2023 Hot🔥 보안 사건 사고 — 하반기

2023년 하반기 주요 보안 사건과 취약점. Cisco IOS XE, JetBrains TeamCity, MOVEit 익스플로잇, iPhone Zero-Click 공격 등 기업과 개인이 주의해야 할 보안 위협과 대응 방안을 살펴보세요.

Frontier Squad

Dec 10, 2023

Contents

개요 1. Cisco 1.1 Reference 2. JetBrains TeamCity 2.1 Reference 3. MOVEit exploit campaign 3.1 Reference 4. NSO Group iPhone Zero-Click (BLASTPASS)4.1 Reference 5. Auto-GPT RCE, Sandbox escape 5.1 Reference 6. 끊이지 않는 보안 전문가 대상 NK 캠페인 6.1 Reference 마치며 About Theori Security Assessment

개요

2023년도 어느새 끝을 향하고 있습니다. 티오리 Security Assessment 팀에서는 이전 포스팅을 통해 앞선 상반기 동안 눈여겨 봐야할 보안 사건/사고에 대해 소개드린 바 있는데요! 이번 시간에는 2023년 하반기 중 발생했던 보안 취약점 및 사건/사고들을 살펴보고 이들이 어떤 의미를 갖고 있는지, 그리고 해당 보안 이슈들을 어떻게 대처하고 있는지 자세히 알려드리고자 합니다.

1. Cisco

기업 및 기관 환경에서 네트워크 인프라 관리에 가장 많이 사용되는 라우터 및 스위치 제조업체는 단연 Cisco라고 말할 수 있을텐데요! 실제로 시스코 이더넷 스위치 장비는 시장 점유율이 43%에 달할 정도로 시스코는 전 세계적으로 네트워크 인프라에 널리 사용되고 있습니다.

그런데 올해 10월 Cisco 라우터 및 일부 스위치에서 사용되는 운영체제인 IOS XE 소프트웨어들에서 권한이 없는 사용자가 웹 관리자 권한 뿐 아니라 기기의 root 권한까지 탈취할 수 있는 크리티컬한 취약점들이 발견되었습니다. 10월 16일에 처음 공개된 해당 취약점들(CVE-2023–20198, CVE-2023–20273)은 Web UI 기능이 활성화 되어 있는 모든 장비들에 공통적으로 존재하며, root 권한으로 디스크(파일 시스템)에 쓰기 권한을 획득할 수 있는 CVE-2023–20273을 사용하지 않고, CVE-2023–20198만을 사용해도 서버 접근 권한이 없는 공격자가 서버에 최고 관리자 권한인 privilege level 15를 가진 사용자를 생성할 수 있으며, 이를 통해 기기 전체에 대한 권한을 획득할 수 있습니다.

이후 SECUINFRA Falcon과 Cisco Talos 팀들이 공개한 자료에 따르면 취약점이 발견된 이후 현재까지도 이를 악용한 공격이 다수 발생하고 있다고 합니다. Honeypot을 통해 직접 공격 시도를 확인한 SECUINFRA에 따르면 해당 취약점을 통해 관리자 계정을 생성한 뒤 해당 계정을 통해 서버에 악성 행위를 하거나, 웹서버 재시작 시 실행되는 악성 Lua 스크립트(임플란트)를 드롭하는 방식으로 잠재적인 악성 행위를 수행하는 등, 다양한 방식으로 공격이 전개되어 왔음이 추가로 확인되었습니다.

해당 취약점 발견 직후에는 패치가 공개되지 않아, Web UI를 즉시 비활성화하고 침해지표, Indicators of compromise (IOC)가 존재하는 경우 서버 재시작 시 또다른 멀웨어가 실행되거나 침해 증거 등이 사라질 수 있으므로 재시작보다는 해당 서버에 연결된 다른 인프라가 영향을 받지 않았는지 확인한 뒤 서버를 격리하도록 권고하고 있습니다.

현재는 CIsco Security Advisory를 통해 패치 릴리즈 및 권고 사항 등을 추가로 확인하실 수 있습니다.

앞서 말씀드린 바와 같이 국내에도 많은 기업들이 네트워크 인프라 구성을 위해 잘 알려진 Cisco 라우터 및 스위치를 사용하는 경우가 많습니다. 하지만 도입 이후 라우터와 스위치를 포함한 네트워크 인프라에 대한 필수적인 보안 패치 뿐 아니라 전반적인 관리가 미흡한 경우가 많습니다.

네트워크 인프라가 공격자에 의해 탈취될 경우, 해당 인프라를 사용하는 조직의 모든 정보가 유출 및 변조될 수 있으므로 그 심각성을 고려하여 기업 및 기관들에서는 이러한 취약점 및 패치에 항상 각별한 주의를 기울여 문제 발생을 막고, 잠재적인 피해를 최소화 하기 위해 항상 노력해야합니다.

1.1 Reference

2. JetBrains TeamCity

개발자 혹은 IT 업계에 관심이 있으신 분이라면 CI/CD에 대해 들어보셨을텐데요! CI/CD란 개발 및 배포 프로세스를 효율적으로 관리하기 위한 DevOps 방법론의 핵심 요소 중 하나로, 자동화된 빌드 및 배포를 통해 소프트웨어 품질을 향상시키고 개발 주기를 단축시키는 방법입니다.

JetBrains TeamCity는 이러한 CI/CD 파이프라인을 지원하는 소프트웨어들 중 하나로 Jenkins, CircleCi, Bamboo, GItLab 등과 함께 시장에서 가장 널리 사용되고 있는 도구입니다.

그런데 올해 9월 21일, JetBrains에서 On-Premise (Server) 버전의 Windows 운영체제 기반 TeamCity 소프트웨어에 크리티컬한 보안 취약점(CVE-2023–42793)이 발견되었음을 알렸습니다. 해당 취약점을 통해 접근 권한이 없는 공격자가 TeamCity 서버에 HTTP(S) 요청을 통한 원격 코드 실행(Remote Code Execution) 공격을 수행하여 팀시티 서버의 관리자 권한을 얻을 수 있으며 익스플로잇 난이도 또한 매우 쉽고, 해당 취약점이 패치(2023.05.4)이전의 모든 버전 소프트웨어에 영향을 미치는 것으로 확인되었습니다.

해당 취약점의 디테일과 PoC 또한 이미 여러 매체를 통해 다수 공개되어 있으므로, 구체적인 공격 벡터 및 디테일이 궁금하시다면 아래 첨부한 링크를 통해 확인하실 수 있습니다.

해당 공지 이후 10월 18일경 업데이트 된 아래 추가 포스팅을 통해 더욱 충격적인 사실들을 접할 수 있었는데요! SonarSource 취약점 연구 팀에서 해당 취약점을 최초 발견한 뒤 보고를 통해 패치가 이뤄졌으나, Microsoft Threat Intelligence 센터가 분석을 통해 해당 취약점이 다수의 북한 해커 조직에 의해 실제로 악용되었음을 JetBrains에 알려왔다는 내용입니다.

Microsoft가 공개한 자료에 따르면 기존에 다양한 루트를 활용한 공급망 공격(Supply Chain Attack)을 수행해왔던 Diamond Sleet (ZINC)과 Onyx Sleet (PLUTONIUM)이라고 명명된 두 그룹의 북한 해커 조직들이 2023년 10월 초부터 해당 원격 코드 실행 취약점을 통해 다수의 TeamCity 서버를 공격헀다고 합니다.

여기서 살펴볼만한 점은 점은 두 그룹이 같은 취약점을 사용했으나, 이후 서버를 장악하는 등 공격을 전개하는 방식이 달랐다는 것인데요! Diamont Sleet은 아래 그림과 같이 서버 장악 이후 ForestTiger 백도어와 DLL Search Order Hijacking 공격을 사용한 반면 Onyx Sleet의 경우 피해자 서버에 계정을 생성한 뒤 RDP를 통해 서버에 접근하고 LSASS 메모리, 브라우저 데이터 등을 포함한 다양한 크리덴셜 추출 및 추가적인 공격을 위한 C&C 서버와의 연결 생성 등 조금 더 메뉴얼한 방식의 공격을 수행했습니다.

Diamond Sleet attack chain 1 using ForestTiger backdoor

Diamond Sleet attack chain 2 using DLL search order hijacking

Onyx Sleet attack chain with user account creation

Microsoft에서는 해당 포스팅을 통해 공격 디테일 뿐만 아니라 공격 사실을 확인할 수 있는 침해지표, Indicators of compromise (IOC) 뿐 아니라 해커 조직의 침투를 확인할 수 있는 방화벽(Microsoft 365 Defener) 쿼리까지 함께 제공하고 있습니다.

다행히 JetBrains에서 직접 관리하는 TeamCity Cloud 및 리눅스 기반의 소프트웨어에는 해당 취약점이 영향을 미치지 않아 더 큰 사고로 이어지지는 않았습니다. 하지만 이와 같은 CI/CD 솔루션 취약점으로 인한 공급망 공격은 서버 사용자의 모든 정보와 작업물 및 자산에 대한 접근 및 변조 가능성을 내포하고 있으므로 매우 치명적일 수 있으며, 이러한 0-day 및 1-day 취약점으로 인한 피해를 막기 위해서는 사용하고 있는 솔루션에 대한 철저한 관리가 필요하며, 공개되는 보안 패치 및 업데이트를 최대한 신속하게 수행해야 합니다.

해당 포스팅 이후 개발자 및 DevOps 관점에서 지켜야 할 CI/CD 보안에 대한 이야기를 다시 한번 다룰 예정이니 많은 관심 가져주시면 감사하겠습니다.

2.1 Reference

3. MOVEit exploit campaign

2023년 5월을 시작으로 2023년 하반기까지, 악성 랜섬웨어 공격 조직으로 이름이 알려진, Cl0p 랜섬웨어 그룹이 MOVEit 프로그램에 대해 익스플로잇 캠페인을 진행하여 기업 내 데이터 및 고객의 식별 정보를 탈취하였습니다. MOVEit은 기업용 파일전송 소프트웨어이며 암호화, 변조 방지 로깅, 그리고 활동 로그 등을 제공하고 있어 수 많은 기업들이 이미 사용하고 있는것으로 알려져 있습니다.

하지만, 이렇게 많은 기업들이 사용하고 있는 소프트웨어가 해킹당한다면 무슨 일이 벌어질까요? 2023년 11월 20일 기준, MOVEit 프로그램의 제로데이 익스플로잇을(CVE-2023–34362) 통해 654개의 기업이 영향을 받은 것으로 알려졌습니다.

해당 취약점은, Pre-auth SQL Injection 취약점이였으며 공격자는 이를 악용해 최종적으로 웹쉘을 업로드해 원격 코드 실행(Remote Code Execution) 까지 도달할 수 있었습니다. 해당 취약점을 통한 익스플로잇 과정은 간략히 다음과 같이 이루어질 수 있었습니다.

Pre-auth SQL Injection: 게스트가 접근 가능한 페이지에서, 이메일 주소 목록을 전처리하는 코드의 로직을 악용해 SQL 구문으로 인식되도록 하였습니다.
관리자 권한 획득: 앞선, SQL Injection 취약점을 통해 sysadmin 계정의 토큰을 임의로 변경하였습니다.
Deserialization 취약점 악용: 파일을 업로드할 때 사용하는 Comment에, 악성 직렬화된 입력값을 넣은 뒤 업로드를 재개하여 역직렬화 취약점을 트리거 하였습니다.
웹쉘 파일 생성: 위의, Deserialization 취약점을 트리거 할 때, 임의 클래스를 인스턴스화 시킬 수 있기 때문에, 악성 파일을 생성하는 직렬화된 입력값을 작성하였습니다. 그 결과, 원하는 경로에 원하는 파일을 생성할 수 있게 되었습니다.
원격 코드 실행: 웹쉘이 생성된 뒤, 공격자는 임의의 명령어를 실행할 수 있는 권한을 획득하였습니다.

이러한 MOVEit의 취약점이 악용된 결과, 주로 해당 프로그램을 널리 사용하고있는 미국의 은행, 교육 기관, 공공 기관 등이 공격 타겟이 되었습니다.

사이버 위협은 우리가 흔히 알고 있는 것처럼 단순히 자사 제품의 코드/운영 보안 결함으로만 인해 발생할 수 있는 문제가 아니라, 내/외부에서 운영 및 협업 도구를 활용하는 모든 기업에서 직면할 수 있는 심각한 문제임을 인식해야 합니다.

특히, 이러한 보안 사고는 다른 기업에도 큰 영향을 미칠 뿐만 아니라 자사 제품에 대한 신뢰성을 해칠 수 있기에, 피해를 선제적으로 최소화 하기 위해 제품을 개발하는 기업에서는 보안에 적극적으로 투자해야 하며, 소프트웨어를 개발하는 초기 단계부터 장기적인 관점에서 안전한 시스템을 설계하기 위한 보안 사항들을 신중하게 고려해야합니다.

3.1 Reference

4. NSO Group iPhone Zero-Click (BLASTPASS)

아이폰은 세계적으로 널리 사용되는 스마트폰으로, 강력한 보안 기술을 통해 사용자의 개인 정보를 안전하게 보호하고 있습니다. 하지만, 9월 7일 애플은 2개의 심각한 취약점을 패치한 iOS 보안 업데이트를 긴급히 배포했습니다.

위 2개의 취약점 CVE-2023–41061, CVE-2023–41064은 NSO 그룹이 만든 Pegasus Spyware를 이용하여 아이폰 이용자를 대상으로 활발하게 사용되어 왔으며, 이를 citizenlab과 apple이 발견했습니다.

CVE-2023–41061은 사용자가 결제 카드, ID, 이벤트 티켓, 여행 티켓 등을 저장할 수 있는 Apple PassKit의 Wallet Framework에서 유효성 검사에 취약점이 존재했습니다. 이로 인해 악의적으로 제작된 첨부 파일로 임의 코드를 실행할 수 있습니다.
CVE-2023–41064는 Apple ImageIO Framework에서 Buffer Overflow 취약점이 존재했습니다. 이로 인해 악의적으로 제작된 이미지를 처리하면서 임의 코드를 실행할 수 있습니다.

NSO 그룹은 아이폰의 iMessage를 이용하여 특수하게 조작된 이미지를 피해자에게 전달하면, 피해자의 아이폰에 어떠한 상호작용 없이(Zero-Click) 임의 코드가 실행되어 굉장히 위험한 취약점 입니다. 애플은 해당 취약점에 대해 iOS를 긴급히 업데이트할 것을 권고 했으며, 만약 업데이트 할 수 없는 상황이라면 Lockdown Mode를 활성화 하는 것을 권장했습니다.

위 취약점에 영향을 받는 모델은 다음과 같습니다.

iPhone 8 이상
iPad Pro (모든 모델)
iPad Air 3세대 이상
iPad 5세대 이상
iPad mini 5세대 이상

한편, NSO 그룹은 2021년도에도 Zero-Click iMessage 취약점을 악용한 사례가 있으며, 이에 대한 자세한 설명은 Google Project Zero 팀에서 작성한 문서를 참고 하시면 됩니다.

4.1 Reference

5. Auto-GPT RCE, Sandbox escape

Auto-GPT는 오픈 소스 AI agent로, 이제는 일반인들도 널리 알려진 OpenAI 사의 Chat-GPT와 동일한 GPT-4, GPT-3.5 모델을 사용하는 AI application입니다. 근래에 Chat-GPT를 필두로 자연어 기반의 프롬프트로 명령어를 실행하고, 명령에 따른 결과를 도출해내는 AI가 상용화되기 시작하면서 IT직군이 아닌 일반인들도 Auto-GPT와 같은 AI agent를 사용하려는 수요가 급증했습니다.

그런데 2023년 6월경, 오픈소스 AI agent로 많은 관심을 받던 Auto-GPT에 프롬프트 인젝션을 통한 원격 코드 실행(Remote Code Execution, RCE) 및 Auto-GPT Docker 이미지의 취약점, 파이썬 코드 샌드박싱 미흡 문제 등으로 인해 Docker container를 탈출하여 호스트에까지 영향을 미칠 수 있는 사례가 공개되었습니다.

발견된 취약점은 크게 3가지입니다.

JSON 인코딩된 ANSI control sequences 잘못된 디코딩으로 인한 모델 로그 노출(CVE-2023–37275)
docker-compose.yml 에서 마운트할 파일 위치를 지정하지 않아 발생하는 docker escape (CVE-2023–37273)
execute_python_code 커맨드에서 발생하는 Path traversal (CVE-2023–37274)

위 3가지 취약점과 Auto-GPT와 같은 프롬프트 기반 AI agent의 특성을 사용하여 최종적으로 AI agent 사용자의 호스트에서 악의적인 코드를 실행할 수있는 시나리오는 다음과 같습니다.

프롬프트 인젝션을 통해 Auto-GPT에 악의적인 웹사이트를 브라우즈하게 한다.

Auto-GPT는 사용자가 프롬프트를 입력하면, 프롬프트를 해석하여 실행할 명령어를 선택합니다. 명령어에는 execute_python_code, execute_python_file, write_to_file, browse_website 와 같이 AI agent가 동작중인 환경에서 코드나 파일을 실행하거나 파일을 쓰는 작업, 웹 사이트를 접속하는 등의 작업도 허용됩니다. 공격자가 프롬프트 인젝션을 통해 사용자가 입력한 프롬프트가 browse_website를 실행할 때 공격자의 악의적인 웹사이트를 브라우즈하게 합니다. 뒤이어 악의적인 웹 사이트가 Auto-GPT에서 브라우징되면 악의적인 코드가 실행되도록 합니다.

일반적으로 Auto-GPT는 명령을 실행하기 전에 실행을 허용할지 사용자에게 인가를 요구하기 때문에 위와 같은 코드는 실행되기 전에 사용자의 승인을 요구합니다. 그러나 사용자가 만약 매번 승인해주는 것이 번거롭거나 코드 실행 결과를 즉각적으로 확인하기 위해 continuous mode를 사용한다면 악성 코드가 즉각적으로 실행되어 사용자와의 상호작용 없이도 공격에 성공할 수 있습니다.

ANSI control sequences 디코딩 취약점을 이용하여 Auto-GPT 로그에 기록된 정보를 획득한다.

만약 악의적인 웹 사이트를 브라우즈하면서 실행한 코드가 ANSI control sequences 디코딩 취약점을 이용한 익스플로잇 코드라면 공격자는 프롬프트에 기록된 사용자 정보 등 로그에 기록된 정보를 확인할 수 있습니다.

execute_shell, execute_shell_popen 와 같은 명령어를 통해 허용되지 않은 명령어 실행

execute_shell,execute_shell_popen 명령어는 명시적으로 설정해주어야만 실행가능하기 때문에 해당 명령어가 설정되어 있어야 공격이 가능합니다. 두 명령어를 통해 whitelist/blacklist 로 실행가능한 명령어와 실행 불가능한 명령어를 설정해줄 수 있습니다. 그러나 whitelist/blacklist로 모든 명령어가 완벽하게 검열되지 않기때문에 프롬프트 인젝션을 통해 프롬프트를 명령어를 변환할 때 가능한 명령어 뒤에 불가능한 명령어를 따라오도록 조작하면 whitelist/blacklist를 우회하고 명령어를 실행할 수 있습니다.

공격자가 원하는 docker-compose.yml을 추가하여 docker escape

Auto-GPT의 git repo에 포함된 docker-compose.yml 파일에는 마운트할 파일위치를 지정하지 않기때문에 만약 사용자가 해당 파일을 이용하여 Auto-GPT서버를 빌드했다면 execute_shell,execute_shell_popen 명령어나 execute_python_file, execute_python_code 명령어를 통해 공격자가 원하는 docker-compose.yml을 원하는 파일로 덮어쓰고 이를 실행하여 docker를 탈출할 수 있습니다.

Path traversal 취약점을 이용하여 파이썬 코드 실행 후 sandbox escape

프롬프트를 통해 execute_python_code 명령어를 실행할 수 있습니다. 그러나 v0.4.1 이전의 버전에서는 Path traversal 취약점이 발생하기 때문에 해당 취약점을 이용하여 워크 스페이스 밖의 파일을 덮어쓸 수 있습니다. 이를 이용하면 autogpt/main.py 처럼 사용자가 Auth-GPT 실행을 위해 매번 실행하는 파일을 덮어써서 공격자의 코드가 매번 실행되게하여 파이썬 코드가 실행되는 sandbox를 탈출할 수 있습니다. 이를 통해 호스트에서 원하는 코드를 실행할 수 있습니다.

이처럼 AI agent를 사용할 때에 편의를 위해 continuous mode를 사용하거나 플러그인, 설정에서 default로 오픈된 명령어 외의 특정 명령어를 명시적으로 활성화하면 프롬프트 인젝션을 통해 공격당할 수 있습니다. 물론 whitelist나 blacklist를 통해 실행가능한 명령어를 제한할 수 있지만 이 방법 또한 프롬프트를 완벽하게 sanitize 할 수는 없기 때문에 설정해 둔 whitelist, blacklist 검증을 무조건적으로 신뢰해서는 안됩니다.

따라서 AI agent를 온프레미스 환경에서 사용할 때는 적어도 continuous mode나 플러그인, 그리고 기본 설정보다 더 많은 명령어를 사용할 수 있게끔 하는 것을 지양할 필요가 있습니다. 또한, 편의성을 위해 AI에게 코드 실행 권한을 부여하는 것이 실제로 어떤 권한을 부여하는 것인지 확실히 인지하고 AI agent 사용 시 보안성에 대해 한 번 더 제고해보는 노력이 필요합니다.

5.1 Reference

6. 끊이지 않는 보안 전문가 대상 NK 캠페인

지난 2021년 1월 구글 위협 분석 그룹(TAG)에서 북한 정부 지원 집단에서 보안 전문가를 대상으로 한 캠페인에 대해 공개하였습니다. 해당 캠페인은 지난 2년동안 계속되어 최근까지도 지속되어 왔는데요, 최근에도 같은 배후로 추정되는 새로운 캠페인이 공개되었습니다.

해당 캠페인은 기존과 동일하게 소셜 미디어를 통해 보안 전문가들과 관계를 구축하고 0-day와 같은 익스플로잇을 활용해 공격하는 기존 방법 외에도 오픈소스 프로젝트에 악성코드를 심어 배포하는 방식의 공격도 함께 수행하고 있었습니다. 특히 보안 전문가들이 리버스 엔지니어링 및 디버깅을 위해 필요한 브라우저, 커널 등의 심볼을 다운로드받을 때 많이 사용하는 Windows 도구를 제작하여 깃허브에서 소스코드와 함께 릴리즈 바이너리를 함께 업로드 해둠으로써 악성 코드를 배포하였습니다.

깃허브에서는 GetSymbol 프로젝트를 통해 악성 코드가 배포되고 있었으며, 릴리즈 바이너리에는 외부 C2 서버와 통신하며 임의의 코드를 실행할 수 있는 백도어가 포함되어 있었기 때문에 해당 도구를 이용했던 이용자들은 유출 가능성이 존재하는 자산에 대해 이미 탈취된 것으로 판단하고, 기기를 교체하거나 OS를 초기화 해야하는 번거로움을 겪었습니다.

보안 연구를 진행하는 개인을 대상으로 한 캠페인 및 공격이 수 년째 지속되고 있는 만큼, 이러한 위협에 항상 유의하고 인터넷 상에서 도구 등을 다운로드받아 사용할 때에는 신뢰할 수 없는 공급책에서 배포되거나, 소스코드를 리뷰하고 직접 빌드하지 않은 바이너리에 대해서는 사용을 지양하고, 사용에 있어서도 최대한 보수적인 관점으로 접근해야 합니다.

6.1 Reference

마치며

본 포스팅을 통해 2023년 하반기에 발생한 보안 사건/사고를 다루어 보았습니다. 2024년에도 티오리 Security Assessment팀은 꾸준한 사례 조사와 기술 연구를 통해 보안 취약점으로 인한 즉각적인 위협부터 잠재적인 위협까지 선제적으로 대응해나갈 예정입니다. 😄

About Theori Security Assessment

티오리 Security Assessment 팀은 실제 해커들의 오펜시브 보안 감사 서비스를 통해 고객의 서비스와 인프라스트럭처를 안전하게 함으로써 비즈니스를 보호합니다. 특히, 더욱 안전한 세상을 위해 난제급 사이버보안 문제들을 해결하는 것을 즐기며, 오펜시브 사이버보안의 리더로서, 공격자보다 한발 앞서 대응하고 불가능하다고 여겨지는 문제를 기술중심적으로 해결합니다.