2019.01.14 오피스 365 취약점 통해 ZWSP 삽입하는 피싱 공격

1. ZWSP(Zero Width SPace)란?

개행위치를 명시하기 위하여 사용하는 것으로 영어나 한국어는 이 문장과 같이 공백 기회의 위치에서 개행이 진행된다.

하지만 일본어와 같은 띄어쓰기를 하지 않는 언어에서 개행할 수 있는 위치를 명시하기 위해서 ZWSP가 사용된다고 한다.

즉 단어와 단어를 구별하는 보이지 않는 공백이라 할 수 있다.

2. 사용처

 

브라우저에서 화면의 크기(폭)을 바꿨을 때 단어의 사이에서 아래와 같이 줄바꿈이 일어난다면 ZWSP가 설정되어 있는 것이다.

asdfasdfadsf asdfasdfasdfsadf asdfsadfsadfa asdf

HTML에서는 ​에 ZWSP가 할당되어 있다.

3. 공격 방법

이메일로 HTML(RAW HTML) 내 악성 URL의 한 중간에 '폭이 0인 공백(ZWSP)'을 삽입할 경우 URL을 해석하여 악성 이메일 탐지하는 MS의 장치들을 우회 가능하다. ZWSP는 데이터를 html로 변환시켜 표준장치로 출력하는 과정(렌더링)을 거치지 않는다. 이메일을 받는 사람이 URL 중간에 있는 무작위 특수문자들을 알아볼 수 없는 것이다.

이전에는 URL을 href 태그와 기본요소로 분리하거나 폰트 크기가 0인 글자를 중간에 넣는 제로폰트 공격이 있었다.

4. 조치 과정

발견: 2018년 11월 10일

패치: 2019년 01월 09일

출처: <a href="https://www.boannews.com/media/view.asp?idx=76126">boannews</a>