특정 조건하 접속시 가짜 네이버 로그인 창을 띄웁니다.
해당 창을 띄우는 조건이 조금 악질인데,
1. 리퍼러 주소에 naver, google, daum, zum, bing 포함
2. 특정 쿠키값 비존재(한번 저 창이 뜨면 쿠키를 구워버립니다)
3. 특정 세션스토리지값 비존재(한번 저 창이 뜬 상태에서 로그인 값을 보내면 세션스토리지값을 저장합니다)
위 세 조건을 모두 만족해야 창이 뜹니다. 아마 직원이라면 주소를 직접 입력해 체크했을테니 퇴근까지 발견을 못했겠네요.
해당 공격건은 KISA에 보고된 상태입니다.
지금은 로그인창이 없어졌습니다
해결된듯싶네요
확인해보니 로그인 폼은 여러 소규모 쇼핑몰 사이트주소에서 호스팅되네요.
그리고 지금 볼때 form 태그의 action값이 없지만, JSONP 형태로 대신 통신을 하도록 짜여있네요. (확인할때 작동안함)
와 엄청나네요..
의심없이 그냥 바로 아이디 암호 평문으로 털리겠네요.
과거 bbq에서도 같은 방식으로 해킹 당하고 동일한 문제 발생했다고 말하네요.
1Password, LastPass 등의 비번 관리 프로그램이나, 최소한 브라우저 기본 기능이라도 사용하면 진짜 네이버가 아닌 곳에는 네이버 비번이 자동입력되지 않아서 읭? 하고 좀더 자세히 살펴보게 됩니다.
제가 저장해 놓은 비번이 450개인데, 그 중 3~4개 외에는 기억 못 해요.^^
암호만 1회성으로 살짝 빼내고 사라지는 악성이군요. 당한 사람은 자신이 당한줄도 모르겠습니다.
현시간 기준 맘스터치 사이트는 아직 악성 스크립트 태그가 남아있습니다. 중간 사이트의 악성 스크립트는 삭제되었긴 하지만 사이트에서 대응한 것인지, 해킹한 쪽에서 충분히 털어먹었다고 판단한건지는 알 수 없습니다.(삭제 확인시점이 새벽이라 후자일 가능성 존재)
후자의 경우 해커가 또다시 파일을 올릴 가능성도 있으니 주의가 필요해 보입니다.
