Adobe는 제로 데이 익스플로이 트가 Adobe Reader 샌드 박스를 우회하는 것을 확인합니다.

Adobe Reader 10 및 11의 샌드 박스 anti-exploitation protection을 우회하는 최근에 발견 된 악용 사례는 매우 정교하며 아마도 사이버 탐정 작업의 중요한 부분입니다 카스퍼 스키 랩의 맬웨어 분석 팀장은 보안 업체 파이어 아이 (FireEye)의 연구원에 의해 공격이 발견됐다고 밝혔다. 파이어 아이는 적극적인 공격에 사용되고 있다고 말했다. 어도비는 악용이 샌드 박스 보호 메커니즘이있는 10 및 11을 포함한 Adobe Reader 및 Acrobat의 최신 버전에 대해 작동 함을 확인했습니다. "915"Adobe는 이러한 취약점이 설계된 대상 공격에서 악용되고 있다는보고를 알고 있습니다.

[추가 정보: Windows PC에서 악성 코드를 제거하는 방법]

Adobe가 작동 중임을 알려드립니다. 그 동안 Adobe Reader 11 사용자는 편집> 기본 설정> 보안 (고급) 메뉴에서 "잠재적으로 안전하지 않은 위치의 파일"옵션을 선택하여 보호 된보기 모드를 활성화하는 것이 좋습니다.

카스퍼 스키 랩의 맬웨어 연구 및 분석 팀 책임자 인 Costin Raiu에 따르면 설치하는 악성 코드는 최고 수준입니다. 라이스 장관은 공격의 세련미에 비추어 볼 때 '듀크 (Duqu)와 같은 수준에있을 것 "이라는"거대한 중요성 "의 작동에 참여해야한다는 결론을 내렸다. Duqu는 2011 년 10 월에 발견 된 Cyberespionage malware의 일부로 Nuxanz에있는이란의 원자력 발전소에서 우라늄 농축 원심 분리기로 손상된 매우 정교한 컴퓨터 웜인 Stuxnet과 관련이 있습니다. Duqu 및 Stuxnet은 국가에 의해 만들어진 것으로 믿어집니다.

최신 악용 사례는 PDF 문서 형태로 제공되며 Adobe Reader에서 두 가지 취약점을 공격합니다. 하나는 임의의 코드 실행 권한을 얻기 위해 사용되며, 하나는 Adobe Reader 10 및 11 샌드 박스에서 탈출하는 데 사용됩니다.

64 비트 버전의 운영 체제를 포함하여 Windows 7에서이 취약점이 작동하며 레이즈는 Windows ASLR (Address Space Layout Randomization)과 DEP (Data Execution Prevention) 방지 메카니즘을 우회한다.

실행시, 익스플로잇은 여행 비자 신청서 양식을 포함하는 미끼 PDF 문서를 열 것이라고 Raiu 씨는 말했다. 이 문서의 이름은 "Visaform Turkey.pdf"입니다.

악용은 또한 원격 서버에 연결하여 두 개의 추가 구성 요소를 다운로드하는 맬웨어 다운로더 구성 요소를 삭제하고 실행합니다. 이 두 가지 구성 요소는 패스워드와 시스템 구성에 대한 정보를 훔치고 키 스트로크를 기록 할 수 있다고 그는 말했다.

맬웨어와 명령 및 제어 서버 간의 통신은 zlib로 압축 된 후 AES (Advanced Encryption Standard) 라 우우 (Raiu)는 RSA 공개 키 암호화 (public-key cryptography)를 사용하여이 유형의 보호를 악용하고 있다고 전했다. "비슷한 점이 Flame cyberespionage malware에서 사용되었지만 서버 측에서 사용되었습니다."이것은 민족 국가가 만든 사이버 스레 지 도구이거나 사설 계약자가 법 집행 기관에 판매 한 소위 합법적 차단 도구 중 하나이거나 라며 "카스퍼 스키 랩은이 공격의 목표 또는 전 세계 배포에 대한 정보를 아직 가지고 있지 않다고 레이는 전했다.

FireEye의 수석 보안 이사 연구 청 (Zheng Bu)은 공격 목표에 대해 언급하지 않았다. FireEye는 수요일에 맬웨어에 대한 기술 정보가 담긴 블로그 게시물을 게시했지만 희생자에 관한 정보는 공개하지 않았습니다.

버는 맬웨어가 특정 기술을 사용하여 가상 컴퓨터에서 실행되고 있는지를 탐지하여 자동화 된 맬웨어 분석 시스템으로 탐지를 회피 할 수 있다고 말했다.