3CX DesktopApp 사용 주의 (CVE-2023-29059)

3CX DesktopApp 사용 주의 (CVE-2023-29059) - ASEC BLOG

개요 3CX DesktopApp을 통해 공급망 공격이 이루어졌다는 내용이 공개되었다.[1] 해당 소프트웨어는 통화, 화상 회의 등 사용자에게 여러 통신 기능을 제공하며 Windows, MAC 운영체제 환경에서 구동이

asec.ahnlab.com

개요

3CX DesktopApp을 통해 공급망 공격이 이루어졌다는 내용이 공개되었다.[1] 해당 소프트웨어는 통화, 화상 회의 등 사용자에게 여러 통신 기능을 제공하며 Windows, MAC 운영체제 환경에서 구동이 가능하다. 현재 3CX 업체에서는 새로운 인증서를 발급하기 위하여 준비 중이며 그 전까지는 다른 소프트웨어를 대체하여 사용할 것을 가이드하고 있다.

설명

관련하여 유포된 악성코드는 악의적인 기능을 수행하는 모듈들을 포함한 MSI, DMG 형태의 설치 파일인 것으로 확인된다. 3CXDesktopApp.exe가 악성 모듈인 ffmpeg.dll을 로드하고, 이후 d3dcompiler.dll를 추가 로드하여 메모리 상에서 실행한다. 메모리 상에서 실행되는 악성코드는 다운로더로서 최종적으로 정보 탈취형 인포스틸러 악성코드를 다운로드하여 실행하는 것으로 알려져 있다.

대상 제품

Electron Windows application shipped in Update 7
18.12.407
18.12.416

Electron macOS application
18.11.1213
18.12.402
18.12.407
18.12.416

취약점 패치

2023년 4월 6일 보안 패치가 제공 됨에 따라 취약 버전 사용자는 최신 버전인 3CX DesktopApp 18.12.425으로 업데이트가 필요

[1] 3CX Hosted/StartUP 고객 : 추가 조치 필요 없음

[2] 자체 호스팅 및 온프레미스 (On-Premise) 고객 : 다음의 절차 참고

관리 콘솔 실행
업데이트 메뉴 실행
Windows DesktopApp 다운로드 : https://downloads-global.3cx.com/downloads/v180/templates/clients/3CXDesktopApp-18.12.425.msi
Mac Electron DesktopApp 다운로드 : https://downloads-global.3cx.com/downloads/v180/templates/clients/3CXDesktopApp-18.12.425.dmg

해결 방안

3CX 업체에서는 PWA 어플리케이션을 대신 사용할 것으로 권장

PWA 설치 가이드 : https://www.3cx.com/blog/releases/web-client-pwa/

탐지 정보 및 IOC

[파일 탐지]
Dropper/MSI.Agent
Trojan/Win.Loader.C5403102
Trojan/Win.Agent.C5403110
Trojan/Win.Loader.C5403103
Infostealer/Win.Agent.C5403954
Trojan/BIN.Agent
Data/BIN.Encoded
Trojan/OSX.Agent
Trojan/OSX.Loader

[행위 탐지]
Connection/MDP.Event.M4581
Connection/MDP.Event.M11026
Exploit/MDP.Event.M11027

[IOC]
59e1edf4d82fae4978e97512b0331b7eb21dd4b838b850ba46794d9c7a2c0983
aa124a4b4df12b34e74ee7f6c683b2ebec4ce9a8edcf9be345823b4fdcf5d868
fad482ded2e25ce9e1dd3d3ecc3227af714bdfbbde04347dbc1b21d6a3670405
dde03348075512796241389dfea5560c20a3d2a2eac95c894e7bbed5e85a0acc
7986bbaee8940da11ce089383521ab420c443ab7b15ed42aed91fd31ce833896
c485674ee63ec8d4e8fde9800788175a8b02d3f9416d0e763360fff7f8eb4e02
11be1803e2e307b647a8a7e02d128335c448ff741bf06bf52b332e0bbf423b03
aa4e398b3bd8645016d8090ffc77d15f926a8e69258642191deb4e68688ff973
4e08e4ffc699e0a1de4a5225a0b4920933fbb9cf123cde33e1674fde6d61444f
8ab3a5eaaf8c296080fadf56b265194681d7da5da7c02562953a4cb60e147423
5a017652531eebfcef7011c37a04f11621d89084f8f9507201f071ce359bea3f
5407cda7d3a75e7b1e030b1f33337a56f293578ffa8b3ae19c671051ed314290
e6bbc33815b9f20b0cf832d7401dd893fbc467c800728b5891336706da0dbcec
fee4f9dabc094df24d83ec1a8c4e4ff573e5d9973caa676f58086c99561382d7
a64fa9f1c76457ecc58402142a8728ce34ccba378c17318b3340083eeb7acc67
5009c7d1590c1f8c05827122172583ddf924c53b55a46826abf66da46725505a
87c5d0c93b80acf61d24e7aaf0faae231ab507ca45483ad3d441b5d1acebc43c
210c9882eba94198274ebc787fe8c88311af24932832a7fe1f1ca0261f815c3d
a541e5fc421c358e0a2b07bf4771e897fb5a617998aa4876e0e1baa5fbb8e25c
2c9957ea04d033d68b769f333a48e228c32bcf26bd98e51310efd48e80c1789f
268d4e399dbbb42ee1cd64d0da72c57214ac987efbb509c46cc57ea6b214beca
c62dce8a77d777774e059cf1720d77c47b97d97c3b0cf43ade5d96bf724639bd
c13d49ed325dec9551906bafb6de9ec947e5ff936e7e40877feb2ba4bb176396
f1bf4078141d7ccb4f82e3f4f1c3571ee6dd79b5335eb0e0464f877e6e6e3182
2487b4e3c950d56fb15316245b3c51fbd70717838f6f82f32db2efcc4d9da6de
e059c8c8b01d6f3af32257fc2b6fe188d5f4359c308b3684b1e0db2071c3425c
d0f1984b4fe896d0024533510ce22d71e05b20bad74d53fae158dc752a65782e
d459aa0a63140ccc647e9026bfd1fccd4c310c262a88896c57bbe3b6456bd090
d459aa0a63140ccc647e9026bfd1fccd4c310c262a88896c57bbe3b6456bd090
d51a790d187439ce030cf763237e992e9196e9aa41797a94956681b6279d1b9a
4e08e4ffc699e0a1de4a5225a0b4920933fbb9cf123cde33e1674fde6d61444f
8c0b7d90f14c55d4f1d0f17e0242efd78fd4ed0c344ac6469611ec72defa6b2d
f47c883f59a4802514c57680de3f41f690871e26f250c6e890651ba71027e4d3
akamaicontainer[.]com
akamaitechcloudservices[.]com
azuredeploystore[.]com
azureonlinecloud[.]com
azureonlinestorage[.]com
dunamistrd[.]com
glcloudservice[.]com
journalide[.]org
msedgepackageinfo[.]com
msstorageazure[.]com
msstorageboxes[.]com
officeaddons[.]com
officestoragebox[.]com
pbxcloudeservices[.]com
pbxphonenetwork[.]com
pbxsources[.]com
qwepoi123098[.]com
sbmsa[.]wiki
sourceslabs[.]com
visualstudiofactory[.]com
zacharryblogs[.]com
hxxps://raw.githubusercontent[.]com/IconStorages/images/main/icon[숫자].ico

연관 IOC 및 관련 상세 분석 정보는 안랩의 차세대 위협 인텔리전스 플랫폼 ‘AhnLab TIP’ 구독 서비스를 통해 확인 가능하다.

[References]

1) 제조사 공지 : https://www.3cx.com/blog/news/desktopapp-security-alert/
2) CVE-2023-29059 : https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-29059
3) CWE-506 : https://cwe.mitre.org/data/definitions/506.html