 발견 개요그리스 University of Crete에 재학중인 18살 Anthony Hariton은 아이폰의 Passbook의 취약점을 발견하여 해킹 컨퍼런스에서 발표할 예정취약점을 악용하면 가짜 항공권을 생성해서 원하는 목적지로 공짜 여행을 할 수 있다고 주장 주요내용아이폰 Passbook은 일상생활에서 사용하는 여러 가지 문서들(영화티켓, 항공권, 기프트카드 등)을 한곳에 저장하여 편리하게 사용할 수 있게 하는 어플리케이션 - 항공권을 Passbook이 저장하면, 실제 항공권 없이 Passbook으로 대체 사용 가능Hariton은 노트북과 아이폰만 있으면 정상적인 항공권처럼 보이는 가짜 항공권을 생성하고 약간의 사회공학 기술을 사용하면 일등급 좌석에 착석할 수 있다고 함아직 취약점 내용은 공개되지 않았으며.. 더보기
민간과 정부통계에 큰 차이 버라이존 침해사고 보고서: 민간과 정부 통계에 큰 차이 브라이존 연간 데이터 침해 보고서에 따르면, 정부 공무원이 공공부문에서 보고된 사이버 사고의 절반이상의 원인을 제공하고 있다. 공무원에 의해서 발생한 사고 중 1/3은 다른 사람에게 이메일을 잘못 발송하는 것과 같은 다양한 실수이다. 사고의 1/4은 승인하지 않고, 또는 데이터를 악의적으로 사용하는 것이다. 사고의 1%만이 스파일 활동 및 웹 사이트의 취약점을 악용하는 사례이다. 공공부문의 통계가 왜곡되는 이유중 일부는 공공부문의 모든 사고는 보고되어야 하는 요구사항때문이다. 제이 제콥스는 "실제 통계상으로는 웹 기반 공격 및 첩보와 같은 것에 대해서 굉장히 높다고 생각한다", 하지만 실제로는 그렇지 않다. 민간 분야의 통계는 확실히 다르다. 제조 .. 더보기

티스토리툴바