메뉴 건너뛰기

오에스매니아

Vault 8: WikiLeaks Releases Source Code For Hive - CIA's Malware Control System


Vault 7 시리즈를 통해 CIA의 비밀스러운 해킹 툴 프로젝트 23건의 세부사항들을 공개한지 2달 만에, 위키리크스가 Vault 8 시리즈를 발표했습니다. 


위키리크스는 이를 통해 CIA 해커들이 개발한 백엔드 인프라에 대한 소스코드와 정보를 공개할 예정입니다.


Vault 8 시리즈의 첫번째로, 이들은 CIA가 은밀히 악성코드를 원격으로 제어하기 위해 사용한 백엔드 컴포넌트인 Project Hive의 소스코드 및 개발 로그를 공개했습니다.


올 4월 위키리크스는 Project Hive에 대한 간략한 정보를 공개해 이 프로젝트가 악성코드와 통신하고 타겟에 특정 작업을 실행하도록 명령을 보내며 타겟에서 추출한 정보들을 수신하는 고급 C&C 서버라는 점을 공개했습니다.


Hive는 멀티유저 올인원 시스템으로 다수의 CIA 요원들이 원격으로 다수의 악성코드를 제어하는데 사용될 수 있습니다.


Hive의 인프라는 특히 VPN을 통한 다단계 통신 후 따라오는 공개 된 가짜 웹사이트를 포함하는 귀속을 막기 위해 설계 되었습니다.


위키리크스는 “타겟 컴퓨터에서 임플란트가 발견 되었더라도, Hive를 사용할 경우 악성코드와 인터넷의 다른 서버와의 통신을 살펴보는 것 만으로 이를 CIA와 연관짓기는 어려울 것입니다.”고 밝혔습니다.


다이어그램에서 볼 수 있듯이, 이 악성코드 임플란트는 상용 VPS(가상 프라이빗 서버)를 이용한 가짜 웹사이트와 직접 통신합니다. 이 웹사이트는 웹 브라우저에서 직접 오픈했을 때는 무해해 보입니다.


9928E4335A08E9A31ACF1F


<이미지 출처: https://wikileaks.org/vault8/#Hive>


하지만, 백그라운드에서 이 멀웨어는 인증 후 가짜 웹사이트를 호스팅하는 웹서버와 통신할 수 있게 됩니다. 이후 멀웨어 관련 트래픽을 안전한 VPN 연결을 통해 “숨겨진” CIA 서버인 ‘Blot’로 포워딩합니다.


이후 이 Blot 서버는 트래픽을 ‘Honeycomb’라는 임플란트 운영 관리 게이트웨이로 보냅니다.


네트워크 관리자들의 탐지를 피하기 위해서, 이 멀웨어 임플란트는 Kaspersky Lab의 가짜 디지털 인증서를 사용합니다.


위키리크스는 “CIA는 기존 엔티티들을 가장해 임플란트들의 인증을 위한 디지털 인증서를 생성합니다. 소스코드에 포함 된 샘플들 3개는 Kaspersky Lab의 가짜 인증서를 빌드합니다.”고 밝혔습니다.


또한 Project Hive의 소스코드를 공개해 누구나 볼 수 있도록 했습니다.


Vault 8 시리즈에서 공개 된 소스코드는 CIA가 제어하는 서버에서 실행하도록 설계 된 소프트웨어만을 포함합니다. 또한 위키리크스는 다른 사람들이 악용할 소지가 있는 어떠한 제로데이나 보안 취약점들도 공개하지 않겠다고 밝혔습니다.


9995D2335A08EAC11772B3



참고 : 

https://thehackernews.com/2017/11/cia-hive-malware-code.html

https://wikileaks.org/vault8/#Hive

https://wikileaks.org/vault8/document/repo_hive/


자료만 받아갈줄 아는 회원님들께, 개발자님들에게 최소한의 경우는 우리가 피드백으로 보답하는 겁니다

문제가 있던 없던 그동안 고생하신 것을 생각하여 피드백 작성을 부탁 드립니다
profile

루인루

2017.12.07 00:31

정보 잘보고갑니다

profile

mantoman

2017.12.27 16:22

좋은자료 고맙습니다.

profile

suhyou

2018.01.11 09:12
좋은자료 고맙습니다
List of Articles
번호 제목 글쓴이 날짜 조회 수
공지 보안 게시판 신설 file + 8 Op 2016-10-16 117
369 MS가 투자한 오픈소스 보안테스팅툴 국내출시 file + 8 Op 02-18 553
368 보안 소식 제로데이 취약점 발견.. '어도비 플래시 플레이어 사용 자제를' file + 8 Op 02-02 495
367 일반 경찰, 빗썸 압수수색…해킹 파문 일파만파 file + 4 Op 02-02 536
366 “가상화폐 거래소 10개사, 보안기준 통과업체 0곳” + 10 Op 01-25 291
365 보안 소식 "액티브 X"가 한국에서만 사라지지 않는 진짜 이유... ㄷㄷㄷ file + 22 Op 01-18 570
364 보안 자료 인텔 컴퓨터, 또 해킹 취약점 나와…"노트북 해킹 30초면 돼" file + 8 Op 01-14 323
363 보안 소식 2017 결산-보안]지구촌 '울린' 랜섬웨어 + 3 덕애 12-30 141
362 보안 소식 리투아니아, 보안 우려로 카스퍼스키 소프트웨어 사용 금지 + 3 티오피 12-25 153
361 보안 소식 윈도우 정품 인증 툴로 유명한 KMSpico, 가상화폐 채굴 악성코드 포함되어 있어 + 11 티오피 12-23 531
360 보안 소식 Windows10에 포함되어 있는 비밀번호 관리 프로그램, 해킹 가능한 취약점 발견 + 5 티오피 12-19 212
359 보안 소식 새로운 악성코드 Satori 발견! + 9 티오피 12-09 311
358 보안 소식 한컴오피스 NEO 보안 업데이트 12월 7일 + 9 티오피 12-07 236
357 보안 소식 [주의] 가짜 HWP2018 무설치 인증판으로 둔갑한 해킹 프로그램 + 17 티오피 12-06 3038
356 보안 소식 카스퍼스키 미국에 이어 영국에서도 사용 금지? + 5 티오피 12-05 266
355 보안 소식 한컴오피스 보안 업데이트 권고 + 5 티오피 12-01 271
354 보안 소식 MS 오피스의 내장 기능, 자가 복제 멀웨어를 생성하는데 악용될 수 있어 + 6 티오피 11-28 142
353 보안 소식 구글, 위치 서비스가 비활성화인 상태에서도 안드로이드 위치 데이터 수집해 + 8 티오피 11-23 143
352 보안 소식 파이어폭스, 내년부터 캔버스 지문 채취 차단 + 6 티오피 11-14 323
351 보안 소식 LockCrypt 랜섬웨어가 Satan RaaS를 통해 시작 돼, 변종 배포 시작 + 4 티오피 11-14 349
350 보안 소식 [주의] 한국에서 제작된 것으로 추정되는 Blacklistcp 랜섬웨어 등장 + 5 티오피 11-13 277
» 보안 소식 Vault 8: 위키리크스, CIA의 멀웨어 제어 시스템인 Hive 소스 공개해 + 3 티오피 11-13 166
348 백신 자료 카스퍼스키 무료(프리 버전) 한글 다운로드 설치하기 + 10 철인 11-11 441
347 보안 소식 150일 만에 리눅스 서버 랜섬웨어 감염...공격 방식·규모 촉각 + 3 티오피 11-09 258
346 보안 소식 치명적인 Tor 브라우저 취약점, 사용자의 실제 IP 노출 시켜 – 지금 업데이트 하세요 + 3 티오피 11-07 313
345 보안 소식 한글문서 ‘자료연결’ 기능 악용한 국내 표적 악성코드 주의 file + 3 파란하늘 11-07 315
위로