플리드 멀웨어(Plead Malware)는 아시아 지역의 사이버 스파이인 블랙테크 그룹이 악용하는 백도어로 알려져 있는데요. 최근 플리드 멀웨어가 에이수스의 클라우드 서비스 프로그램을 통해 배포된 사실을 ESAT의 보안 연구원이 밝혀냈습니다.
ESAT에 따르면 플리드 멀웨어가 비정상적인 방법으로 배포하려는 시도를 감지한 것은 지난 4월 말인데요. 문제의 플리드 백도어는 에이수스 클라우드 서비스를 위한 시스템 프로그램인 AsusWSPanel.exe라는 프로세스로 실행됐는데, 에이수스 클라우드 코퍼레이션의 디지털 서명까지 포함되어 합법적으로 보였다는 점입니다.
(이미지 출처 | www.welivesecurity.com)
ESAT는 이러한 시도가 가능한 여러 시나리오 가운데 중간자(Man-in-the-middle) 공격에 당했을 가능성을 제기했는데요. HTTP를 통해 요청된 소프트웨어의 업데이트 파일을 다운로드한 뒤 무결성을 검증하지 않고 실행을 준비하는데, 업데이트 프로세스를 공격자가 차단한 뒤 악성 업데이트를 넣으면 1단계가 완료된다는군요. 이후 공식 에이수스 웹스토리지 서버를 모방한 서버에서 멀웨어 데이터를 포함한 이미지를 내려받아 이를 푼 뒤, 악성 파일을 실행해 사용자가 로그인할 때마다 실행되는 윈도 시작 메뉴 폴더에 넣는다는군요. 결국 이용자는 윈도를 실행할 때마다 백도어를 열어주는 셈이 됩니다.
ESAT는 해당 문제를 에이수스에 통보했지만, 문제는 이러한 중간자 공격으로 이미 100만 명의 사용자에게 영향을 미쳤을 것으로 예상되는데요. 에이수스는 업데이트 서버 종료 후 웹스토이지 업데이트로 해당 문제를 완화했다고 밝혔지만 여전히 HTTP 연결을 이용해 업데이트를 제공 중으로 알려졌습니다. 외부 전문가 그룹이 안전하다는 것을 보장할 때까지 에이수스 클라우드 스토리지 이용자는 각별히 조심해야 할 것 같습니다.
언제나 기분 좋은 소식을 전하고 싶습니다.
news@techg.kr
