블랙햇 유럽 컨퍼런스에서 Reflected File Download 취약점을 이용한 새로운 공격 기법이 발표

• SpiderLabs의 연구원은 최근 개최된 블랙햇 유럽 2014 컨퍼런스에서 사용자가 홈페이지에 업로드된 파일(프로
  그램 설치 파일 등)을 다운로드하는 과정에서 해당 파일의 내용에 공격자가 원하는 악의적인 코드를 추가 삽입
  하여 다운로드 시킬 수 있는 새로운 방식의 Reflected File Download 취약점을 발표
   ※ Reflected File Download 취약점 : 웹 사이트의 파일 다운로드 요청에 대한 응답 헤더 또는 본문을 조작하여 
       파일의 내용에 추가 명령어 또는 코드를 주입할 수 있는 취약점

주요내용

• 대부분의 웹을 통한 악성코드 유포는 서버에 악성 파일을 업로드하여 유포하는 방식을 이용하지만, Reflected 
  File Download 취약점은 파일을 서버에 업로드하지 않아도 사용자가 다운로드하는 정상 파일에 명령어를 삽입
  하여 악성코드 유포가 가능하다고 언급
• 웹 페이지에서 사용자가 입력한 값이 응답 메세지의 헤더 및 본문에 사용될 때 취약점에 영향을 받을 수 있으며 
  특히 JSON API나 JSONP를 사용하는 사이트가 해당
• 취약점을 발표한 연구원은 대표적인 예로 구글은 검색 시 사용자가 요청한 검색문이 응답 메시지의 본문에 저장
  되어 수신되며 해당 수신 데이터에 악의적인 명령어의 주입이 가능했다고 언급
• 구글 사이트를 대상으로 한 취약점 시연 중에 공개 하였으며, 크롬 설치 파일(ChromeSetup.bat)을 다운로드
  할 때 검색을 동시에 요청하도록 하여 크롬 설치 파일의 내용에 악의적인 명령어를 추가로 삽입시켜 감염 대상
  PC에 다운로드

< 구글 사이트 취약점 발생 과정 >

• 다운로드된 파일은 자동 실행이 되지 않으며 사용자가 다운로드된 파일을 클릭할 경우 실행
• 공격자는 사용자에게 Reflected File Download 취약점이 있는 악성 링크를 클릭하도록 유도하여 악성코드를 
  유포할 수 있다고 언급

[출처]
1. https://www.blackhat.com/docs/eu-14/materials/eu-14-Hafif-Reflected-File-Download-A-New-Web-Attack-Vector.pdf
2. http://www.youtube.com/watch?v=rFCQzc_Dg-Y (취약점 시연 동영상)