PDF 파일을 웜처럼 사용해 공격하는 방법 밝혀져

PDF 파일을 웜처럼 사용해 공격하는 방법 밝혀져

보안 연구원인 제라마이 콘웨이는 컴퓨터에 있는 PDF 파일을 통해서 악성 코드를 퍼뜨릴 수 있는 방법을 발견했다고 밝혔다.

 

이 공격은 PDF 파일 형식의 취약점에 악성 데이터를 추가하는 방식으로, 이 파일을 여는 사용자를 공격하는데 사용될 수 있다.

 

니트로시큐리티(NitroSecurity)의 제품 관리자인 콘웨이는 이미 PDF에 악성 명령어를 주입할 수 있는 기술을 개발했었다. 그러나 그의 공격은 이 코드가 추가된 시스템에 다른 악성 프로그램이 있는 경우에만 작동한다. 그러나 지난 주, 연구원 디디어 스티븐이 PDF 문서가 어떻게 피해자의 컴퓨터에서 구동되는 실행파일로 대체될 수 있는지 증명하면서 상황이 급변됐다.

 

해커들은 언제부터인가 PDF 리더가 이런 방법으로 조작될 수 있다는 사실을 알고 있었으나, 스티븐의 공격은 폭싯 리더(Foxit Reader)가 사용자 모르게 실행가능한 파일을 실행시킬 수 있는지 보여준다. 그러나 이런 PDF 취약점은 PDF 표준 자체를 바꾸지 않는 이상 수정이 불가능하다.

 

공격을 피하고 싶은 어도비 리더(Adobe Reader) 혹은 아크로뱃(Acrobat) 사용자들은 ‘편집(edit)>속성(Preferences)>카테고리(Categories)>트러스트 매니저(Trust Manager)>PDF 파일 첨부(PDF File Attachment)를 클릭한 후, “외부 애플리케이션에서 첨부된 비 PDF 파일 열기를 불능화 시키면 된다.

 

지난 목요일 발표된 폭싯 리더 3.2.1에서는 팝업창으로 사용자들에게 진짜 이 코드를 실행하고자 하는지 묻는 단계가 추가됐다. 어도비 리더는 이와 같은 단계를 가지고 있다.

 

곤웨이는 공격 데모 영상에서 실행 가능한 코드가 포함된 악성 PDF 문서를 어떻게 만드는지 보여주었다. 이 코드는 그가 제작한 어도비의 경고 창 글에도 포함되어 있다. “암호화 처리가 되지 않은 이 파일의 ‘열기’를 클릭하라”같은 문구를 삽입함으로써, 사용자들이 해당 문서를 열 가능성을 높일 수 있다.

 

만일 사용자들이 속아서 이 파일을 열게되면, 콘웨이의 공격은 웜처럼 활동하면서 컴퓨터에 있는 다른 PDF 파일에 악성 코드를 옮겨 심는다. 이 맬웨어는 PDF 공격 혹은 더 나쁜 것으로 받아들여질 수 있는데, 콘웨이는 “차세대 제로데이 공격이 될 수도 있다”라고 지적했다.

 

그는 대부분의 기업들이 이런 기술을 다룰 준비가 되어있지 않아서 사이버범죄의 타깃이 될 수 있다고 지적했다.

 

콘웨이는 공격을 시연하는 동영상만 공개했을 뿐 공격 코드는 공개하지 않았다. editor@idg.co.kr

원문출처