‘기발하다 못해 섬뜩한’ 보안 취약점 공격 10가지

미 상공회의소 공격 사건 우선, 이 낯선 위협들은 야생 속에서 발견된 것이 아닌 보안 연구자들이 확인한 것임을 밝혀두고 서술을 시작하고 싶다. 그러나, 이 설명을 새로운 위협들을 연구소에 한정된 시시한 것으로 평가 절하하는 근거로 삼아서는 안될 것이다. 미 상공회의소의 사례를 살펴보는 것이 도움이 될 것이다. 미 상공회의소는 지난 2010년 깊고 복잡한 침입의 대상이 되었다. 침입은 너무 깊숙한 영역에까지 이뤄져 문제를 발견한 관리 당국은 그것을 정리하는 것보다 일부 PC를 아예 파괴해버리는 것이 더 쉬운 일일 것이라 말했을 정도였다. 당시의 상황은 다음과 같았다. 상공회의소는 그들의 온도조절장치 중 한 대가 중국의 서버와 커뮤니케이션을 진행하고 있는 것을 확인했고, 같은 시각 한 임원의 프린터는 갑자기 중국어가 적힌 종이들을 뱉어내기 시작했다. 그리고 나서 맹렬한 취약점 공격으로 넘어가게 됐다.

당신의 프린터를 엿보다 네트워크 및 웹 연결 프린터의 편리함은 그 누구도 부정할 수 없을 것이다. 그러나 많은 웹 연결 프린터들이 방화벽 외부에 위치하고 있다는 사실도 한번은 기억하자. 이는 마치 해커들에게 방석을 깔아주고 있는 것과 같다. 1월에는 프린터 내부에 도사리고 있는 잠재적 위협들을 다룬 몇 건의 보고서(http://www.pcworld.com/article/2026683/printers-join-fray-in-network-vulnerability-landscape.html)가 공개되기도 했다. 이 보고서에 따르면, 비아포렌식스(ViaForensics)의 연구원 세바스찬 게레로는 HP 제트다이랙트(JetDirect) 테크놀로지에서 취약성을 확인했다. 이를 이용해 해커들은 기기를 공격하고 나아가서는 이전에 인쇄된 문서들에까지 접근할 수 있을 것이다. 이어서 앱 개발자 앤드류 하워드는 블로그 포스트를 통해 어떻게 ‘신속하고 정교한 구글 검색'이 공개 접속 가능한 HP 프린터의 정보를 노출 시켜 주는지를 설명하기도 했다.

스마트한, 너무 스마트한! 안 좋은 상황은 인터넷 연결이 가능한 ‘스마트TV’에서도 발견되기 시작했다. ‘히어 컴스 허니 부부(Here Comes Honey Boo Boo)’의 에피소드(http://www.canistream.it/tv/series/261286/here-comes-honey-boo-boo)들을 말하는 게 아니다. 맥아피의 디로는 “오늘날의 TV는 (특히 선진적인 공격자들에게) 좋은 먹잇감이 됐다”라고 밝혔다. 디로는 “시스템에서 노출 위협이 의심될 때 대부분의 이들은 TV를 가장 마지막으로 살펴볼 것이다. 지난 12월 몰타 기반의 ‘제로 데이(zero-day)’ 취약점 공격 전문 보안 업체 리번(ReVuln)은 자신들이 삼성 스마트 TV에서 원격 코드 실행 취약성을 발견했다고 발표한 바 있다”라고 덧붙였다. 그게 무슨 대수냐고? 글쎄, TV에 내장된 웹캠과 마이크, 그리고 그 안에 담긴 로그인 정보와 웹 연결 계정들을 떠올려보라.

DRM을 싫어하는 이유 전세계의 수많은 PC 게이머들은 ‘디지털 저작권 관리(DRM, Digital Rights Management)’라는 말만 나오면 반사적으로 치를 떤다. 그 중에서도 최악은 유비소프트(Ubisoft)의 DRM 정책이다. 지난 7월에는 유비소프트의 유플레이(Uplay) 서비스가 슬며시 코드화된 브라우저 플러그인(coded browser plugin)을 설치했고 이를 통해 해커들이 사용자들의 컴퓨터로 침입할 수 있는 수단으로 악용될 수 있다는 사실이 공개되며 게이머들의 분노가 극에 달했다. 어세신 크리드 2(Assassin's Creed 2), 고마워요. 다행히도 악의적인 이용 흔적은 없었고, 구멍은 발견 몇 시간 만에 매워졌다. 물론 유비소프트로부터 사과는 한 마디도 없었지만 말이다.

시어버린 스팀 새로운 형태의 비디오 게임 취약점 공격은 유비소프트만의 문제가 아니다. 지난 해 말 리번은 밸브(Valve)의 스팀(Steam) 애플리케이션의 스팀:// 프로토콜(steam:// protocol)에서 악성 코드 취약점이 발견되었다고 발표했다. 문제는 확인 경고 없이(사파리(Safari)), 또는 최소한의 정보만을 제공하며(파이어폭스(Firefox)) 스팀 :// 명령을 자동적으로 실행하는 브라우저들에서 발견됐다. 악성 코드가 한 번 구동 승인을 얻게 되면, 이는 스팀의 합법적인 역량이나 알려진 취약성을 이용해 당신의 하드 드라이브를 쓰레기들로 채워 놓을 것이다. 이야기의 교훈은 브라우저가 자동으로 스팀 프로토콜을 실행하지 못하도록 설정하라는 것이다.

해커들의 놀이터 몇 주 전 캐스퍼스카이(Kaspersky)의 연구원들은 구글 플레이 스토어(Google Play Store)의 두 실행 서비스 정리 앱(드로이드클리너(DroidCleaner)와 슈퍼클린(Superclean))이 안드로이드 휴대 기기를 윈도우 PC와 디스크 드라이브 방식으로 연결 시(음악이나 사진 전송 시) PC에 문제를 일으킨다는 사실을 확인했다. 감염은 PC가 자동 실행을 허용하는 경우 앱이 휴대전화 SD 카드의 루트 깊숙이 숨겨 놓은 코드가 악성코드를 실행하고 설치하는 방식으로 이뤄진다. 설치된 악성코드는 PC의 마이크를 모니터링하며 소리가 감지되면 이를 녹음해 악성코드 배포자에게 암호화하여 전달한다. 현재로써는 그리 위협적이진 않겠지만, 이전의 자동 실행 취약성이 새로운 모습으로 발전했다는 점에서 주의를 기울일 필요가 있을 것이다.

가상화 기기도 안전하지 않다 가상 PC의 대표적인 이점 중 하나는 바로 보안 능력이 향상된다는 점이다. 필요하면 언제든 디스크 이미지를 지우고 새로이 시작할 수 있기 때문이다. 그러나 크라이시스(Crisis)라는 이름의 악성코드로 인해 이는 이제 옛 말이 되어버렸다. 시만텍의 보고서(http://www.symantec.com/connect/blogs/crisis-windows-sneaks-virtual-machines)에 따르면 크라이시스는 일단 사용자의 컴퓨터에 자리를 잡으면(악성 JAR 파일 다운로드를 통해 침입이 이뤄진다) 하드 드라이브에 저장된 VM웨어 가상화 기기 이미지를 검색한다. 이미지가 발견되면 크라이시스는 VM웨어 플레이어(VMware Player) 툴을 이용해 가상 머신 내부로 들어간다. 이러한 과정은 엄밀히 VM웨어의 취약성이라기보다는 오히려 가상화 기기의 본질적 특성으로 인한 부작용이라 표현하는 것이 옳을 것이다.

나는 네가 컨퍼런스콜에서 한 얘드를 듣고 있다! 값비싼 예산을 투자해 구축한 화상 회의 시스템이 염탐꾼들의 뒷구멍이 될 수도 있다. 맥아피의 디로는 “일부 화상 회의 시스템은 인터넷을 통해 접속할 수 있다. 이러한 구조는 사이버 범죄자들에게는 최적의 목표물이 된다. 이를 통해 회의를 진행하는 것은 기업의 비밀을 모두에게 노출 시키는 것과 다를 바 없다”라고 말했다. 2010년 보안 연구자들은 하드웨어에 뿐 아니라 해당 하드웨어가 연결된 네트워크에도 접근 권한을 부여하던 시스코의 통합 화상 회의(Unified Videoconferencing) 상품에서 다수의 취약성을 발견한 바 있다. (시스코는 곧바로 결함 부분에 패치를 적용했다) 2012년 1월에는, 15만 개 가량의 화상 회의 시스템들이 자동 응답이 이뤄지도록 설정되어 있다는 연구자들의 발표도 있었다.

시몬이 ‘gg’ 쳤어? 2007년 지디넷(ZDNet)의 조지 우는 (당신의 컴퓨터에도 포함된) 윈도우 음성 인식(Windows Speech Recognition) 기능에 오디오 파일로 명령을 전달하는 것이 가능하다는 사실을 발견했다. 그렇다면 이를 활용한 공격 사례가 그다지 많지 않은 이유는 무엇일까? 별로 실용적이지 않기 때문이다. 이를 위해서는 스피커와 마이크가 갖춰져 있고 윈도우 음성 인식 기능이 활성화 상태여야 하며, 또한 PC가 음성 명령에 따라 동작하는 동안 사용자가 이를 알아채지 못해야 한다는 이런저런 전제조건들이 필요하다. 권한 없는 접근을 차단하는 사용자 접근 제어(UAC, User Access Control)를 넘는 것도 문제중 하나다. 그럼에도 필자가 이를 언급하는 이유는 이 취약성이 아직 해결되지 않았다는데 있다. 가능성은 낮지만 이는 충분히 당신의 파일들을 삭제하고 악의적 웹사이트에 접속하게 할 수 있는 위협이다.

사이보그 주의보 만일 형사 가제트가 당신을 껴안으려 한다면, 당장 도망쳐라. 데이어스 EX(Deus Ex)와 같은 게임이나 소설 등을 통해 쿨하게 묘사되는 인공 두뇌학도 그 본질은 전자 기기다. 마크 가슨은 ‘컴퓨터 바이러스에 감염된 최초의 인간'이라는 소름 돋는 수식어도 달고 있지 않은가? 레딩 대학의 인공 두뇌학 전문가 가슨은 자신이 개발한 바이러스에 감염된 RFID 칩을 자신의 손에 이식한 뒤 이를 통해 연구실의 컴퓨터에 침입해 시설에 입장하는 모든 이들의 RFID 전자 카드를 감염 시킬 수 있다고 주장하고 있다.