설치 후 악성코드는 다음과 같은 의도적인 일련의 작업을 통해 지속성을 확보했습니다.
C:\Program Files\Hola\HolaMonitorService.exehola_monitor_svc라는 이름의 윈도우 서비스를 만들고 시작 유형을 0x00000002로 구성하여 시스템이 부팅될 때마다 자동으로 실행되도록 했습니다 me.exe 바이너리는 디지털 서명이 없고 난독화되어 있으며 유효한 타임스탬프도 없었습니다. 보안 연구원들은 파일 이름 자체가 눈에 띄지 않아 일반 프로세스 사이에 섞이도록 의도적으로 선택된 것으로 보인다고 지적했습니다 이번 침해의 범위는 비교적 좁았습니다. 소포스는 Hola 브라우저 사용자의 약 0.1% 가 영향을 받은 것으로 추정했습니다 . 비록 사용자 기반의 극히 일부에 불과하지만, 이 사건은 신뢰하는 소프트웨어 유통 채널이 사용자에게 등을 돌려 공식 설치 프로그램에 대한 일반적인 보안 검증을 무력화시킨 전형적인 공급망 공격 사례입니다.
이 공격은 Hola의 소스 코드 자체가 해킹된 것은 아닙니다. 대신 소프트웨어 빌드 및 릴리스 파이프라인의 취약점을 여실히 보여줍니다. 개발자가 클린 코드를 작성하더라도 컴파일, 패키징, 배포 과정 중에 발생한 침해가 최종 제품을 오염시킬 수 있다는 교훈을 남긴 것입니다 .
소포스 X-Ops가 이 사실을 보고하자, Hola는 위협을 차단하고 재발을 방지하기 위한 조치에 착수했습니다. 회사의 개선 조치는 다음과 같습니다.
Comments
0 comments