macOS 에 대규모 감염이 가능한 멀웨어 OSX/Dok
OSX/Dok malware
Dok malware는 macOS의 실제 유효한 개발자 인증서로 위장해서, Mac에 정상적으로 설치되기 때문에 맥오에스 자체의 보안 기능을 우회하는 멀웨어이다. 정상적인 앱으로 시스템에 root certificate를 설치해서 네트워크 통신을 man-in-the-middle 공격을 통해 트래픽을 모두 볼 수 있닥 한다. 또한 SSL로 암호화한 HTTPS 통신도 볼 수 있다고 한다.
어떻게 전파되고 설치되는지?
세금환급 이메일로 'Document.zip' 이라는 압축파일을 다운하게 하고, 문서를 열면 악성코드가 macOS의 보안 기능 'Gatekeeper'를 우회해서 '/Users/Shared/' 폴더에 악성코드를 설치한다. 그리고 "COMODO RSA Extended Validation Secure Server CA 2" 라는 루트 인증서를 설치하고, 로그인 아이템에 "AppStore" 라는 앱을 추가한다. 그리고 OS X Update 가 필요하다는 멋진 화면의 경고를 보여주며, 패스워드 입력을 요구한다. 패스워드 입력으로 관리자 권한을 얻고 다크웹에서 명령 도구들을 다운로드하고 설치한다. 그리고 네트워크 설정에 프락시를 구성하게 된다.
위험성
man-in-middle 공격으로 SSL 통신이 프락시 서버에 고스란히 남겨지고, 결국 암호화되었다고 믿었던 모든 내용을 보게 된다.
내 맥에 설치되었는지 확인은?
기사 OSX/Dok malware에 대해 알아보기 (영문)에 맥에 설치된 경우 확인과 탐지하는 방법과 제거 방법을 알려주고 있다.
1. 시스템 환경설정에서 '네트워크' 설정을 열고
현재 사용중인 네트워크 인터페이스를 선택하면 '고급' 버튼을 누르면 여러개의 탭 중에서 "Proxies" 탭에 그림 같이 자동 프록시가 구성되어 있으면 의심해야 한다.
2. LaunchAgents 확인
위 프락시가 사용하기 위해 시스템 시작시에 두 개의 시작 아이템이 실행된다. 다음 경로에 파일이 있으면 삭제한다.
- /Users/User_ID/Library/LaunchAgents/com.apple.Safari.proxy.plist
- /Users/User_ID/Library/LaunchAgents/com.apple.Safari.pac.plist
3. COMODO RSA Extended Validation Secure Server CA 2
키체인 접근 앱에 의심스러운 루트 인증서가 설치된다. "COMODO RSA Extended Validation Secure Server CA 2" 라는 이름으로 설치된다. 만약에 이런 이름이 있다면 삭제한다.
"COMODO RSA Extended Validation Secure Server CA 2" 의 발급 내역은 아래 그림같다. (이미지: http://www.idownloadblog.com)
댓글
댓글 쓰기