Desde muito tempo, o internet banking e os serviços de governo eletrônico da Coreia do Sul são famosos pela infinidade de programas que exigem instalação. No passado era o ActiveX, e hoje isso foi trocado por instaladores de plugins de segurança, mas a essência do problema não mudou. Ainda assim, nos últimos anos a situação melhorou um pouco em comparação com antes, com o surgimento de meios alternativos de verificação de identidade em substituição ao certificado digital oficial e também de serviços online que funcionam sem exigir a instalação de plugins .exe. Mesmo assim, é realmente lamentável que, ainda em 2023, continuem existindo sites que impõem esse tipo de instalação sem o menor constrangimento.
Wladimir Palant, conhecido pelo Adblock Plus, publicou em seu blog que vinha investigando essa realidade da segurança online sul-coreana desde setembro passado. (Em inglês) Partindo do contexto histórico de que o ActiveX começou a ser usado para implementar serviços de internet banking com o algoritmo SEED, desenvolvido localmente na Coreia por causa das restrições dos EUA à exportação de algoritmos criptográficos nos anos 1990, ele vai desde a situação dos plugins de segurança — algo bem conhecido por qualquer pessoa que já tenha usado internet banking no país — até a constatação precisa de que esse “software de segurança” na prática não ajuda em nada na segurança e que o cenário atual foi deliberadamente desenhado por causa de interesses envolvidos.
Ao que parece, durante a investigação ele encontrou e reportou várias vulnerabilidades de segurança em produtos de plugins de segurança, mas também entende, como é natural, que isso por si só não resolve o problema real. De todo modo, seguindo a prática comum de divulgar os detalhes 90 dias após o reporte, os conteúdos específicos das vulnerabilidades descobertas serão publicados no blog do autor em 9 de janeiro de 2023, 23 de janeiro e 6 de março, respectivamente.
Além disso, no processo de busca por vulnerabilidades de segurança, ele disse ter encontrado também os seguintes problemas de qualidade de software. São pontos que provavelmente vão soar familiares para muita gente.
- Os desenvolvedores desse software aparentemente usam C, mas demonstram pouca familiaridade com problemas de segurança de memória, como buffer overflow
- Compilação feita com uma versão do Visual Studio de 15 anos atrás, em vez de compiladores modernos que oferecem vários mecanismos de mitigação
- Apesar de se apresentarem como programas de segurança, até recursos básicos e antigos de proteção, como ASLR e DEP, estão desativados
- Uso de versões antigas de bibliotecas open source, em alguns casos com mais de 10 anos
- Na maioria dos casos, a criptografia parece ter sido usada apenas como ofuscação (
obfuscation) para dificultar engenharia reversa - Parâmetros de algoritmos criptográficos que foram descontinuados (
deprecated) há muito tempo ainda continuam em uso
15 comentários
Em 2 de junho de 2025, foram divulgados na comunidade acadêmica de segurança da Coreia artigos e outros materiais que complementam esse conteúdo.
Recentemente foi divulgado que houve um ataque de hacking usando o INISAFE CrossWeb EX V3 da Initech.
Recomendação de atualização de segurança do INISAFE CrossWeb EX V3 da Initech
NIS: "Coreia do Norte explora vulnerabilidade do INISAFE em ataque hacker... recomendação de patch de segurança" (compilado)
Como é óbvio, não é possível que só esse produto tenha problemas. Pelo que sei, houve pelo menos mais dois casos recentes de vulnerabilidades descobertas em programas coreanos de certificado digital. Um deles, inclusive, já teria sido tocado pelas mãos dos camaradas guerreiros da informação do Norte.
Finalmente começaram a ser divulgados conteúdos sobre vulnerabilidades reais.
A primeira porrada(?) vai para o programa de segurança de teclado TouchEn nxKey, da RaonSecure.
A vulnerabilidade em si já é um problema, mas o que realmente impressiona é como eles mostraram fragilidade até no processo de lidar com essa vulnerabilidade. (?)
A galinha dos ovos de ouro
Organizei alguns comentários do Hacker News
Como o conteúdo ficou muito longo, organizei tudo no blog
https://soulee.dev/2023/01/05/korean-bogus-security
Espero que isso melhore depois de passarmos um pouco de vergonha no cenário internacional.
Muita gente nos comentários disse ter ficado surpresa ao saber que esses métodos estão sendo usados atualmente pelas empresas como um meio de se eximir de responsabilidade.
Tem um meme gringo que diz
disappointed but not surprised, e isso me veio à cabeça.Parece correto chamar isso de aplicativos de segurança falsos feitos para evitar responsabilidades...
Thread no Hacker News publicado pelo autor original:
https://news.ycombinator.com/item?id=34231364
Tradução para o coreano do texto original publicada por outra pessoa:
https://www.woojinkim.org/wiki/spaces/me/pages/733085820
Que vergonha.
Na Coreia, em geral, parece que o objetivo da regulação muitas vezes acaba sendo não "proteger o usuário", mas sim "evitar ter responsabilidade", e um exemplo representativo disso me parecem ser os plugins de segurança que precisam ser instalados no computador do usuário. Como a cada incidente iam acrescentando mais alguma coisa, achei bem desconcertante ter chegado ao ponto de precisar instalar até plugin para conseguir fazer a instalação. rs
Isso mesmo. No texto apresentado, eles também identificam esse ponto com bastante precisão.
E, ao verem recomendarem aos usuários instalar separadamente programas adicionais para poder instalar vários plugins de segurança, chegaram até a chamar isso de “gerenciar um zoológico de aplicativos” (manage this application zoo) kkk
Achei que era algo que só nós sabíamos, mas pelo visto todo mundo já sabe buá buá
Eu estava jantando, vi a matéria e só pensei que deveria resumir e postar amanhã, mas você organizou tudo muito bem. Obrigado!!
A frase de que criaram um “mercado de aplicativos de segurança falsos (bogus)” realmente chama a atenção.