▲
kunggom 2023-03-31 | parent | ★ favorite | on: 막다른 골목에 다다른 한국의 온라인 보안 실태(palant.info)

최근 이니텍 INISAFE CrossWeb EX V3을 사용한 해킹 공격이 있었다는 사실이 발표되었습니다.

국정원에 따르면 국정원과 경찰청, 한국인터넷진흥원(KISA), 국가보안기술연구소는 작년 말 북한이 KT[030200] 그룹 금융·보안 전문기업 이니텍의 금융보안인증 소프트웨어 '이니세이프' 취약점을 악용해 국가·공공기관 및 방산·바이오업체 등 국내외 주요기관 60여 곳의 PC 210여 대를 해킹한 사실을 확인했다.
해킹에 악용된 소프트웨어는 전자금융 및 공공부문 인증서인 '이니세이프 크로스웹 EX V3 3.3.2.40' 이하 버전으로, 국내외 1천만 대 이상의 기관과 업체, 개인 PC에 설치되어 있는 것으로 추정된다.

국정원은 “올해 1월 긴급 대응에 착수, 해당 악성코드의 작동 원리 등에 대한 상세 분석을 완료했다”며 “해당 분석 자료를 근거로 A사와 협조해 실제 공격-방어 시현을 진행하는 등 보안 패치 개발을 완료했다”고 했다.

이니텍은 지난 1월 독일 보안 전문가 블라디미르 팔란트(Wladimir Palant)가 국내 금융보안 SW 상당수에 문제가 있다고 지적하는 게시글의 이미지에 자사 제품이 있어 취약점 점검에 나섰다가 문제가 된 취약점을 발견했다는 입장이다.
이니텍 관계자는 “취약점 발견 후 이를 보완하는 와중에 국정원에서 연락이 왔다. 2월20일 문제가 된 취약점을 완화하는 보안패치 개발을 완료해 배포 중이다. 현재 40%가량의 기업들이 패치를 완료한 상태다. 다만 아직 모든 기업이 패치를 마치진 않은 상태라 지속해서 업데이트를 하도록 권고하고 있다”고 말했다.

당연한 이야기지만, 이 제품만 문제일 리는 없습니다. 제가 알기로 최근에 국내 공인인증서 프로그램에서 보안취약점이 발견되었다는 소식이 적어도 2건은 더 있거든요. 심지어 하나는 북녘 정보전사 동무의 손길이 이미 닿았다고 합니다.

이밖에도 VestCert를 종료하고 제거할 때는 일정한 순서에 따라 진행하는 것이 필요하다. 먼저 프로세스 종료는 작업관리자의 프로세스 탭에서 Goji를 먼저 종료 후 VestCert를 종료해야 한다. 이후 [제어판]-[프로그램]-[프로그램 및 기능]에서 VestCert 버전 확인 후 ‘제거’를 클릭해 완전히 삭제한다.

라자루스 해커그룹은 MagicLine4NX 취약점을 통해 svchost.exe 프로세스에 인젝션한 후, 악성 프로그램을 다운로드해 실행했다. 따라서 취약한 버전의 MagicLineNX가 설치돼 있는 경우에는 즉시 삭제 조치할 필요가 있다.