해커가 Adobe 서버를 손상시켜 악성 파일에 디지털 서명을 사용합니다.

해커가 회사의 내부 서버 중 하나를 손상시키고 두 개의 악의적 인 유틸리티에 디지털 서명을 한 후 Adobe는 코드 서명 인증서를 철회 할 계획입니다.

"Adobe는 내부 서버를 디지털 방식으로 사용하여 두 개의 악성 유틸리티에 디지털 서명합니다. 우리는 9 월 12 일 늦은 밤, 격리 된 (이름이없는) 단일 소스로부터 악의적 인 유틸리티를 받았다 "고 Adobe의 기업 커뮤니케이션 수석 매니저 인 Wiebke Lips는 목요일에 전자 메일을 통해 말했다. "서명의 유효성이 확인되자 마자 서명을 생성하는 데 사용 된 인증서를 비활성화하고 취소하는 단계를 즉시 시작했습니다."악의적 인 유틸리티 중 하나는 공개적으로 사용 가능한 Pwdump7 버전 7.1의 디지털 서명 된 사본이었습니다

[추가 정보: Windows PC에서 악성 코드 제거 방법]

두 번째 유틸리티는 myGeeksmail.dll이라는 ISAPI 필터였습니다. ISAPI 필터는 HTTP 스트림을 가로 채고 수정하기 위해 Windows 웹 서버용 IIS 또는 Apache에 설치할 수 있습니다.

두 가지 악의적 인 도구는 손상된 시스템에서 사용할 수 있으며 보안 소프트웨어로 스캔을 통과 할 가능성이 높습니다. 어도비의 전자 서명 위협 분석가 인 보그 탄 보테 자투 (Bogdan Botezatu)는 "일부 안티 바이러스 솔루션은 마이크로 소프트 나 어도비와 같은 신뢰할 수있는 소프트웨어 제조업체가 제공하는 유효한 디지털 인증서로 서명 된 파일을 검사하지 않는다" 업체 빗 디펜더. "이것은 공격자에게 커다란 이점을 줄 것입니다. 비록이 파일들이 로컬에 설치된 AV에 의해 경험적으로 탐지되었다고하더라도, 그들은 스캐닝으로부터 기본적으로 건너 뛸 것이기 때문에 공격자가 시스템을 악용 할 기회를 획기적으로 늘릴 수 있습니다."

Brad Arkin 어도비의 제품 및 서비스 보안 담당 수석 이사는 보안 게시자가이를 탐지 할 수 있도록 악의적 인 코드 샘플을 Microsoft Active Protection Program (MAPP)과 공유했다고 블로그 포스트에 밝혔다. 어도비는 "대다수의 사용자는 위험에 처하지 않는다"고 믿고있다. 왜냐하면 서명 된 도구와 같은 도구가 널리 사용되는 것이 아니라 "고도의 표적 공격"중에 일반적으로 사용되기 때문이다.

"현재 우리는 받은 샘플을 악의적 인 것으로 간주하고 우리는 그들의 지리적 분포를 계속 모니터링합니다. "라고 Botezatu는 말했습니다. BitDefender는 MAPP에 등록 된 보안 벤더 중 하나입니다. 그러나 Botezatu는 회사 제품으로 보호되는 컴퓨터에서 이러한 파일 중 어느 것이 탐지되었는지 말할 수 없습니다. 그는 "아직 말하기에는 너무 빠르며 아직 충분한 데이터가 없다"고 말했다. "현재 샘플을받은 모든 샘플을 악의적 인 것으로 표시했으며 지리적 분포를 계속 모니터링하고있다"고 Botezatu 씨는 말했다. Adobe는 코드 서명 인프라에 액세스 할 수있는 내부 "빌드 서버"에 대한 침해를 추적했습니다. "우리의 조사는 아직 진행 중이지만, 현재로서는 영향을받은 빌드 서버가 7 월 말에 손상된 것으로 보입니다."라고 Lips는 말했습니다. "현재까지 빌드 서버에 악성 코드가 있는지, 먼저 빌드 서버에 대한 액세스 권한을 얻습니다. "빌드 서버와 악의적 인 유틸리티의 서명을 연결하는 법의학적인 증거도 있습니다."

빌드 서버의 구성은 이런 종류의 서버에 대한 Adobe의 기업 표준에 달려 있다고 Arkin은 말했습니다. "우리는이 경우 코드 서명 액세스 프로비저닝 프로세스가 이러한 결함을 식별하지 못하는 이유를 조사하고 있습니다."

오용 된 코드 서명 인증서는 VeriSign에서 2010 년 12 월 14 일에 발행되었으며 Adobe의 요청은 2012 년 7 월 10 일 이후에 체결 된 Adobe 소프트웨어 제품에 영향을 미칩니다.

"이것은 Windows 플랫폼에서 실행되는 영향을받는 인증서로 서명 된 Adobe 소프트웨어와 Windows 및 Macintosh에서 실행되는 3 개의 Adobe AIR 응용 프로그램에만 영향을 미칩니다"라고 Arkin은 말했습니다. Adobe는 영향을받는 제품을 나열하고

VeriSign 인증 기관을 소유하고 운영하는 시만텍은 오용 된 코드 서명 인증서가 전적으로 Adobe의 통제하에 있다고 강조했습니다.

"시만텍의 코드 서명 인증서 시만텍은 이메일로 성명서를 발표했다. "이것은 시만텍의 코드 서명 인증서, 네트워크 또는 인프라 스트럭처의 타협이 아니 었습니다."Adobe는 코드 서명 인프라를 폐기하고이를 서명하기 전에 수동으로 파일을 검사해야하는 임시 서명 서비스로 대체했습니다. "우리는 새로운 영원한 서명 솔루션을 설계하고 배포하는 과정에 있습니다." "공유 된 샘플 만 승인없이 서명했는지 확인할 수 없기 때문에이 사건의 의미를 파악하기가 어렵습니다." 보테 자투는 말했다. "암호 덤퍼 응용 프로그램과 오픈 소스 SSL 라이브러리가 비교적 무해한 경우 악의적 인 ISAPI 필터는 man-in-the-middle 공격 (사용자로부터 서버로 또는 그 반대로 트래픽을 조작하는 일반적인 공격)에 사용될 수 있습니다 다른 사람들 사이에서, "그는 말했다.