보안사고 역사 새로 쓸 초대형 보안 사고

출처 : 네트워크 타임즈 2013.04

- 안랩과 하우리는 피해고객 업데이트 서버에서 계정탈취 흔적을 발견해 서버 관리자 계정이 유출돼 해커가 

   업데이트 서버를 통해 악성코드가 전파되도록 한 것으로 분석

- 미국, 유럽, 아시아 지역 4개국을 통해 악성코드가 배포됐는데, 이 지역 내의 서버가 해킹을 당해 악성코드를

   숨겨놓은 경유지로 악용된 것으로 추정

- 피해기관의 관리자 계정을 해킹한 후 업데이트 서버를 통해 악성코드를 유포시켜 시스템에 장애를 일으키

   고 HDD 를 파괴하는 피해를 일으킨 것으로 보임

- 공격자가 어떤 경로로 업데이트 서버의 관리자권한을 탈취했는지 아직 밝혀지지 않았음

농협의 경우, 농협이 사용하는 안랩 자산관리 서버의 특정 버전에서 관리자계정 우회 취약점이 있었다고 함. 또한 특정 개발자 계정을 사용할 경우에도 우회할 수 있는 취약점이 있었다고 함

국정원 직원한테서 들음

- 사고를 일으킨 악성코드는 시스템파괴형 트로이 목마 자크라(Trojan Horse/Trojan.Jokra), 

   킬러MBR KillMBR-FBIA and Dropper-FDH), Win-Trojan/Agent.24576.JPF 등

- 이 악성코드는 백신 프로그램을 회피해 다운로드 된 후 DOS 에서 실행되고 자가삭제된다.

- 악성코드 감염도(출처 : 네트워크 타임즈)