구글 안드로이드 또는 애플 iOS 스마트폰 및 해당 기기에서 제로 클릭 블루투스 공격 취약점이 발견되었습니다.
Mobile Hacker로 알려진 보안 연구원은 패치가 적용되지 않은 안드로이드 휴대폰이 얼마나 취약점을 확인했습니다.
시연에서 그들은 새로 발견된 블루투스 취약점을 이용하여 인기 있는 침투 테스트 프레임워크인 메타스플롯(Metasploit)을 통해 침입 페이로드(payload)를 최신 패치를 받지 않은 장치에 설치하는 잠재적으로 파괴적인 제로 클릭 공격을 공개했습니다.
Mobile Hacker는 이달 초 Marc Newlin이 공개한 PoC(개념 증명) 공격 스크립트를 사용했으며 스크립트들은 깃허브(GitHub)에서 자유롭게 액세스할 수 있으며 CVE-2023-45866, CVE-24-21306, CVE-2024-0230으로 추적되는 취약점을 이용
블루투스를 통해 효과적으로 에뮬레이트된 키보드를 다른 OS 아키텍처로 강제 결합함으로써 키 입력을 가능하게 했습니다.
해당 스크립트에 대해 정말 놀라운 점은 Bluetooth(블루투스)가 활성화되어 활성화된 장치 즉 잠금 해제 상태에 있는 장치에서 작동한다는 것
해당 공격은 피해자와의 상호 작용을 요구하지 않거나 눈에 띄는 위반 징후를 남기지 않고 Bluetooth(블루투스) 범위 내의 다른 모바일 장치에서 발생할 수 있으며 해당 취약점은 장치를 최신 상태로 유지하고 디지털 공간에 숨어 있는 잠재적인 위협에 대해 경계하는 것의 중요성을 강조
이러한 공격은 들리는 것만큼 은밀하며 패치가 적용되지 않은 Android 휴대폰에 영향을 미칠 수 있음
제로 클릭 공격은 피해자의 상호 작용이 필요하지 않은 사이버 위협
의심스러운 링크를 클릭하거나 악성 애플리케이션을 다운로드할 필요가 없음
해커가 블루투스를 통해 이러한 사악한 작업을 실행하려면 근접성이 필요하며 문제의 취약점은 다양한 기기의 다양한 운영 체제에 영향을 미치지만, 특히 이전 안드로이드
이유 대부분의 Android 공급업체가 단 2년 후에 기기 지원을 중단하고 드물게 업데이트하는 주기(기껏해야 분기별)를 따른다는 것을 이용한 것이며 이는 보안 업데이트가 때때로 몇 달 동안 지연되어 이러한 장치가 Bluetooth 취약점을 악용하는 해커의 표적이 된다는 것을 의미
안드로이드 버전 10 이하를 실행하는 모든 안드로이드 장치는 이러한 Bluetooth 결함에 취약
즉시 패치 하지 않는 한 본질적으로 제로 클릭 공격을 위한 자리에 앉아 있는 것
적극적으로 지원되는 안드로이드 11~안드로이드 14와 같은 최신 버전은 결함은 2023년 12월 패치에서 해결되었습니다.
영향을 받는 안드로이드 버전 및 iOS,macOS 버전
안드로이드 4.2,5,6,7,8,9,10
CVE-2023-45866 no fix available Android 3 and earlier were not tested
안드로이드 11,12,13,14
CVE-2023-45866 fixed in 2023-12-05 security patch level
Linux(BlueZ) Affected Distros CVE-2023-45866 BlueZ patch available
macOS 12,13 CVE-2023-45866 no fix available macOS 11 and earlier were not tested
macOS 14 CVE-2023-45866 fixed in macOS 14.2
iOS 16 CVE-2023-45866 no fix available iOS 15 and earlier were not tested
iOS 17 CVE-2023-45866 fixed in iOS 17.2
윈도우 10, 11, Server 2022 CVE-2024-21306 fixed in January 2024 Patch Tuesday earlier versions of Windows were not tested
안드로이드 제품과 달리 Apple(애플)의 iPhone(아이폰)은 iOS 업데이트 17.2로 결함이 수정되었지만, 이전 모델에서 사용했던 이전 버전은 그대로 노출
MacOS는 버전 14.2의 결함을 수정했으며 Microsoft는 2024년 1월 정기 보안 업데이트 릴리스에서 Windows 10,11 및 Server 2022에 대한 수정 사항을 발표
macOS 버전 12 및 13과 같은 이전 macOS 버전은 취약하며 수정 사항이 제공되지 않음
결론 자신이 사용하는 스마트폰 기기들은 업데이트 하시고 만약 해당 부분에 해당하지 않은 구형 기기면 근처에 많은 사람이 있는 공공장소에 있을 때는 블루투스를 비활성화하거나 휴대폰을 잠가 두는 것이 좋음
'소프트웨어 팁 > 보안 및 분석' 카테고리의 다른 글
| 재혼 알림 을 위장한 스미싱 사이트-go(.)appp(.)ooguy(.)com(2024.1.28) (0) | 2024.02.05 |
|---|---|
| 엔씨소프트 주문 송장으로 위장한 피싱 파일-电子发票20399201011-2023(.)jpg(.)html(2024.1.15) (0) | 2024.01.30 |
| Konni(코니) 에서 만든 악성코드-NService_youngji057.chm(2023.11.18) (2) | 2024.01.29 |
| 미 연방수사국 사칭 스미싱 메일-qjao@service(.)898840(.)com(2024.1.17) (0) | 2024.01.26 |
| 모질라 파이어폭스 122(Firefox 122) 보안 업데이트 (0) | 2024.01.25 |
| 카스퍼스키 iPhone(아이폰)에서 iOS 스파이웨어를 탐지 도움 되는 iShutdown 스크립트 공개 (0) | 2024.01.24 |
| 부고 알림 부모님 별세를 악용한 스미싱 악성코드-s8u(.)cn/tGmtU(2023.12.28) (0) | 2024.01.23 |
| Windows SmartScreen(윈도우 스마트스크린) 우회 취약점 발견 (0) | 2024.01.19 |
