시만텍 보안 연구소가 마이크로소프트 윈도우 익스플로러 6 및 7에서 표적 공격(Targeted attack)에 사용되는 새로운 제로데이 취약점이 발견돼 사용자들의 주의가 요구된다고 밝혔다.

이번 취약점은 공격자들이 공격할 기업의 특정인들에게 이메일을 발송, 악의적인 웹사이트로의 접속을 유도해 악성코드를 설치하도록 만든다. 공격자들은 합법적인 웹사이트의 접근권한을 획득한 후 소유자 몰래 악성코드가 포함된 특정 웹페이지를 심어둔 후 이메일에 해당 웹페이지로의 링크를 삽입해 접속을 유도한다.

이 링크에는 사용자의 웹 브라우저와 운영체제 버전을 확인할 수 있는 스크립트가 포함되어 있기 때문에 해당 인터넷 익스플로러 6 및 7 사용자만을 골라 악성코드가 심어진 웹페이지로의 방문을 허용한다.

일단 해당 웹페이지에 접속하게 되면 부지불식간에 사용자의 컴퓨터로 악성코드가 다운로드되며, 이후 사용자 몰래 원격으로 실행시킬 수 있는 프로그램을 설치한다. 감염된 후 악성코드는 컴퓨터를 재구동 시킨 후 ‘넷웨어 워크스테이션(NetWare Workstation)’이란 서비스 명으로 구동된다. 또한 악성코드의 일부는 컴퓨터에 백도어를 설치한 후 폴란드에 있는 특정 원격 서버와의 연결을 시도해 .gif 확장자를 가진 소용량 파일들을 내려받는다. 이 암호화된 파일들은 트로이목마가 이후 어떤 공격을 할 지 알려주는 명령어들을 포함한다.

시만텍은 처음 이 인터넷 익스플로러의 취약점을 발견했을 당시 ‘다운로더(Downloader)’로 분류했다가 이후 ‘다운로더 및 트로이 목마(Downloader and Trojan Horse)’로 명명했으며, 현재는 해당 취약점을 Backdoor.Pirpi로 명명하고 있다.

시만텍은 악성코드가 심어진 웹페이지를 호스팅하던 두 개의 웹사이트를 발견해 해당 소유자들에게 통보한 상태다. 하지만 아직까지 마이크로소프트에서 해당 문제점에 대한 패치를 발표하지 않은 상황인 만큼 시만텍은 해당 제로데이 취약점을 악용한 공격 시도를 주의깊게 모니터링하면서 추가 정보가 확인되는 즉시 관련 내용을 공지할 예정이다. 마이크로소프트도 http://www.microsoft.com/technet/security/advisory/2458511.mspx를 통해 관련 정보를 제공하고 있다.

시만텍은 마이크로소프트가 보안 패치를 배포하기 전까지 제로데이 공격에 대한 응급조치로 데이터실행방지(DEP) 기능을 활성화시키고, 인터넷 익스플로러 옵션창에서 인터넷 보안수준을 높게 설정하거나 액티브 스크립트의 사용을 제한해야 하며, 안티바이러스 프로그램을 최신버전으로 유지하고, 신뢰할 수 있는 웹사이트만 방문할 것을 권장하고 있다.

기타 새로운 인터넷 익스플로러 제로데이 취약점 및 공격 유형에 대한 보다 자세한 정보는 시만텍 보안 블로그 포스팅을 통해 확인 할 수 있다.