제 2 호 2014년 6월 N매거진은 (주)NSHC에서 발행하는 IT보안전문 소식지입니다. Cover Story NSHC의 특별한 재능기부 워크숍 차례 한눈에 보는 주요 보안행사_p2 NSHC의 특별한 재능기부 워크숍_p4 젊음으로 똘똘 뭉친 "보안컨설팅 사업부"_p9 2014, 1/4분기 사이버 보안 사고_p14 2014, 1/4분기 악성코드 (Malware)_p16 2014, 1/4분기 JpCert 보고_p24 꿈이 있는 회사 NSHC의 SOS (?)_p26 ios의 취약점 진단과 APP-Store 암호화/바이너리 패치_p30 의왕 촌놈들! 서울 구경 가다!_p36 안드로이드 게임의 공격 형태와 보안_p38 Droid-X 3.0 일본 BMT 도전기_p44 웹사이트 위변조 경보 서비스_p48
Business. Security Event 한눈에 보는 주요보안행사 56789 6월 지방선거 4일 전국 동시 지방선거 브라질 월드컵 2014년 FIFA 브라질 월드컵이 6월 13일부터 7월 14일까지 개최 SOS 세미나 제2회 보안 오픈 세미나가 개최될 예정 7월 NSHC Safe Square 2014 VIP고객을 위한 특별한 보안 컨퍼런스 시큐인사이드 2014 금융 IT 및 전자거래 정보보호 컨퍼런스이자 국내 해킹대회 코드엔진 컨퍼런스 10 현업에 있는 실무자가 직접 주최, 주관하는 국내 해킹 컨퍼런스 2014년 5월~9월 주요 보안 행사 정리 세월호의 아픔을 추스리지도 못한채 올해의 절반이 지나가고 있다. 보다 안전한 대한민국의 모습을 꿈꾸며 새로운 반년을 시작해 보자. 보안행사를 중심으로 앞으로 진행될 행사를 정리해 보았다. 8월 개인정보보호법 시행 올해 8월부터는 정부 공공기관과 민간 사업자가 주민등록번호 수집과 이용을 할 수 없게 된다. 또한, 개인정보 유출 사고가 발생했을 때 기업의 책임이 지금보다 한층 강화된다. Blackhat USA 2014 미국에서 개최되는 해킹 컨퍼런스 DEFCON 22 세계 최고의 국제 해킹대회 5월 시큐리티 코리아 2014 국내 보안전문 전시회이다. 올해부터는 물리보안뿐 아니라 정보보안 업체들을 중심으로 보다 심도 있는 행사를 선보인다. 정보보안기사 기사 실기 제 3회 정보보안기사 실기 시험이 31일에 시작된다. SECUINSIDE CTF 금융 IT 및 전자거래 정보보호 컨퍼런스이자 국내 해킹대회 30일 예선전을 개최 9월 첫 대체 휴일 추석 연휴가 7일 일요일에 포함되어 있어 10일이 대체 휴일로 지정 인천 아시안 게임 우리나라 인천에서 벌어지는 국제 대회인 인천 아시안게임이 9월 19일부터 10월 4일까지 개최 2 3
재능기부 워크숍은 어떻게 시작되었나? Culture. NSHC Story 사실 처음 시작은 별것 아니였어요. 회사를 시작하면서 소박한 꿈이 하나 있었는데, 여유가 생기면 해외로 워크숍 한 번 가는 것이였습니다. 2010년, 그 꿈을 실현해보자는 이야기가 나와 워크숍을 계획하기 시작했고, 마침 캄보디아 현지 NGO와 인연이 있어 캄보디아에 가게 되었습니다. 그곳에서의 봉사활동을 통해 삶의 의미를 발견하게 되고, 회사를 더 잘 키워야 겠다는 다짐을 하게 되었습니다.그리고 일회성인 이벤트가 아니라 계속적인 지원으로 이뤄졌으면 하는 바램에 매년 찾아가게 되었죠. 올 해에는 어떤 것들이 진행되었는지? 올 해 워크숍에서는 지난 2년간의 노하우와 현지 만족도를 수렴하여 마을 공동정수 시설 구축, 태양열 배터리충전소 설립, 가족 사진 촬영을 하였다고 한다. 특별히 올해부터는 개인의 편의를 넘어 공동체가 함께 누리는 행복에 초점을 맞추기 시작했습니다. 지난 해까지는 가정마다 시설을 지원하였다면, 올 해는 마을 주민들이 함께 사용할 수 있는 시설을 설치하여 공동체가 함께 깨끗한 물을 나눠 쓰고 태양열 배터리를 충전할 수 있는 방향으로 업그레이드 되었습니다. NSHC의 특별한 재능기부 워크숍 Happy together in Cambodia NSHC의 뜨거운 열정이 캄보디아의 태양을 삼켜버렸다. 때문에 이것은 단순한 봉사활동이 아니다. 캄보디아 사람들과 함께 웃고, 우는 리얼 스토리다. 더불어 사는 것이 성공의 초석 이라고 세상을 향해 거침없이 외치는 NSHC에는 즐거운 문화와 독특한 생각이 담겨 있다. 정수시설에 대해 이야기 해 주세요. 한국에서 공수해 가져간 정수 키트는 반 영구적으로 사용할 수 있고 매우 작은 입자까지도 걸러낼 수 있는 장점이 있습니다. 캄보디아에는 먹을 물이 턱없이 부족합니다. 악취 중금속이 가득한 흙탕물을 식수로 이용하고 있는 실정이죠. 이에 마을 공동으로 깨끗한 물을 마실 수 있도록 정수 키트를 설치를 하고, 필터 세척법을 가르쳐 주었습니다. 깨끗한 물을 마실 수 있도록 정수 시설을 설치해 줄 수 있다는 것이 얼마나 행복한 일인지 모릅니다. 4 5
태양열 배터리 충전소가 뭐에요? 재능기부 워크숍의 진정한 의미는 무엇인가? Culture. NSHC Story 캄보디아의 오지 마을에는 전기가 들어오지 않는 곳이 많습니다. 자동차용 배터리를 충전하여 밤에 잠시 불을 밝히는 것이 전부인데 휘발유로 배터리를 충전하기 때문에 돈을 내고 충전해야 합니다. 그래서 마을 주민 모두가 무료로 배터리를 충전할 수 있도록 태양열 배터리 충전기를 보급하게 되었습니다. 사실 작년에도 배터리 충전기를 설치했었습니다. 총 여섯 가정 정도였죠. 올해 고민했던 부분은 한 마을에 500가구가 있는데, 그 중 몇 집에 설치해 주는 것이 과연 큰 의미가 있을까 하는 것 이였습니다. 그래서 올해는 작년보다 4배 많은 양의 판넬을 준비하여, 배터리 충전이 필요한 모든 가정이 전기를 충분히 충전할 수 있는 시스템을 만들었습니다. 꾸준한 관심을 가지고 현지인들과 소통하는 것이 NSHC가 계속해 나아갈 미션이라고 생각합니다. NSHC는 재능기부 워크숍을 매년 같은 지역으로 가려고 합니다. 일회성 이벤트가 아닌 Happy Together in Cambodia 주체처럼 지역 공동체와 함께 행복을 지속적으로 만들어 가기 위한 NSHC의 열정을 담은 강한 의지라고 봐주면 좋겠습니다. Editor 커뮤니케이션 사업부 / 이보라 가족사진을 찍어 주었다던데? 마을 주민들에게 가족사진으로 추억을 만들어 주었습니다. 대부분은 가족사진 촬영이 익숙지 않아 경직된 표정이었습니다. 시선을 어디에 둘지 몰라하고 사진 찍는 와중에 다른 사람들과 이야기하기도 하였습니다. 시선을 모으기 위해 카메라 위에 사탕을 올려두고 시선을 모아지면 그 찰나에 촬영을 해야하는 해프닝이 있었습니다 (웃음). 지금껏 가족사진이 없던 가족들이 사진을 보고 좋아할 생각을 하면 너무나 뭉클합니다. 6 7
About NSHC. Security Consulting NSHC 부서 소개 - 첫번째 젊음으로 똘똘 뭉친 "보안컨설팅 사업부" NSHC는 서비스 사업본부, 솔루션 사업본부, 커뮤니케이션 사업본부로 나뉘어져, 서비스 사업본부는 보안컨설팅 사업부, Red Alert팀으로 구성되어 있다. 이번 호에서는 최근 빈번히 일어나고 있는 고객정보 유출사건으로 인해 주목 받고 있는 보안컨설팅 사업부에 대해 이야기를 나누어 보았다. 보안컨설팅이란 무엇이라고 생각하시나요? 서상헌 보안컨설팅의 궁극적인 목적은 단순히 고객이 제시한 보안 문제를 대신 해결해 주는 것이 아닌 향후 일어날 수 있는 문제점들까지 고려하여 고객이 성장할 수 있게 도와주는 것이라 생각합니다. 한수호 김병주 컨설팅은 커뮤니케이션이라고 생각합니다. 내가 아무리 뛰어난 지식이 있더라도 상대방을 이해시키지 못하면 그건 컨설팅을 해줄 수 없기 때문입니다. 단순히 취약점을 찾았다는 결과보다는 왜 그렇게 되는지 원리에 대해 알아야 하고, 고객사의 눈높이에 맞춰 대처 방안까지 말로 잘 표현하는 능력까지 필요한 것 같습니다. 컨설팅의 의미는 전문가에게 자문을 구하고, 전문가는 고객의 목적을 달성할 수 있도록 조언을 해주고, 나아갈 방향을 제시하는 것입니다. 즉 보안컨설팅이라는 것은 다양한 영역 중 IT, 그 안에서도 보안이라는 영역에 대해 목적을 달성할 수 있도록 컨설팅을 해주는 것입니다. 보안의 목적은 악의적인 사용자들로부터 IT 자산의 침해를 방지하는 것이므로, 그것을 달성할 수 있도록 문제점을 도출하고, 문제점에 대한 개선 방향을 제시하는 것입니다. 보안컨설팅을 선택한 이유는 무엇인가요? 문관주 이대규 이선영 처음 보안컨설팅이라는 분야를 알게 된 루트는 IT 멘토링 프로그램을 통해서였습니다. 대학생과 기업인 IT멘토가 함께 프로젝트를 수행하는 프로그램이었는데, 그때 멘토가 보안컨설턴트여서 영향을 많이 받았습니다. 해킹과 같은 기술적인 면을 배울 수 있다는 점이 가장 마음에 들었고, 프로젝트에 투입되어 다양한 회사로 출근할 수 있다는 점이 마음에 들었습니다. 여러 분야의 사람들을 만나 커뮤니케이션 한다는 것도 상당히 매력적이라고 생각 했기 때문에 보안컨설팅 분야를 선택하게 되었습니다. 대학교 생활을 하면서 화이트 해커가 되는 것이 꿈이었고, 어렵고 힘들지만 기술적인 모의 해킹이 재미있으며 제가 가장 열정적으로 할 수 있는 일이기 때문입니다. 제가 일본에서 IT개발 분야에 근무하면서 장기간 거주한 적이 있는데요. 일본은 한국보다 정보보안 레벨이 낮다는 느낌이 있어, 유저의 입장으로서 정말로 나의 정보가 안전하게 보호되고 있는가 하는 불안감을 받았습니다. 그래서 유저에게 안심을 줄 수 있는 보안 컨설턴트가 되고자 보안컨설팅에 관심을 가지고 선택하게 되었습니다. 8 9
본인이 자신 있는 분야는 어떤 분야인가요? (혹은 관심 있는 분야) 보안컨설팅 업무의 매력은 무엇이라 생각하시나요? About NSHC. Security Consulting 서상헌 강현 최아영 전현진 사람들이 가장 친밀하고 쉽게 접하는 웹 서비스와 누구나 간편하게 사용하는 모바일입니다. 사용하기 쉽고 접근성이 좋은 만큼 보안에 취약한 점도 많다고 생각합니다. 최근 파이썬 언어에 대해서 관심이 있습니다. 자신에게 맞는 해킹툴을 빠르게 제작할 수 있는 강력한 언어인 것 같습니다. 그리고 가장 좋아하는 분야는 웹입니다. 다양한 환경 위에 구축이 되기 때문에 웹 해킹 할 때에 많은 변수가 생기지만 성공하면 크리티컬한 결과를 얻을 수 있기 때문에 굉장히 다이나믹한 것 같습니다. 현재 학업을 병행하는 중인데, 전공은 포렌식입니다. 포렌식에도 여러 종류가 있지만, 현재 우리 생활에서 가장 밀접하게 관련된 모바일에 대한 범죄가 증가하고 있어 저의 가장 관심 분야는 모바일 포렌식입니다. 개인적으로 웹 분야를 좋아하고 관심 있어 합니다. 처음 보안 공부 할 때도 웹부터 시작 했고, 뭔가를 푸는 것을 좋아해서 워 게임을 즐겨 했는데, 그러다 보니 웹에 많이 익숙해지고 제일 자신 있는 서상헌 남궁해나 박정환 컨설팅 업무를 통해 프로젝트를 끝마치며 고객들이 만족해하는 모습과 여러 상황을 겪으며 같이 성장해 나가는 저의 모습이 매력적이라고 생각합니다. 해커는 악의적인 목적을 위해 해킹을 하지만 우리는 보안을 위해 해킹을 합니다. 목적은 다르지만, 해킹하는 즐거움이 이 업무의 매력입니다. 물론 부가적으로 해야 할 일들(문서작업 등)이 있지만 하고 싶은걸 하기 위해서는 기꺼이 해야 할 일이라고 봅니다. 컨설팅이라는 업무가 대부분 그렇겠지만 고객들과 대면해야 하는 업무가 대부분이잖아요. 개인적으로 한 곳에서만 근무하는 것보다는 여러 곳을 다니는 것을 좋아하는 외향적인 편이라서 저에게는 이러한 부분이 매력적인 것 같고요. 또, 늘 부딪히는 상황이 똑같지 않고 항상 새롭다는 것이 개인적으로는 흥미롭게 다가와요. 업무를 하거나 기술적인 부분에 대해 연구하는 부분에 있어서 해결하기 어려웠던 부분을 풀었을 때 성취감과 무언가 해냈다는 뿌듯함을 느끼게 됩니다. 이러한 부분에 있어서 저에게는 지금의 업무가 매력이라고 할 수 있을 것 같습니다. 분야가 되었습니다. 최아영 누군가에게 컨설팅을 한다는 것 자체가 매력적인 것 같습니다. 내가 확인한 부분에 대하여 리뷰하고 김병주 기술진단으로 웹 분야에 대해선 다양한 내용을 공부를 해왔고, 실제 업무로써도 진단을 수행해왔습니다. 업무상 다양한 환경을 접할 수 있었기에 현재 웹 분야에 대해선 자신 있게 수행할 수 그것을 수렴하고 조율하여 그게 적용된다는 것 자체가 제가 제대로 일을 하고 있다는 생각을 들게 해서요. 있습니다. 그리고 최근은 리버싱과 시스템 분야에 대해 관심을 갖고, 학습해나가고 있습니다. 전현진 비슷한 부분도 많지만 매번 진단을 나갈 때마다 다른 진단 환경이므로, 혼자 공부할 때보다 배울 점이 많은 것 같아요, 취약점이 나오지 않을 때는 스트레스도 많이 받지만, 취약점을 찾았을 때 그 성취감이 컨설팅업무의 매력이라고 생각합니다. 10 11
NSHC의 보안컨설팅사업부의 장점은 어떤 것이 있나요? 보안컨설팅 분야에 관심 있는 사람들에게 한마디 해주세요 About NSHC. Security Consulting 서상헌 남궁해나 박정환 여러 분야 별로 기술력이 높은 사람들이 골고루 포진해 있다는 점이 장점입니다. 또한 교류가 활발하여, 다같이 성장 할 수 있다는 점이 좋습니다. 저희 부서는 형식보다 효율을 먼저 생각합니다. 또 수평적인 분위기이기 때문에 빠른 커뮤니케이션이 가장 큰 장점입니다. 워낙 편안한 분위기이다 보니, 저처럼 회사에서 하루 종일 웃고 가는 직원도 없을 겁니다. 많은 장점들이 존재하지만 무엇보다도 기술적으로 다양한 분야의 업무를 접해볼 수 있어 개인적인 역량을 발전시키는 부분에 있어서도 큰 도움이 된다는 것이 가장 큰 장점이 아닐까 합니다. 사내 분위기가 개방적이어서 직원들 간에 자유롭게 소통하는 것이 업무 속에서 하나의 즐거움으로 다가오는 것 같습니다. 곽기용 문관주 최근 연이어 개인정보 유출로 인한 사건 사고로 인해 보안에 대해 관심이 높아졌습니다. 정보보안 전문 인력들이 부족한 상황으로 정보가 큰 자산이 되는 사회에서 정보를 지켜 낼 정보 보안전문가가 되기 위해서는 꾸준한 노력(공부)을 통해 끊임없이 성장해 나가야 합니다. 단순한 호기심만으로 접근하면 나중에는 도태되기 쉽습니다. 또한 자신에 대한 믿음으로 고객의 신뢰를 지켜 낼 수 있다면 도전하세요. 꿈은 이루어집니다. 보안컨설팅에도 여러 분야가 있기 때문에 먼저 자신이 무엇을 하고 싶은지 정확하게 파악하는 것이 필요하다고 생각합니다. 그리고 인터넷만 잘 활용해도 하고 싶은 업무에 대해 간접적으로 경험을 할 수 있기 때문에 꼭 관련된 활동을 경험하신다면 도움이 많이 될 것 같습니다. 보안과 관련된 카페에 가입하여 활동 한다던지, 자신만의 블로그를 개설해 공부한 것을 정리하는 등의 활동을 꾸준히 하면 남들보다 기회를 더 빨리 잡을 수 있을 것입니다. 최아영 문관주 이대규 전현진 박범수 이선영 어느 누가 한 분야에 치우치지 않고, 여러 분야를 접할 수 있는 부분이 다양성을 키울 수 있어 그 부분이 가장 큰 부분이라고 생각됩니다. 자유로운 분위기가 최고의 장점이라고 생각합니다. 처음 직장이라 걱정이 많이 있었는데 자유로운 분위기 속에서 금방 적응할 수 있었습니다. 그리고 우리 부서는 프로젝트에 투입되지 않는 기간에는 개인 연구 시간을 가지는데요. 이점이 정말 마음에 듭니다. 개인 연구할 시간이 많다는 것은 그만큼 책임감과 부담감이 있지만, 하고 싶은 일을 할 수 있다는 즐거움이 더 크기 때문에 엄청난 메리트라고 생각합니다. 젊은 피로 구성되어 사고 방식이 열려 있으며, 활력 있게 근무하고 있습니다. 처음 입사했을 때 자유로운 분위기에 놀랬습니다. 덕분에 회사에 적응하는데도 많은 도움이 됐고요. 그리고 직원들을 먼저 생각해 주시는 것 같아서 재미있게 즐기면서 일하고 있습니다. NSHC는 모바일 진단을 컨설팅 업체 중 최초로 시작하였으며, 다년간의 업무 수행으로 기술기반 보안컨설팅 업체 중 손꼽히는 업체라고 생각합니다. 그것은 NSHC 보안컨설팅을 찾는 많은 고객들을 통해 확인할 수 있으며, 그런 다양한 고객들을 통해 다양한 프로젝트를 경험할 수 있는 장점이 됩니다. 그리고 컨설팅팀원들의 개인별 역량강화를 위해 업무 이외의 교육 참석 및 연구활동을 적극 지원해주고 있습니다. 풍부한 경험과 전문성을 가진 사람들이 모였음은 두말할 필요가 없구요. 팀원 중 성격이 모난 사람 없이 모두 잘 어울려 팀워크가 아주 좋습니다. 팀워크는 업무수행에 있어 아주 중요한 요소 중에 한가지 라고 생각합니다. 또한 젊은층들의 열정이 매우 뛰어나 자기개발이나 연구에 열심히 하여 실무에 적용하고 있는 점이 큰 장점이라 들 수 있겠습니다. 안상환 유망직종 보고 오면 큰일납니다. ^^; 이대규 어떤 일을 하더라도 힘들겠지만 보안 분야에 열정이 있다면 도전하세요. 그리고 계속 공부하시기 바랍니다. 화이팅! 젊은 컨설턴트는 그들의 신선한 아이디어와 순수한 열정을 통해 더 좋은 컨설팅 결과를 만들어 내고 새로운 플랫폼이나 생소한 분야에 대해 연구하고 컨설팅 서비스할 수 있는 강점을 가지고 있다. 우리는 '직장에서 할 수 있는 최고의 직장에서 할 수 있는 최고의 복지는 복지는 하고 싶은 것을 할 수 있게 하는 것이다.' 라는 생각을 가지고 컨설턴트가 자율적으로 역량을 발휘하도록 지속적으로 변화하며 동기부여를 하고 있다. Editor 보안컨설팅 사업부 / 최아영 하 고 싶 은 것 을 할 수 있게 하는 것 12 13
Red Alert. Cyber Attack Red Alert 팀이 정리하는 2014, 1/4분기 사이버 보안 사고 올 1/4분기에 발생했던 주요 사이버 보안 사고에 대하여 정리해 보았다. 개인 정보 유출과 게임과 관련된 사고가 빈번하였다. 또한, 윈도우 XP 서비스 지원 중단에 따른 보안 위협이 증가하게 됨에 따라 대응책이 신속히 이루어져야 한다. 1월 국민, 롯데, 농협 카드 1억 400만건 고객정보 유출 발표 검찰은 지난 1월 롯데카드에서 지난해 12월 2천 600만건, 2012년 10~12월에 '신작 모바일게임' 집단 해킹 한 업체가 야심 차게 만든 모바일게임이 출시되자마자 일반 사용자들에게 집단 해킹을 4월 농협카드에서 2천500만건, 지난해 6월에 국민카드에서 5천 200만건이 각각 당한 것으로 확인. 이용자 500여 명이 해킹 애플리케이션을 설치하여 아이템 수억 유출됐다고 발표. 그러나 지난달 14일 검찰은 2011년 1월 롯데카드에서 개를 가로채 4억 원의 손실을 입음. 250만건, 2012년 6~7월에 농협카드에서 2천430만건, 지난해 2월 국민카드에서 5천370만건이 흘러나갔다고 수사 결과를 내놓음. 하트 블리드 취약점 발견 2월 3월 의사협회, 치과의사협회, 한의사협회 홈페이지 해킹, 15만 6,000명 개인정보 유출 대한의사협회, 대한치과의사협회, 한의사협회 등 국내 인터넷 사이트 225개 해킹하여 1,700만건 개인정보 유출. 악성코드를 사이트에 심은 후, 관리자 권한을 얻어 해킹당한 사건. 신용카드 POS단말기에서 개인정보 약 1,200만건이 유출 경찰이 포스단말기 관리업체 서버를 해킹한 일당을 적발, 20만 5,000명의 정보를 넘겨 받아 분류한 결과 10개 카드사에서 20만건의 정보가 유출된 것으로 파악. 전문해커 KT 홈페이지 해킹. 가입고객 1,200만명 정보 유출 KT 홈페이지가 해킹당해 가입고객 1,600만명 중 1,200만명의 고객정보가 유출. 웹브라우저와 서버간의 통신을 암호화해주는 프로토콜 오픈SSL 에 대한 심각한 취약점이 발견. 이 취약점은 하트블리드(HeartBleed, (CVE-2014-0160) 로 명명됐으며, 공격자가 이 취약점을 악용할 경우 웹브라우저에서 암호화돼 전송된 개인정보, 금융정보는 물론 암호키도 탈취할 수 있는 것으로 알려짐. 윈도우XP 지원 종료에 따른 보안 위험 우려 마이크로소프트(MS)가 마지막 윈도우XP 정기 업데이트를 진행하고 윈도우XP에 대한 기술 지원 서비스를 중단 한다고 밝힘. 윈도우XP는 일반 PC뿐만 아니라 은행에서 사용하는 CD, ATM 등 자동화기기 등도 상당수가 윈도우XP를 사용하고 있어 대응이 시급. IE 해킹에 취약 결함 발견 마이크로소프트(MS)의 웹브라우저 인터넷 익스플로러(IE)의 모든 버전에서 심각한 보안 결함 발견. 28일 외신과 업계에 따르면 익스플로러 6~11 전 버전이 해커가 웹사이트를 변조해 원격으로 사용자의 정보를 빼낼 수 있는 문제점을 안고 있는 것으로 드러남. Editor Red Alert팀 / 곽성현 14 15
Red Alert. Malware Red Alert 팀이 정리하는 2014, 1/4분기 악성코드 (Malware) 다양한 악성코드 유포로 인한 피해가 증가하고 있는 가운데, 지난 2014년 1분기 악성코드에 대하여 정리하고자 한다. 1분기의 피해사례 중 가장 많은 사례가 보고된 피싱과 파밍 그리고 스미싱에 대해 알아보고 유포 현황을 알아보도록 하자. 피싱, 파밍, 스미싱 용어정리 피싱(Phishing)이란, 개인정보(private data)와 낚시(fishing)의 조합어로 개인 정보를 불법으로 도용하기 위한 속임수의 한 유형이다. 피싱 & 파밍 악성코드 유포 현황 작년 한해 2만 2,659건 (전체 악성코드의 39.4%) 2013년 한 해 동안 접수된 피싱과 파밍은 전체 악성코드의 39.4% (2만 2,659건)을 차지한다. (단위 : 건) 2,500 2,000 2,078 1,856 1,500 1,235 1,164 1,350 1,407 1,000 981 714 736 984 1,254 1,345 500 0 13.1월 2월 3월 4월 5월 6월 7월 8월 9월 10월 11월 12월 2013 피싱 & 파밍 동향 또한, 2014년 1분기에 약 500여개 이상의 피싱 및 파밍 목적의 악성코드가 배포되었다. 5월 현재 계속 피싱 및 파밍 관련 악성코드가 배포되는 것으로 확인되니 각별한 주의가 필요하다. 파밍(Pharming)이란, 합법적인 사용자의 도메인을 탈취하거나 DNS 또는 프록시 서버의 주소를 변조함으로써 사용자들로 하여금 진짜 사이트로 오인하여 접속하도록 유도한 뒤 개인정보를 탈취하는 공격 기법이다. 스미싱(Smishing)란, 문자메시지를 의미하는 SMS와 개인정보 탈취를 의미하는 피싱(Phshing)의 합성어이다. 즉, 문자메시지를 이용해 악의적인 목적으로 개인정보를 탈취하는 행위를 뜻한다. 16 17
Red Alert. Malware 악성코드 유형별 동작 형태 상세보고서 다운로드 ActiveX 해당 악성코드는 ActiveX 를 이용한 게임계정탈취 악성코드와 연계가 있는 것으로 보이는데 악성코드는 국내 인터넷 뱅킹에 사용되는 키보드 보안 모듈과 공인 인증서 모듈의 개발사가 서로 다른 점, 보안모듈의 코드영역에 대한 무결성 부재 등의 취약성을 이용해 공인 인증서와 보안 인터넷 뱅킹의 제도적 문제점과 대책 공인인증서의 제도적 문제점은 아래와 같다. 1 공인인증서를 개인의 하드디스크, USB, 스마트폰 등에 저장 - 개인키가 복사될 위험에 무방비로 노출되어 있음 2 공인인증서가 ActiveX 방식으로 배포되고 있음 3 소액 결제에서도 공인인증서를 무분별하게 남용 4 낮은 보안의식을 가진 사용자가 공인인증서를 사용 카드 정보 탈취를 시도한다. 파밍 예방 수칙은 다음과 같다. 1 사이트 주소의 정상 여부 확인 상세보고서 다운로드 Internet_Bank_Pharming_with_CVE-2013-3897 2 보안카드번호 전부 입력하지 말 것 3 공인인증서, 보안카드 사진 등의 컴퓨터, 이메일 저장 금지 해당 악성코드는 QQ 블로그를 사용하여 지속적으로 서버 정보를 4 OTP(일회성 비밀번호), 보안토큰 사용 권장 요청하는 것과 파밍대상 사이트 리스트를 지속적으로 요청하는 것으로 5 출금 계좌번호를 키보드로 직접 입력하는 행위 주의 보아 동시 다발적인 공격을 위해 현재는 악성코드를 배포하는 것에 6 문자메시지에 포함된 인터넷뱅킹 주소 클릭 금지 집중되고 있는 것으로 확인된다. x86, x64 시스템과 윈도우 버전에 7 전자금융사기 예방서비스(공인인증서 PC지정 등) 적극 가입 상관없이 동작하여 시스템 감염 및 공인인증서를 탈취한다. 8 출처불명 한 파일이나 이메일은 즉시 삭제 9 무료 다운로드 사이트 이용 자제 10 윈도우, 백신프로그램 등을 최신 상태로 유지 11 파밍 등 의심 시, 경찰청 112나 금융기관 콜센터를 통해 지급정지 요청 출처 : 충북지방경찰청 상세보고서 다운로드 Internet Banking Pharming_BlackMoon 악성코드는 DNS Cache 조작 및 hosts.ics 를 생성하여 사용자로 하여금 변조 웹 페이지로 접근을 유도한다. 변조 웹 페이지는 실명정보, 계좌정보, 인터넷 뱅킹 계정정보, 보안카드 정보 입력을 유도하여 사용자 정보를 탈취한다. 18 19
Red Alert. Malware 스미싱 유포현황 구분 13년 2분기 피해상담 1,045건, 피해액 4,900여만원 지난 4월 15일, 국민권익위원회는 정부민원을 상담하기 위해 운영하는 110 정부민원안내콜센터에 지난 1년간(2013년 4월 ~ 2014년 3월) 접수된 스미싱 피해사례를 분석 결과에 대한 보도자료를 발표했다. 보도자료에 따르면 스미싱 피해상담 건수는 총 1,045건이고 피해금액은 4,943만 원으로 주로 소액결제 피해가 많았다. 특히 올해 들어서 본인이 접속하지도 않은 인터넷사이트나 게임 업체에서 매달 9,900~19,900원씩 소액결제 된 것을 뒤늦게 알게 되어 누적된 피해금액이 커진 사례도 있었다. 13년 3분기 13년 4분기 14년 1분기 (단위 : 건, 만원) 합계 진화하는 스미싱 수법들 스미싱 수법이 날로 점점 교묘해지고 있다. 스미싱은 스마트 폰에 저장된 금융정보 및 개인정보 탈취를 목적으로 악성코드를 심거나 소액결제가 이루어지도록 하기 위한 링크를 포함한다. 이 때 사용자의 클릭을 유도하기 위해서는 메시지의 내용이 사용자의 이목을 끌만한 것이어야 하는데 이를 사회공학적 기법이라고 한다. 최근 세월호 관련 스미싱이 활개를 친 이유도 이러한 맥락으로 볼 수 있다. 더욱 우려되는 점은 현재 대다수 국민의 개인정보가 노출되었기 때문에 이를 사회공학적 기법에 이용할 경우 더 많은 피해가 일어날 수도 있다는 점이다. 실제로 최근 RedAlert 팀으로 제보된 스미싱들은 특정 기업의 서비스 센터 번호를 이용하거나 노출된 개인정보를 사용해 지인 또는 공공기관으로 위장하여 악성 앱을 유포하였다. 상담건수 241 396 304 104 1,045 160 피해금액 162 1,207 175 스미싱 유포로 인한 상담건수 및 피해금액 현황 3,399 4,943 140 120 100 124 145 안랩에서 발표한 스미싱 내부 집계 결과를 살펴보면 상황은 더욱 심각하다. 2014년 2월까지 스미싱 악성코드가 총 1,500개 발견되었는데 이는 2012년 한 해 동안에 발견된 스미싱 악성코드 개수(29개)의 약 52배, 80 60 40 84 2013년 총 발견 개수(5,206개)의 29%에 해당하는 수치이다. 연도별 20 발생 건수만 비교해보더라도 스미싱 악성코드가 얼마나 빠른 속도로 증가하고 있는지 알 수 있다. 스미싱 유형별 피해상담 건수 0 청첩장, 돌잔치 법원, 우체국 속도위반 단속 2012년 2013년 2014년 1월 1개 68개 1,001개 2월 3개 174개 499개 3월 1개 262개 4월 - 184개 5월 - 345개 6월 - 322개 7월 2개 353개 8월 - 725개 9월 3개 933개 10월 5개 694개 11월 12월 6개 8개 617개 529개 2012년부터 2014년 1분기까지 스미싱 통계 점점 교묘해지는 스미싱 문자 20 21
Red Alert. Malware 스미싱 문제점과 대책 근본적인 문제점과 이에 대한 대책 악성코드가 이미 하나의 큰 사업으로 자리잡은 것은 공공연한 사실이다. 특히 달빅 가상 머신에서 동작하는 안드로이드 앱의 경우에는 위ㆍ변조가 매우 쉽기 때문에 그 변종이 계속 증가하고 있고 정상 앱이 악성 앱으로 둔갑하는 일 또한 매우 빈번하게 일어나고 있다. 스마트 폰 이용자 10대 안전 수칙 KISA 보호나라에서 제시하는 스마트 폰 이용자 10대 안전 수칙 은 다음과 같다. 스마트폰 이용자 10대 안전수칙 1) 의심스러운 애플리케이션 다운로드하지 않기 2) 신뢰할 수 없는 사이트 방문하지 않기 3) 발신인이 불명확하거나 의심스러운 메시지 및 메일 삭제하기 4) 비밀번호 설정 기능을 이용하고 정기적으로 비밀번호 변경하기 5) 블루투스 기능 등 무선 인터페이스는 사용 시에만 켜놓기 6) 이상증상이 지속될 경우 악성코드 감염여부 확인하기 7) 다운로드한 파일은 바이러스 유무를 검사한 후 사용하기 8) PC에도 백신프로그램을 설치하고 정기적으로 바이러스 검사하기 9) 스마트폰 플랫폼의 구조를 임의로 변경하지 않기 10) 운영체제 및 백신프로그램을 항상 최신 버전으로 업데이트 하기 룩아웃이 공개한 조직적인 모바일 해킹범죄 흐름도 이 밖에도 피해가 큰 소액결제 피해를 막기 위해서 휴대폰 요금 간단한 지식만 있으면 누구나 다 기존 앱을 자신의 입맛에 맞게 변조할 수 있고 스마트 폰에는 돈이 될 수 있는 정보가 가득하다. 따라서 사회공학적 기법을 이용하여 유포되는 스미싱 범죄는 증가할 수 밖에 없다. 앞서 말했듯이 스미싱이 발견되면 초기 제보, 유포 경로 진압, 추가 피해 방지를 위한 발 빠른 대응책도 중요하지만 사실 위ㆍ변조에 대한 대책이 매우 시급하다. 사용자들은 스마트 폰 가입자가 날로 증가함에 따라 악성 앱 제작자가 악성 명세서를 꼭 확인하고 필요한 경우 통신사에 소액 결제 차단 서비스 를 신청해야 한다. 만약 스미싱 피해가 의심되는 경우에는 정부민원안내콜센터(국번없이 110) 에 전화를 걸어 상담을 요청하면 사기여부 확인과 함께 대응방법을 자세하게 안내받을 수 있고, 이미 금전 피해가 발생한 경우라도 경찰, 해당기관 등에 연결하여 신속한 후속 조치방법을 안내 받을 수 있다. Editor Red Alert 팀 / 김호, 서미혜 앱을 만들어 유포함으로써 얻을 수 있는 정보의 양과 질이 나날이 높아지고 있다는 점을 명심해야 한다. 스마트 폰에서도 PC처럼 악성코드에 감염될 위험성이 있기 때문에 보안에 대한 인식을 높이고 스마트 폰 이용자 10대 안전 수칙 을 평소에 실천하는 습관을 들여야 할 것이다. 22 23
Security Consulting. JpCert 일본 JPCERT 2014, 1/4분기 JpCert 보고 인터넷을 통해 전 세계가 네트워크로 연결되면서 한 국가에서 발생된 사이버 침해사고가 전 세계로 빠르게 전파될 수 있는 기반이 구축되었다. 또한 최신 침해사고 정보의 공유는 물론, 국가 내 주요 기반시설 또는 더 넓은 범위의 국가 보안문제에 영향을 끼칠 수 있는 사안에 관해 타 국가의 CERT와 정보를 교류해야 할 필요성이 증대되고 있다. 따라서, 광범위한 사이버 침해사고 정보를 공유하고 다양한 위협 이슈를 파악하고자 JpCert에서 발표한 2014년 1분기 주요 이슈들을 정리해 본다. 아래 내용은 국내 KrCert에서 발표한 중복 내용은 제거한 리스트이다. 11. Apache Commons FileUpload에 서비스 운용방해(DoS)의 취약성 12. DELL의 SonicWALL GMS/Analyzer/UMA 에 크로스사이트 스트립팅의 취약성 13. Adobe Flash Player의 취약성 14. Apple의 ios 및 Apple TV에 SSL/TLS 인증의 취약성 15. Auto CAD의 취약성 16. Blackboard Vista/CE에 크로스사이트 스크립팅의 취약성 1. libpng에 서비스 운영 방해(DoS) 의 취약성 2. XooNIps에 크로스사이트 스크립팅의 취약성 3. Norman Security Suite 에 권한 승격의 취약성 4. Cybozu garoon에 취약성 2월 3월 5. Blue Coat ProxySG에 취약성 1월 1. VMware ESX 및 ESXi에 임의의 파일에 접근 가능한 취약성 2. Cybozu garoon의 취약성 3. RealPlayer의 취약성 4. libpng에 서비스 운영 방해(DoS) 의 취약성 5. XooNIps에 크로스사이트 스크립팅의 취약성 6. Norman Security Suite 에 권한 승격의 취약성 7. Blue Coat ProxySG에 취약성 6. Foscam의 IP카메라에 증명 회피의 취약성 7. Webmin에 크로스사이트 스트립팅의 취약성 8. CENTUM CS 3000 조작감시기능에 버퍼 오버플로우의 취약성 9. WatchGuard Fireware XTM에 크로스사이트 스크립팅의 취약성 10. Mozilla 제품군의 취약성 11. sp모드 메일의 취약성 12. Silex에 크로스사이트 스크립팅의 취약성 8. BIND 9에 서비스 운용방해(DoS)의 취약성 9. Apple itunes에 취약성 10. Apple Pages에 취약성 11. OpenPNE에 임의의 PHP 코드가 실행되는 취약성 12. EC-CUBE의 취약성 13. CS-Cart에 크로스사이트 스크립팅의 취약성 14. Sleipnir Mobile for Android에 위치정보 누설의 취약성 15. Emerson Network Power Avocent MergePoint Unity 2016에 디렉터리 접근공격의 취약성 16. Thecus NAS Server N8800에 취약성 1. Microsoft Word의 RTF 파일처리의 취약성 2. ManageEngine OpStor의 취약성 3. Apple의 Safari에 취약성 4. WordPress의 취약성 5. Movable Type의 취약성 6. PrivotX의 취약성 7. Android 버전 Adobe Redader Mobile의 취약성 4월 2월 1. Mozilla Thunderbird에 취약성 2. Just System의 산시로(표계산 소프트) 시리즈에 임의의 코드가 실행되는 취약성 3. Cybus garoon에 SQL Injection의 취약성 8. Redmine에 오픈 리다이렉트의 취약성 9. 사이보즈(Cybozu)의 리모트 서비스 매니저의 취약성 10. 복수의 XMPP 서버에 DoS의 취약성 11. 도시바 테크의 e-studio 시리즈에 CSRF의 취약성 4. Lexmark의 레이저 프린터에 취약성 12. Xangati 소프트웨어 제품에 취약성 5. Fail2ban에 서비스 운영 방해의 취약성 6. Mozilla 제품군의 취약성 7. Android용 Opera브라우저의 취약성 각 취약성에 대한 자세한 정보는 아래 사이트에서 확인할 수 있다. 8. Fortinet의 복수의 제품에 크로스사이트 스크립팅의 취약성 9. F5 Networks BIG-IP Edge Client에 취약성 10. phpmyfaq의 취약성 https://www.jpcert.or.jp/wr/2014.html Editor 보안컨설팅 사업부 / 이선영 24 25
Security Open Seminar. Epilogue 외부에 비춰진 NSHC 꿈이 있는 회사 NSHC의 SOS (?) 4월 17일, NSHC에서 주관하는 공개 세미나 (Security Open Seminar) 가 진행 되었다. 본 글은 세미나에 참석한 분의 블로그에 올린 SOS세미나 후기글로, 글쓴이의 동의를 얻어 싣게 되었다. 처음 진행된 SOS 세미나는 어땠을까? 꿈이 있는 회사 NSHC 우리가 어려운 상황에 처하게 되면 SOS신호를 보내 타인에게 도움을 청하게 된다. NSHC는 SOS라는 이름으로 보안 오픈 세미나를 진행하면서 자신들에게 보안에 관해 도움을 요청하고 해결 할 수 있도록 하자는 의미와 이러한 강연으로 많은 사람들이 배울 수 있는 기회를 주기 위해서 세미나를 열게 되었다. 4월 17일 제 1회 세미나를 강남 CNN the BIZ에서 개최 하였다. 보안에 관심 있거나 NSHC회사에 관심 있는 사람 30명이 이 세미나에 참석 할 수 있었다. 아직 1회인 이 세미나를 계속해서 정기적으로 진행해 나가며 도움이 되는 회사가 되고 싶다고 하였다. 이날 행사는 회사소개와 함께 3개의 세션을 발표하였다. NSHC란? 보안 회사로 보안 솔루션, 정보보호 컨설팅, 취약성진단, 모의해킹, RedAlert정보제공, 스마트폰 백신 및 보안 솔루션을 제공한다. 처음에는 해커모임으로 시작하였고 점차 커져 2003년부터 사업을 시작하였다. 보안 솔루션은 금융권을 맡는다고 한다. Nsafter이라는 암호화 모듈과 Nfilter이라는 중간에 비어있는 공간에 글자를 넣는 스마트 보안키보드를 만들었다. NSHC는 왜 돈을 벌어야 하나를 생각하고 돈을 버는 회사로 패밀리데이를 만들어 직원 가족을 초청해 식사를 하며, Safe square에서의 세미나와 SOS오픈 세미나를 진행하며, 재능기부 워크숍(캄보디아 봉사활동)을 진행하고 있다. 또한, 한 공간에서 같이 일하며, 칸막이가 없고 임원실이 없다, 근무시간은 선택제이며, 복장이 자유롭다. 규제를 최소화하고 창의성을 극대화 하며 일하는 환경을 공유해야 한다는 주장 때문이라고 한다. 첫번째 세션 Windows xp 서비스 종료의 위협 / 이상열 연구원 회사소개를 이어 첫번째 세션에는 Windows xp PC, POS단말기, ATM/CD기기, 카드 결제기 등에서 서비스 종료의 위협 이란 주제로 강의 하였다. 사용하고 있어 교체가 쉽지는 않을 것이다. XP가 강연자는 RedAlert팀의 이상열 연구원이 하였다. 지원종료 되면서 신규보안 패치적용이 되지 않으며, Windows XP는 MS사의 운영체제로 2001년 최소한의 보안 유지만 가능하도록 한다고 한다. 10월에 정식 출시 되며, 휘슬러 라는 코드네임으로 개발해 오던 새 운영체제의 이름을 Windows XP로 XP서비스가 종료 되면서 위험성이 커지고 있는데 하기로 하였다. XP란 Windows의 차기 버전과 멀웨어, 핵티비즘, 가짜 바이러스 경고, 취약점의 사무용 소프트웨어 제품에 다양한 주변장치가 보안위협이 커지고 보안위험, 상담 서비스 종료, 지원되는 웹 서비스가 추가되어 사용자의 경험을 소프트웨어 문제, 다운타임으로 인해 기회비용 극대화 시켜준다는 experience 에서 따온 및 기대 수준 저하 등으로 비즈니스에 부정적인 약자이다. 영향을 미칠 것이라고 한다. 서비스 종료로 인해 리눅스,우분투보다 보안이 더 취약하다고 한다. 취약점 유형으로는 Execute Code, Gain Privilege, Overflow, Denial of service 순이며 이 외에도 다양한 종류의 공격에 취약하다. XP지원 종료의 위험성을 사이버테러 피해액과 비교하였을 때, 2013년 전세계 Windows의 국가별 점유율을 비교해 보면 미국, 자연재해가 133조5천억 원인데, 2013년 전세계 일본, 호주, 한국 중 한국이 가장 많은 비율을 차지 사이버 범죄가약 120조원이라고 한다. 수치를 하고 있으며, 미국, 일본, 호주 순이다. 국내 점유율은 비교하였을 때 비슷한 수치를 보이며 앞으로 더욱 2012년6월에 약 41%를 차지 하였으나 점차 많은 피해규모를 보여줄 것이라고 한다. 줄어들며 2013년 12월에는 XP서비스 종료와 함께 약 19%를 차지 하였다. 점유율이 줄어드는 이유는 XP의 대응 방안으로는 브라우저를 크롬으로 서비스 종료와 함께 나이가 드신 어른들의 사용 미숙 변경, 안티 바이러스 솔루션 업데이트, 제한된 때문이라고 한다. XP가 종료되었음에도 아직도 계정으로 사용하기, 드라이버 업데이트, 방화벽 사용하는 이유는 교체를 하는데 있어 비용문제와 설정, 불필요한 소프트웨어 삭제 및 최신 업데이트, 함께 교체에 어려움이 있어 사용사용중인 것 밝혀 안전한 운영체제로 업그레이드가 있다. 이 중 OS를 졌다. 업데이트 하는 것이 가장 중요하다고 다시 강조하며 첫번째 세션을 마쳤다. XP를 개인용 PC에도 사용 하지만 중소기업, 대형마트, 병원, 지하철 등 공공시설의 디스플레이 및 26 27
두번째 세션 Windows XP 악성코드 분석과 동향 / 서미혜 연구원 마지막 세션 안드로이드 악성 앱 분석과 동향 / 김호 연구원 Security Open Seminar. Epilogue 이어서 두번째 세션은 Windows XP 악성코드 분석과 동향 을 서미혜 연구원이 발표 하였다. 서미혜 연구원은 악성코드에 관한 설명으로 Keylogger, Rat, Game hack이 있다. 강연을 시작하였다. 악성코드에는 Trojan, Spyware, Backdoor, Keylogger, Bot, Rootkit, Rat, Ransom 2014년 상반기에는 카드 3사 개인정보 유출, 등이 있으며 이에 대하여 각각 간단하게 설명하였다. 스미싱 증가, Windows Xp지원종료를 보안 이슈로 가장 많은 악성코드의 감염 유형은 Trojan이 차지 보았고 하반기 동향을 E-mail, Messenger을 통한 하고 있다. 감염방식으로는 인터넷 서핑, OS와 APT 공격시도 지속, 포털 검색어, SNS를 통한 상용프로그램의 취약점, P2P프로그램, OS 취약한 악성코드 유포 증가, 금융 정보를 노리는 악성코드의 보안 설정 및 환경, 전자메일, 파일 다운로드, 지속적 유포, 분석의 복잡도 및 대응의 복잡도 인스턴트 메시징 프로그램을 통한 방식이 있다. 증가로 예상하며 세션을 마쳤다. 마지막 세션인 3번째 세션은 안드로이드 악성 앱 분석과 동향 을 주제로 김호 연구원이 발표 하였다. 최근 유행 하였던 안녕들 하십니까? 를 인용하여 해킹으로부터 여러분들의 모바일은 안녕하신가요? 라고 물으며 시작하였다. 안드로이드는 하나의 패키지라고 한다. 전체적으로 바라보아야 이해 할 수 있다고 하였다. 안드로이드의 취약점 탐지 건수를 살펴보면 2012년에 137건으로 최고치를 기록하였다 점점 하락하며, 2014년 현재까지는 19건이 발생하였다. 패치 사이클로는 취약점을 발견하면 공개를 하고 단위 패치를 하는 것이 일반적인 과정이다. 하지만 안드로이드는 특유의 과정을 거친다. 단위 패치 후 구글패치를 진행하고 제조사 패치, 통신사 패치, 사용자 패치를 진행한다. 취약점을 이용한 보안 위협으로는 Remote Exploitation, Drive by Download가 있고 Local Exploitation, Privilege Escalation이 있다. Remote Exploitation은 취약점을 통해 원격으로 공격 하며, Adbe Flash Player, Acrobat Reader등을 이용하고 Null Pointer, De-reference, Use-After-Free 취약점이 주요 공격 대상이다. Local Exploitation은 취약점을 이용해 관리자 권한으로 상승하는 것으로 루팅과 같은 형태이다. 악성 앱 탐지 건수는 시간이 지날수록 점점 많아지고 있으며, 현재는 백만 건이 넘는다. 주요 유포 경로는 SMS와 MMS, Market이다. 이에 대한 소액 결재, 공인인증서 탈취 피해 사례를 보여주며 강연을 마쳤다. 금전 탈취 유형으로는 Pharming, Ransom, PoS, Miner이 있으며, 정보 탈취 유형으로는 Spyware, 후기를 마치며... 이번 세미나는 이 기업에서 열리는 첫 강연으로 최근 이슈화 되는 Windows를 주제로 사람들의 관심을 끌었다. 비록 30명의 적은 인원이 참가하였지만, 앞으로는 더욱 많은 참가 인원을 받고 더 유익한 정보를 제공할 수 있는 기회가 있었으면 좋겠다. 이 회사가 꿈이 있는 회사인 것처럼 회사의 꿈을 이루어 나가고 보안인재들이 이 강연을 통해 자신의 꿈을 이루어 나가는데 한발 앞설 수 있었으면 좋겠다. Editor 서원대학교 정보통신공학과 / 안랩 대학생 기자 최주연 SOS는 NSHC에서 주최하는 국내외 최신 보안 이슈 및 동향에 대한 오픈 세미나이다. 보안에 관심 있는 사람이라면 누구나 참여가 가능하며, NSHC 홈페이지 (www.nshc.net) 또는 NSHC Facebook 페이지 (www.facebook.com/nshc.story)를 통해 일정을 확인할 수 있다. 28 29
R&D Report. ios 1 ios 진단개론 그 첫번째... ios의 취약점 진단과 APP-Store 암호화/바이너리 패치 N매거진 에서는 NSHC 사내 보안관련 연구/분석 결과 중 도움이 될만한 내용을 선별하여 싣고 있다. 그 중 첫번재 주제로 ios 진단개론에 대하여 3회에 걸쳐 다루게 된다. 1 ios 취약점 진단과 App-Store 암호화/바이너리 패치 2 APP내 디렉터리내 개인정보 - 다음호 3 런타임 조작 - 다다음호 클라이언트 레벨 목록화된 체크리스트의 절반가량은 클라이언트 단에서 존재합니다. 그렇기 때문에 클라이언트 단에서의 정보수집이 중요합니다. 우선 클라이언트 레벨에서의 정보수집은 애플리케이션 아키텍처 분석에서부터 시작됩니다. ios 바이너리는 Mach-O 파일 포맷으로 구성되어 있습니다. 파일 포맷을 분석하는 과정에서 App-Store 바이너리 암호화 정보, 일종의 ASLR 역할을 하는 PIE(Position Independent Executable), Buffer Overflow 취약성으로 인한 Control Flow 조작을 막기 위한 SSP(Stack Smashing Protect), Memory Leak을 방지하기 위한 ARC(Automatic Reference 수 있습니다. 그리고 파일 시스템 분석 및 키체인 분석 등을 통해 기타 중요 정보들을 수집할 수 있습니다. 이러한 정보를 이용하여 중요정보 탈취 외 인증우회 등의 추가 공격을 수행할 수 있습니다. 네트워트 레벨 네트워크 레벨에서의 정보수집은 클라이언트 레벨에 비해 비교적 간단합니다. 이 구간에서의 정보수집은 대부분 프로토콜 분석에 초점이 맞춰져 있습니다. 대상 APP이 어떤 프로토콜을 사용하여 통신을 하는지 분석하게 되는데, 보통 HTTP/ HTTPS를 이용하여 통신하거나 별도의 소켓을 통해 서버와 통신하게 됩니다. 이 과정에서 발생되는 Counting), 기타 바이너리 심볼 등, 생각보다 트래픽을 캡쳐하여 Plain-Text로 구성된 중요정보를 많은 정보를 바이너리단에서 수집할 수 있습니다. 수집하고 이러한 정보를 통해, 서버로부터 전달받은 Macho-O 파일 포맷에 대한 레퍼런스(OS X ABI Response를 변조하는 등의 공격을 수행할 수 Mach-O File Format Reference)를 참조하시길 있습니다. 그리고 통신과정에서 노출되는 서버 ios 진단 방법론 바랍니다. Domain/IP/Port 등의 서버 정보를 수집할 수 있으며, 이후 서버 레벨의 취약성을 점검할 때 ios 취약성 진단 방법론은 네이티브 APP과 하이브리드 APP에 따라 조금씩 차이가 나지만 크게 정보수집, 유용하게 사용될 수 있습니다. 클라이언트 레벨 취약성, 네트워크 레벨 취약성, 서버 레벨 취약성 진단으로 구성됩니다. 보통 ios APP 정보 수집은 다양한 구간에서 이루어질 수 있으며, 수집된 정보를 기반으로 정확한 공격을 수행할 수 있습니다. Mach-O 파일 포맷 구조 네트워크 레벨 진단 방법론 개요도 Apple-Store를 통해 배포되는 모든 APP들은 FairPlay DRM 암호화가 되어 있어, 디스어셈블러를 서버 레벨 이용하여 분석할 수 없습니다. 하지만 APP 실행시 서버 레벨에서의 정보수집은 클라이언트 단에서의 커널의 Mach Loader에 의해 복호화되어 메모리에 취약성 점검 보다는 서버 애플리케이션 및 시스템 적재된다는 점을 이용하여 복호화 할 수 있으며, 취약성에 초점이 맞춰져 있습니다. 네트워크 분석 또한 가능합니다. Mach-O 파일 포맷 중 단에서의 정보수집을 통해 노출된 서버 정보로 특정 세그먼트에는 헤더파일의 정보들도 포함되어 하여금 스캐닝을 실시하게 되고 이 과정에서 있습니다. Class-dump와 같은 도구를 이용하여 서버의 운영체제 정보, 기타 연동된 WAS와 같은 해당 APP의 헤더파일들도 뽑아낼 수 있습니다. 서브 시스템 정보, 열려있는 포트정보들을 수집할 클라이언트 레벨 진단 방법론 개요도 복호화된 바이너리와 Header정보 기반으로 수 있으며 이러한 정보들은 1/0 Day 취약성을 Reverse Engineering을 통한 Binary Patch 및 이용한 공격에 유용하게 사용될 수 있습니다. Hooking을 통한 Method Swizzling 공격을 수행할 그리고 네트워크 레벨에서 분석된 프로토콜 정보를 30 31
이용하여 조작된 Request를 보내는 등의 공격을 수행할 수 있습니다. R&D Report. ios 1 암호화된 App-Store 바이너리 복호화(FairPlay DRM) 복호화된 APP 분석 탈옥 탐지 로직 우회(Binary Patch) 암호화된 APP 분석 APP-Store 를 통해 배포되는 모든 애플리케이션은 암호화된 바이너리를 Mach-O 포맷 Apple의 FairPlay DRM 암호화가 적용되어 분석기(Otool)을 이용해서 세그먼트들을 확인해 있습니다. 암호화된 바이너리는 디스어셈블러를 보면 암호화 정보를 담고 있는 세그먼트가 이용하여 분석할 수 없습니다. 암호화되어 존재합니다. 암호화 되는 부분의 사이즈와 Mach-O 파일 포맷이 깨져있기 때문인데요. 조금 오프셋, 그리고 해당 바이너리가 암호화 되어있는 더 테크니컬한 취약성을 찾기 위해서는 암호화된 바이너리인지를 알려주는 아이디 값 등의 정보 바이너리를 복호화하는 작업이 필요합니다. 그래야 수집할 수 있습니다. 리버스 엔지니어링이나 런타임 레벨의 취약성을 점검할 수 있기 때문이죠. 암호화된 바이너리를 이러한 정보를 기반으로 Mach Loader에 의해 복호화하는 작업은 몇 가지 아이디어로부터 메모리에 적재된 복호화된 바이너리를 추출할 수 시작됩니다. 있습니다. 보통 GDB의 memory dump 명령을 이용합니다. 1. 암호화된 바이너리는 사용자가 실행할 때마다 커널의 Mach Loader에 의해 복호화되어 추출한 바이너리는 원본 바이너리에 오프셋을 메모리에 적재된다는 점. 맞춰 덮어씌우고 암호화 플래그를 변경하는 작업을 2. 단순 컴파일된 바이너리 암호화되어 있지 수행하면 리버스엔지니어링이 가능한 바이너리를 않는다는 점. 만들 수 있습니다. 바이너리 패치는 바이너리의 기계어 코드를 직접 분석하여 수정할 수 있는 방법으로 프로그램의 흐름을 직접적으로 조작할 수 있는 가장 간단한 방법 중 하나입니다. 보통 윈도우 및 *NIX 플랫폼에서 유로 프로그램을 무료로 사용하거나 특정 보호/인증 로직을 우회하기 위해 많이 사용되어 왔었는데요. 이러한 방법은 ios에서도 동일하게 적용할 수 있습니다. ios도 UNIX기반이기 때문이지요.바이너리를 패치하여 탈옥 탐지 로직을 우회하기 앞서, 실제 금융권에 적용되어 있는 탈옥 탐지 로직을 적용한 테스트 APP을 작성해 보았습니다. 특정 파일 패턴을 비교하여 탈옥된 단말기 여부를 판단하는데요. 탈옥된 단말기에 설치하고 Check버튼을 터치하게 되면 탈옥된 단말기라는 경고창이 띄워지게 됩니다. 이러한 탐지 로직을 무력화하기 위해서는 우선, 해당 애플리케이션을 내부 로직을 분석해야 하는데, ARM용 디스어셈블이 가능한 IDA 혹은 Hopper를 이용합니다. 본문에서는 Hopper를 사용하였습니다. 바이너리 암호화 정보 탈옥폰 탐지 32 33
R&D Report. ios 1 이렇게 바이너리 패치된 애플리케이션은 코드사이닝 단계를 거쳐 단말기에서 정상 실행이 가능합니다. 탈옥된 단말기에서 해당 애플리케이션을 재실행하였을 때, 탈옥 탐지 로직이 정상적으로 동작하지 않고 실행되는 것을 확인할 수 있습니다. 탈옥 탐지 로직 어셈블리 코드 대상 애플리케이션을 분석해보면 위 그림과 같이 구현된 탈옥 탐지 루틴을 발견할 수 있습니다. 탈옥 탐지 루틴에서 탈옥 여부를 판단하는 패턴(/Application/Cydia.app)을 확인할 수 있고, HexEditor로 해당 패턴을 직접 수정할 수 있습니다. 바이너리 패치 탈옥폰 탐지 로직 우회 여기까지 ios 진단개론 첫번째 시간인 ios 취약점 진단과 APP-Store 암호화 및 바이너리 패치 에 대해 알아보았습니다. 그럼 다음호 N 매거진에서는 APP 디렉터리내 개인정보 에 대해 알아보겠습니다. Editor 보안컨설팅 사업부 / 안상환, 곽기용 탈옥 탐지 패턴 34 35
Culture. NSHC Story 의왕 촌놈들! 서울 구경 가다! 남산 워킹데이 (Walking Day) 봄이다. 나가고 싶다. 워킹(Working)이 아닌 워킹(Walking)을 하고 싶다. 어디로 갈까? 서울이나 가 볼까? 우리 회사건물은 N스퀘어다. 맞아, 비슷한 이름의 N타워가 있었지? 의왕 N스퀘어에서 서울 N타워까지 간 우리들의 이야기... 10년전, 5명으로 시작한 NSHC가 어느덧 50여명의 대가족이 되었다. 인원이 적을 때는 눈빛만 보아도 무슨 생각을 하는지 서로 잘 알고 있었다. 그야말로 가족 그 자체였다. 지금은 대가족이 되면서 타 부서와 이야기할 시간도 줄어들고, 서로에 대한 태도도 소홀해지는 경향이 나타나기 시작했다. 이에 NSHC는 원활한 의사소통과 응집력 강화를 위해, 정기적으로 전 직원이 함께 즐거운 시간을 보내고자 봄, 가을로 소풍을 가고 있다. 올 봄에는 남산으로 봄 나들이를 떠났다. 검은 컴퓨터들로 가득 차 있던 사무실과는 달리 푸른 하늘, 형형색색의 꽃들이 미소짓고, 따스한 햇살이 우리를 맞이하고 있는 남산. 그 정상을 향하여 나아가는 발걸음만으로도 NSHC 가족들의 얼굴은 한층 더 밝아졌다. 굽이 굽이 계단을 따라 타 부서 사람들과 조를 지어 함께 다녔다. 가끔 뒤쳐지는 사람들을 기다리고, 물병을 건네기도 하고, 서로의 땀을 닦아주며 평소에는 하지 못했던 이야기들도 나누는 모습들이 곳곳에서 보였다. 가족같은 회사라는 수식어에 역시 고개를 끄덕일 수 밖에 없었다. 남산 식물원에 이르러 잠시 쉬고 있을 때, 한 어르신께서 말을 걸어 오셨다. "어디서 오셨어요?" "회사에서 다 같이 봄 나들이 나왔어요" 라고 대답하자 "화기애애하고 좋은 회사같아 보이네요" 라고 말씀해주셨다. 지나가던 분들에게도 우리의 모습이 행복하게 비추어진 듯 하다. NSHC의 일원이라는 사실이 더더욱 자랑스럽게 느껴지는 순간이였다.명동역에서 출발해 이태원까지 함께한 5시간, 그리고 이어진 맛집 탐방까지. 회사 사람들하고도 친구들과 평소에 놀던 것처럼 놀 수 있다는 사실을 깨닫고, 바쁜 업무에 쫓겨 못다한 이야기를 하며 우리는 한 가족임을 다시금 느낄 수 있는 귀한 시간이였다. 앞만 보고 숨차게 달려가는 일상 속에서, 주위를 둘러볼 수 있는 여유를 가질 수 있었던 남산 워킹 데이. 이것이야 말로 NSHC가 가진 여느 IT 회사와 차별화된 문화가 있는 가족같은 직장이 아닐까 생각해본다. 올 가을엔 어떤 시간이 기다리고 있을까. Editor 커뮤니케이션 사업부 / 이보라 36 37
Red Alert. Android Game Hacking Red Alert 팀이 정리하는 안드로이드 게임의 공격 형태와 보안 거의 모든 사람들이 스마트폰을 사용하게 되면서 남녀노소 할것 없이 스마트폰 게임을 즐기고 있다. 이에 따른 게임 관련된 해킹 공격이 늘어남에 따라 피해사례가 늘어나고 있는 실정이다. 특히 사용자 수가 많은 안드로이드를 중심으로 공격이 많아지고 있는데 이에 대하여 알아보자. 게임공격의 게임공격은 실제로 금융권에 적용 가능한 공격들 위험성 게임이 사회적으로 갖는 위치는 그저 즐기기 위한, 실제적으로 생활에 도움은 되지 않는 것으로 외면 받는 것이 현실이다. 하지만, 게임에 관련되어 들어 오는 공격은 실제로 금융권에 적용이 가능한 공격들이며 이는 단지 게임이라 해서 무시 할 수 없다는 것을 인지 해야 된다. 스미싱, 피싱 공격들은 금전 취득을 위해 조직적인 집단들의 공격이지만 게임을 통한 공격은 그 게임을 하는 유저들, 그 중 공격하는 방법을 알고 있는 유저들은 여러 가지 방법을 모두 동원하여 공격을 수 차례 실시한다. 그 중 분명 생각지도 못한 취약점을 통해 뚫릴 수 있을 것이고 이를 커뮤니티 공유 사이트에 올리는 순간 그것은 해당 게임에서는 대중적인 공격방법이 되어버린다. 게임공격의 3가지 유형 이러한 공격을 막기 위해 보안 솔루션이 있지만 솔루션을 뚫고 공격을 시도 하는 것이 게임 공격 형태다. 어떻게든 우회하기 위해 시도하며 정보 공유와 횟수 또한 엄청나다. 이러한 공격이 현재 사용되고 있는 금융권 어플리케이션 혹은 사용되는 모든 어플리케이션에 적용이 가능하다면 과연 어떻게 될까? 현재 게임 보안 솔루션도 날로 강력해지고 있지만 이것을 뚫기 위해 게임 공격자들은 노력하고있다. 단지 게임이라는 이유로 무시될 수도 있지만 이제부터 소개할 게임 공격법을 들으면 간단히 무시할 수 없을 거라 생각한다. 게임공격은 주로 메모리 변조, 어플 위변조, 패킷 변조 게임 공격은 세이브파일 변조, 캐쉬파일 정보 노출, 인증정보 누출 등 여러 가지 방법이 있지만 주로 메모리 변조, 어플 위변조, 패킷 변조가 이루어 지며 이 3가지가 어떻게 공격이 이루어 지는지 알아보겠다. 메모리 변조 메모리 변조는 게임 상의 수치를 메모리에서 찾아 공격자가 원하는 수치로 변경하는 방법이며 이는 동적으로 메모리에서 특정 수치를 검색 후 게임상에서 해당 값을 변경 하여 바꿔진 값과 메모리 상에서 동일하게 바꿔진 값을 찾으며 원하는 값의 메모리 주소를 찾아가게 된다. 유니크한 값이 아닌 경우 처음 검색시 많은 주소가 나오기에 위 과정이 반복하여 메모리 주소를 줄여가며 찾는다. 위 과정으로 공격자가 원하는 값의 메모리 주소를 찾았을 때 주소의 값을 변경하여 공격자는 비정상적인 이득을 취할 수 있게 된다. 위에서 말한 3가지중 메모리 변조가 가장 많이 이루어 지는데 이유로는 검색 및 변조를 손쉽게 할 수 있도록 해주는 툴이 다양하게 있기 때문에 접하기 쉬우며 방법 또한 간단해 졌기 때문이다. [그림1]은 툴을 사용한 메모리 변조 과정이다. 이와 같이 툴을 이용하여 값을 변경 하며 원하는 수치의 값을 변조하여 게임을 수월하게 할 수 있게 활발한 안드로이드 공격 Site 된다. 이를 막기 위해서는 각 툴들의 검색 루틴과 변조 루틴을 막아야 되지만 이를 막는 솔루션들은 툴 혹은 디버깅으로 검색 및 변조를 하는 순간에만 검사를 하기 때문에 만약 공격자가 검색 및 변조를 하기 전에 게임 어플을 정지 시킨 후 검색 및 변조를 하게 된다면 쉽게 우회가 되므로 툴이 깔려있는지 실행 되어있는지 게임 도중에 실행되는지 확인 하는 것이 좋다. 하지만 이 방법도 보통 위 방법으로 검증을 하기 위해선 패키지명으로 검사를 하게 되며 이 또한 공격자가 툴의 패키지명을 변조 할 경우 검증하기 어렵다는 단점이 있다. 이를 보완하여 막을 수 있는 방법이 있다면 각 툴들의 특정 패턴 값을 검사하여 패키지명을 변조하더라도 보안솔루션 및 영구정지 계정을 우회하는 게시물들 검증이 되도록 하는 방법이 있겠다. 38 39
Red Alert. Android Game Hacking [그림3]은 게임 데이터를 수정하여 처음부터 거액의 돈을 가지고 시작하도록 한 것이다. 즉 같은 게임을 하더라도 일반 게임 유저와 다르게 상당한 이익을 가지고 시작할 수 있다. 이와 같이 어플 위변조는 바이트 코드나 소스를 직접 수정해야 되기에 만들기는 약간 까다롭지만 메모리 변조와는 다르게 한번 만들어진 어플을 배포가 된다면 다운 받아 사용하는 모든 이들이 이득이 생긴 상태에서 게임을 할 수 있다. 이런 어플 위변조를 막기 위해선 무결성 검증으로 막을 수 있지만 이 또한 무결성 검증을 우회 한다면 무력화가 된다. 이를 막기 위해선 무결성 검증하는 루틴을 보기 어렵게 만드는 방법이 있다. [그림1] 메모리 변조 과정 어플 위변조 어플 위변조는 단순히 어플의 데이터를 바꿔서 툴들이나 디버깅없이 정상적으로 설치 및 실행은 하나 실제 개발자의 의도와는 다르게 작동이 되어 공격자가 비정상적인 이득을 취할 수 있게 되는 방법이다. 보통 공격자들이 게임 소스 보단 smali파일을 변조하여 유료 버전의 검증을 우회하여 크랙 버전을 만드는 것에 많이 사용되며 더 나아가 게임소스가 컴파일된 SO 파일 혹은 swf 파일을 변조 하여 게임이 돌아가면서 개발자가 의도하지 않은 비정상적인 동작이 되도록 할 수 있다. [그림3] 어플 위변조로 게임 돈 수정 [그림2]는 공격자가 정상적인 Activity실행이 아닌 유료 버전의 검증 우회를 위해 생성한 Activity를 실행되도록 하기 위해 AndroidManifest.xml을 변조한 이미지다. 위 AndroidManifes t.xml 변조 이외에 이에 맞춰 smali 추가 및 수정을 하게 되면 유료 버전의 어플을 무료로 사용 할 수 있게 된다. 패킷 변조 패킷 변조는 인터넷을 이용하는 서버 게임에서 주로 사용된다. 게임 데이터나 메모리등 로컬단에서 수정하는 것이 아닌 통신을 주고 받을 때 사용되는 패킷을 변조하여 거짓 정보를 게임에서 받아 실제로 게임에 적용되도록 하는 방법이다. 패킷 캡쳐 후 패킷의 해더, URL, 바디를 복사하여 실제 패킷과 동일하게 만든 후 실제 게임을 하지 않더라도 경험치 및 돈 등을 획득하거나 패킷 데이터 중 특정 데이터를 변조하여 대량의 경험치 및 돈을 얻는 방식이 있다. [그림2] AndroidManifest.xml 변조 40 41
Red Alert. Android Game Hacking [그림4]는 경험치와 돈을 얻을 수 있는 패킷을 복사하여 게임에 계속 전송하는 화면이다. [그림4] 복사한 패킷 전송 화면 [그림5]는 복사한 패킷을 계속 받은 게임이 정상적으로 처리하여 돈과 경험치를 얻은 화면이다. 루팅을 근본적으로 막을 수 없는 현실속에, 앞서 설명한 세가지 공격을 막기 위해서는 NSHC에서 개발한 DX-Shield와 같은 게임전용 해킹방지 솔루션을 사용하는 방법이 있다. 하지만, 무엇보다 게임개발사와 사용자 양쪽의 노력이 필요하다. 게임개발사는 공격을 막기 위해 끊임 없는 보안기술을 게임에 적용하는 노력을 게을리 해서는 안된다. 마찬가지로 사용자 또한 자신의 스마트폰 게임이 언제나 공격에 노출 될 수 있다는 사실을 알고 주의하여 사용하도록 해야한다. 더불어 보안솔루션전문 회사에서는 새로운 공격에 대비하기 위해 항시 자사 솔루션을 진단하여 취약한 부분을 강화하고 최신 기술로 고도화 하는 것이 솔루션을 제공하는 회사의 의무라고 생각한다. NSHC 또한 스마트 보안 솔루션 전문 회사로서 최선의 의무를 다할 것을 약속드리며 이 글을 마친다. Editor Red Alert 팀 / 강동우 [그림5] 복사 패킷으로 얻은 돈과 경험치 이처럼 패킷을 복사하거나 패킷 데이터를 변조하는 것은 인터넷을 사용하는 네트워크 게임에서만 가능하다. 이를 막기 위해서는 게임 데이터를 관리하는 서버에서 검증을 하여 정상적이지 않을 경우 막는 형식이 안전하다고 말할 수 있다. 여기까지 가장 많이 사용되는 공격인 메모리 변조, 어플 위변조, 패킷 변조를 알아보았습니다. 위 방법들 중 가장 많이 이루어 지는 메모리 변조 공격은 루팅이 필수다. 그럼 루팅을 막으면 되지않아? 라고 생각 할 수 있겠지만 루팅 유저는 점점 늘어나고 있고, 이는 많은 유저를 확보해야 하는 게임사 입장에선 말도 안되는 행동이다. 그러기에 루팅이 되어있다는 전제 조건하에 게임 보안 솔루션이 생성되는 것이다. 루팅은 자신의 단말기 권한을 가져오는 것이고 단말기 주인으로써 당연히 가져야 되는 것이라고 생각할 수 있다. 42 43
Solution. Droid-X 3.0 세계 시장에 도전장을 내밀다! Droid-X 3.0 일본 BMT 도전기 세계 시장에서 인정받기 시작했다. 깐깐하기로 소문난 일본까지 진출 했다. 한국 드라마 이야기가 아니다. 바로! 세계 시장에 도전장을 내민 안드로이드 백신 Droid-X 3.0 이야기다. 이제, 보안솔루션의 한류가 시작되었다. Droid-X 3.0 시작과 현재 그리고 미래 심판대 앞에 서다. 사실 NSHC의 모바일(안드로이드, ios)백신은 일본의 N사를 통해 2011년 부터 일본의 금융권에 공급되어 사용중이라는 사실을 아는 이는 많지 않다. 국내에 익히 알려진 A사의 백신이 아닌, NSHC의 B2B 모바일 백신, 'Droid-X'는 일찍부터 일본 금융권에서는 글로벌 제품들과 함께 Enterprise시장에서 어깨를 겨루고 있는 셈이다. NSHC는 2013년 중순부터 모바일 백신(안드로이드)인 'Droid-X'의 고도화에 많은 노력을 기울여왔다. 'Droid-X'는 NSHC의 모바일 안드로이드 전용 AV(Anti Virus)솔루션으로 2010년 최초의 국내 금융권 APP에 적용 한 이래로 꾸준히 Reference를 넓혀왔고, 일본 시장 역시 2년전부터 공급을 늘려오고 있다. Tokyo, Japan 2014년 2월 25일 오후 2시 NSHC, 일본 도쿄에 가다. 2014년 2월 25일 오후 2시 NSHC 부사장과 엔지니어 일행은 일본 N사의 사옥 앞에 서서 건물을 물끄러미 바라보고 있다. 전날 저녁 도쿄의 그런 일본 시장에 이제 새로운 기능으로 무장한 신버전의 AV서비스인 "Droid-X 3.0"의 성능을 현장에서 평가받기위해 제휴사를 방문한 것이다. 일본 기업의 특성상 건물외관에 요란한 간판은 없었지만 먼지하나 없을 한 호텔에 도착한 일행은 당일 오전까지 '머피의 법칙'을 거스르며 듯한 깔끔한 실내는 일본의 꼼꼼한 기업분위기를 말해주는 듯하다. BMT준비로 피말리는 시간들을 보냈다. 드디어 오후 2시, 약속시간에 맞춰 협력사의 문앞에 당도한 것이다. 간단한 인사를 한 후 준비된 미팅룸으로 이동, BMT를 위한 준비에 들어갔다. 현장시현을 위한 Test Phone과 그것을 Projection TV중계를 통해 참관하는 사람들에게 보여줄 간단한 장치 연결등 준비가 끝나고 하나둘 사람들이 모이면서 BMT는 시작되었다. 이번 제품의 개발 개념과 특성 그리고 BMT환경에 대한 설명을 통해 우리 나름의 객관성을 담보하기위해 기울인 노력을 이야기 했다. 44 45
우리의 노력과 기술력에 일본 협력사 임직원들은 만족하는 눈치였다. 이렇게 기본적인 악성코드 검색 능력을 테스트해보고 2차로는 변종 악성코드에 대한 대응능력을 검증해보기로 하였다. 대부분의 AV엔진이 Solution. Droid-X 3.0 이번 현장에서 테스트하게될 AV서비스 샘플들은 새로운 엔진으로 무장한 NSHC의 "Droid-X 3.0"을 포함해 한국의 A사, 일본 시장에서 주목받는 글로벌 업체인 T사, N사, M사, K사등 총 6개사의 AV서비스 유료앱을 대상으로하였고, 테스트에 사용할 표준 악성코드 샘플은 AV서비스에 있어 가장 신망 받는 검증기관인 AVtest.org 2014년 1월 기준 표준 malware 샘플인 안드로이드 앱 2,721개를 기준으로 하였다. 테스트 방법은 3천여개나 되는 앱들을 하나의 폰에 설치할수는 없는 일이므로, 2,721개의 앱을 APK형태로 외장 메모리에 저장하고, 테스트용 AV APP을 모두 폰에 설치한 후, 하나씩 동작시켜 단말기를 스캐닝하여 NSHC Black List 기반의 악성코드 Scan을 기본기능으로 하기에 간단한 조작으로 악성코드의 변조를 통해 배포가 이루어질때 대응능력이 어느정도 되는가에 대한 지표가 이제는 매우 중요해졌기 때문이다. 2차 BMT로서 Test 하게될 변조의 방식은 모두 5가지(Debug signature, Add Files, Method source, Classes.dex scan, Extension changed)로서 일반적으로 많이 사용하는 변조기법을 대상으로 하였다. 현장에서 실제 변조APP을 해당 방식으로 만들어서 폰에 저장하고 스캐닝을 하는 방식으로 Test를 진행하였고 그 결과 변조 방식에 대한 대응수준은 NSHC와 M사가 가장 우수한 것으로 평가되었다. 폰에 설치되었거나 저장된 악성코드를 찾아내는 시간과 비율을 측정하는 방식으로 진행을 하였다. 약 3시간여에 걸친 숨죽이는 BMT시간이 지난후 질의응답 시간을 통해 미진한 부분을 설명하고나니 참석한 협력사 임직원들의 눈에는 만족한 빛이 역력하였고 결국 우뢰와 같은 박수로 BMT미팅을 마치게 되었다. 한류 보안의 선구자 NSHC 성공적인 BMT로 일본을 매료시키다. 성공적인 BMT의 결과 일본 시장은 올해 매출목표를 2배정도 상향 조정할 것을 자신하며 "Droid-X3.0"은 한국시장에 앞서 일본 시장에서 그 능력을 먼저 발휘하게 될 듯하다. 참고로 Droid-X 3.0은 뛰어난 악성코드 탐지능력과 함께 변조된 유사 악성코드에 대한 탐지능력이 탁월하여 현존하지않는 변조된 악성코드에 대한 방어율이 높고 글로벌 SDK를 통한 지속적인 악성코드 업데이트를 통해 AV서비스의 개념을 한단계 업그레이드 시킨 제품이다. 현재 Droid-X 3.0은 6월 부터 국내시장에 본격적으로 고객사를 중심으로 배포될 예정이며, 국내뿐 아니라 글로벌 시장에서 인정받는 AV제품으로서 물론 한번의 테스트가 끝나면 폰을 리부트 시켜서 전번 테스트로 인한 손색이 없는 NSHC의 또하나의 얼굴이 될 것이다. 영향을 최소화 하였고, 경우에 따라 너무 많은 시간이 걸리는 테스트는 중도에 드랍을 하기도 하였다. K사의 경우 Scanning시간이 너무 많이 걸려 중도에 멈췄다. 그 결과 측정 데이터를 살펴보면 알겠지만, Scanning 속도에서는 국내산 Editor 이윤승 부사장 AV솔루션이 월등히 좋은 결과를 나타내었고, 검색율에 대하여서는 제품마다 많은 차이가 있는 것을 알수 있었다. K사등 글로벌 제품의 생각보다 많이 저조했던 검색 속도 부분은 여전히 이해가 어려운 부분으로 남는다. 46 47
Service. nsecumon 웹사이트 위변조 경보 서비스 nsecumon - 엔시큐몬 웹사이트 위변조 경보 서비스(nSecuMon) 는 웹사이트 위변조 공격을 전방위로 탐지하여 고객사의 보안 담당자에게 관련 정보를 제공하는 서비스이다. 웹사이트 위변조 증가로 인한 2차 피해 발생 우려 자료에 따르면 국내 홈페이지를 대상으로 한 웹사이트 위변조 사고는 매년 10,000여 건 이상 발생하고 있다. 그리고 웹사이트 해킹 이후 악성코드 유포 및 경유 사이트로 악용되며 피싱 사이트로 위장하는 등의 피해를 입고 있다. 게다가 2차 피해 규모 또한 점점 커지고 있어 각별한 대책이 필요한 실정이다. 청와대 해킹 뉴스 보도 자료 - KBS 최근 신종 해킹기법과 자동화된 공격도구를 이용하여 특정 정치, 사회, 경제적 목적을 가진 개인이나 테러집단이 웹사이트를 해킹하는 사고가 증가하고 있다. 이는 웹사이트 위변조 공격은 단순한 해킹을 넘어 대규모 2차 피해를 발생시킬 가능성이 높은 범죄 행위가 되었다는 것이다. 웹사이트 위변조 공격은 해당 웹사이트의 서비스의 정상적인 운영을 방해하고, 기관 또는 기업의 신뢰도와 인지도에 큰 손상을 주고 있다. 그리고 웹사이트 사용자의 개인정보 유출에 대한 불안감과 위험을 증가시키고 있다. nsecumon - 웹사이트 위변조 경보 서비스 nsecumon은 웹사이트 위변조 경보 서비스로, NSHC의 서비스 사업본부에서 운영하고 있다. 모의해킹, 웹사이트 진단 등의 전문적 실무 기술력을 바탕과 정보 수집 능력으로 각 보안 담당자에게 관련 정보를 제공하고 있다. nsecumon 서비스 특장점 및 주요 기능 전세계 민간 해킹그룹 및 일반인의 제보로 정보 수집 및 축적 수집된 Raw Data를 기반으로 도메인 정보와 비교 분석하여 해당 국가 및 키워드 별 자동 분류 설정된 시간 단위로 데이터를 수집하여 실시간 모니터링.kr 이외에 com, net, org, tv, biz 등 도메인에 대한 조회를 통해 국내 도메인 확인 등록 국내 도메인이 아닌 경우 특정 키워드(Korea, Seoul 등) 등록을 통한 실시간 모니터링 국내 도메인 외 특정 국가의 웹사이트 위변조 경보 서비스를 제공 가능 SMS / E-mail 연동으로 고객사 도메인 침해사고 발생시 실시간으로 SMS, E-mail 발송 2013년 해킹신고 접수 현황 보안 장비(ESM, IDS, IPS)와 연동하여 실시간 경보 제공 프리미엄 고객사 맞춤 서비스 제공 가능 서비스 문의 : 보안사업부 박순호 차장 / nsec@nshc.net 48 49
Solution. DexGuard 솔루션 문의 : 보안사업부 한정훈 부장 / sales@nshc.net 50 51
Event N MAGAZINE 이벤트 알쏭달쏭 퀴즈, 두개의 정답을 보내주시면 푸짐한 선물을 드립니다. Q1. NSHC에서 매년 진행하는 재능기부 워크숍은 어느 나라로 가나요? 1 콜롬비아 2 캄보디아 3 말레이시아 Q2. NSHC에서 새롭게 시작한 '웹페이지 위변조 경보서비스' 는? 1 webhacking 2 defacing 3 nsecumon <N MAGAZINE> 에 대한 감상평을 보내주세요. 이번호에 대한 의견, 남기고 싶은 이야기 등 독자 여러분의 재미있는 아이디어와 다양한 후기를 보내주시면 추첨을 통해 10분께 푸짐한 선물을 드립니다. 적극적인 참여를 부탁드립니다. 참여방법 NMAG@nshc.net 으로 이메일을 보내주세요. 2014년 통권 제2호 발행일 2014년 6월 발행처 (주)NSHC 발행인 허영일 기획 보안컨설팅사업부 (주)NSHC www.nshc.net 437-060 경기도 의왕시 광진말길 55 N스퀘어 T 031.458.6456 F 031.458.6458