이메일을 이용한 어도비 CVE-2009-0927 취약점 악성코드 유포

ASEC에서는 2012년 8월 21일 어제 CVE-2009-0927 취약점을 악용하는 어도비 리더(Adobe Reader) 파일인 PDF 파일이 이메일에 첨부되어 국내에 유포된 사실을 확인 하였다.

해당 CVE-2009-0927 취약점은 2009년 3월 어도비에서 보안 권고문 "APSB09-04 Security Updates available for Adobe Reader and Acrobat"을 통해 이미 보안 패치가 배포 중인 취약점이다. 그리고 해당 취약점을 악용하여 취약한 PDF 파일을 유포하는 공격 형태는 2009년 10월부터 지속적으로 발견되어 왔다.

2009년 10월 9일 - 어도비 PDF 제로 데이 취약점 공격 악성코드 발견

2009년 10월 16일 - 새로운 어도비 취약점 웹 사이트를 통해 유포

2009년 11월 10일 - 타켓 공격에 악용된 취약한 PDF 악성코드

2010년 11월 25일 - 이메일로 유포된 랜섬웨어를 다운로드하는 제우스

이 번에 발견된  CVE-2009-0927 취약점을 악용하는 취약한 PDF 파일은 이메일에 첨부된 형태로 유포되었으며, 동일한 취약점을 파일명과 문서 내용만을 변경하여 유포되었다.

현재 확인된 취약한 PDF 파일은 총 2개로 열게 되면 아래 이미지와 같은 내용들이 보여진다.

공문국방무기체계사업관리교육9월교육과정입교희망자파악.pdf (408,766 바이트)

공문과학적사업관리기법확대적용및EVMTool소개교육안내.pdf (458,902 바이트)

해당 문서들을 어도비에서 배포한 보안 패치를 설치하지 않은 취약한 버전의 어도비 리더를 사용하는 시스템에서 열어보게 될 경우 AdobeARM.dll (32,768 바이트)와 webios.dll (8,704 바이트) 파일들이 생성된다.

C:\Documents and Settings\[사용자 계정명]\Local Settings\Temp\AdobeARM.dll

C:\WINDOWS\system32\webios.dll

다음의 레지스트리 키를 생성하여 생성한 webios.dll (8,704 바이트) 를 윈도우 서비스로 등록하여 감염된 시스템이 재부팅 되더라도 자동 실행되도록 구성한다.

HKLM\SYSTEM\ControlSet001\Services\6to4\Parameters\ServiceDll 

= "C:\WINDOWS\system32\webios.dll"     

그리고 감염된 시스템에 존재하는 정상 svchost.exe 파일을 로드하여 webios.dll (8,704 바이트) 을  해당 정상 svchost.exe의 프로세스에 인젝션하게 된다. 스레드 인젝션이 성공하게 되면 미국에 위치한 특정 시스템으로 접속을 시도하게 된다.

미국에 위치한 특정 시스템과 정상적인 통신에 성공하게 된다면 공격자의 명령에 따라 키보드 입력을 가로채는 키로깅(Keylogging)과 원격 제어 등의 기능을 수행하게 된다.

이번 방위산업 관련 문서 내용을 가지고 있는 CVE-2009-0927 취약점을 악용하는 어도비 리더 PDF 파일과 관련 악성코드들은 V3 제품군에서 모두 다음과 같이 진단한다.

PDF/Exploit

Trojan/Win32.Dllbot 

Win-Trojan/Dllbot.8704

APT 전문 대응 솔루션인 트러스와쳐(TrusWatcher)에 포함된 DICA(Dynamic Intelligent Content Analysis)에 의해 시그니처 없이 탐지가 가능하다.

향후 출시 예정인 V3 인터넷 시큐리티(Internet Security) 9.0 에 포함 예정인 ASD 2.0의 MDP 엔진에서도 시그니처 없이 다음과 같이 탐지가 가능하다.

Dropper/MDP.Exploit (6)

앞서 언급한 바와 같이 이번에 발견된 CVE-2009-0927 취약점을 악용하는 어도비 리더 PDF 파일들은 2009년에 발견된 취약점을 악용하고 있으며, 이미 어도비에서 보안 패치를 배포 중에 있다.

그러므로 어도비에서 배포하는 보안 패치 설치를 통해 해당 CVE-2009-0927 취약점을 악용하는 악성코드의 감염외에도 다른 어도비 관련 취약점을 악용하는 악성코드들의 감염도 예방 할 수 있다.