20개 유명 업체의 펌웨어 분석했더니 패치 수두룩...알려줬는데도 패치 안 해
펌웨어의 취약점은 여러 공격에 자주 악용되고 있어...국가 지원 공격자들도 활용
[보안뉴스 문가용 기자] 펌웨어 보안 전문 업체인 에클립시움(Eclypsium)이 대기업 혹은 주요 생산 업체 스무 곳에서 나오는 펌웨어 마흔 개를 분석한 결과 심각한 취약점을 다수 발견했다고 한다. 다양한 공격에 익스플로잇 될 가능성이 높다고 한다.
사용자들은 장비의 드라이버들을 통해 BIOS나 각종 시스템 요소들에 접근해 다음과 같은 작업을 실행할 수 있다.

1) 펌웨어 업데이트
2) 시스템 진단
3) 시스템 환경설정 변경

때문에 드라이버에 취약점들이 있을 경우, 장비는 다양한 위험에 처하게 된다. 간단히 말해 공격자들의 권한이 높아지고, 공격 지속성이 높아진다. 기존에 발견된 공격 캠페인에서도 펌웨어 및 드라이버의 취약점이 악용된 사례는 수두룩하다. 에클립시움은 장비의 드라이버에 있는 취약점들이 얼마나 많으며, 실제 공격에 얼마나 활용되고 있는지 확인하고자 주요 업체들의 펌웨어를 조사했다고 한다. 이번 연구 대상이 된 기업은 다음과 같다 : 1) AMI, 2) ASRock, 3) ASUS, 4) ATI, 5) Biostar, 6) EVGA, 7) Getac, 8) Gigabyte, 9) Huawei, 10) Insyde, 11) Intel, 12) MSI, 13) NVIDIA, 14) Phoenix Technologies, 15) Realtek, 16) SuperMicro, 17) Toshiba, 18) 민감한 사업을 진행 중이라 이름을 밝힐 수 없는 조직들.에클립시움에 의하면 위 회사들이 출시한 펌웨어들에서 발견된 취약점들은 사용자 모드에서 커널 모드로 권한을 상승시켜주며, 이를 통해 멀웨어를 심어 운영 체제만이 아니라 장비의 하드웨어와 펌웨어 인터페이스(예 : BIOS)에도 접근이 가능하다고 한다. 공격자가 관리자 권한을 가지고 있는 경우라면, 펌웨어에 취약점이 없더라도, 취약한 펌웨어를 덮어쓰기 하는 것이 가능하다. 에클립시움의 수석 연구원인 미키 슈카토프(Mickey Shkatov)는 “실험한 드라이버들 전부 같은 유형의 취약점을 내포하고 있었다”고 말한다. “높은 권한이 있어야만 접근할 수 있는 요소들에 임의로 접근하여 데이터를 읽거나 쓸 수 있게 해주는 것입니다.

사용자 공간에서 할 수 없는 일을 할 수 있게 해준다는 뜻입니다.”에클립시움은 “실험을 한 드라이버 전부 전 세계적으로 신뢰를 받고 있는 회사에서 만든 제품들”이라고 덧붙였다. 또한 올바른 인증 기관(CA)들이 파일에 서명을 하기까지 했으며, 전부 마이크로소프트의 인증을 받기도 했다. “그러므로 저희가 발견한 취약점들은 마이크로소프트 윈도우의 모든 버전에 적용할 수 있습니다. 게다가 현재 윈도우 기반 장비에 이러한 악성 혹은 취약한 드라이버를 로딩하는 걸 막을 방법이 존재하지 않습니다. 윈도우 프로, 윈도우 엔터프라이즈, 윈도우 서버에 맞는 그룹 정책과 기타 기능들을 활용하면 일부 사용자가 특별한 상황에서 보호를 받을 수 있습니다만, 그 수가 그리 많지는 않을 겁니다. 이 드라이버가 한 번 성공적으로 설치되면 굉장히 긴 시간 사용자 시스템에 머무르며 공격을 가할 수 있습니다.”에클립시움은 모든 제조사들에 이 사실을 전달했고, 90일 이상의 패치 개발 기한을 주었다. 하지만 패치와 보안 권고문을 발표한 건 인텔과 화웨이 뿐이라고 슈카토프는 말한다.

피닉스 테크놀로지스와 인사이드의 경우 OEM 고객들에게만 패치를 배포했다. 물론 이 OEM 고객들이 최종 사용자들에게 패치를 배포할 계획이긴 하다. “여덟 개 업체는 확인했다는 답장은 줬는데, 패치를 하지는 않았습니다. 다섯 개 업체는 아무런 반응이 없고요.”에클립시움은 마이크로소프트에도 이와 같은 사실을 알렸다. MS는 “공격이 시나리오 대로 성립하려면 공격자가 표적에 접근할 수 있어야 한다”는 점을 지적하며, “윈도우 디펜더 애플리케이션 컨트롤(Windows Defender Application Control)을 통해 어느 정도 방어가 가능하다”고 발표했다. “여기에 윈도우 보안 옵션에서 메모리 무결성(memory integrity)을 켜면 더 도움이 될 겁니다.

”이러한 연구 결과는 데프콘을 통해 더 상세하게 공개됐다. 뿐만 아니라 각종 기술적 세부 내용을 회사 블로그(https://eclypsium.com/2019/08/10/screwed-drivers-signed-sealed-delivered/)를 통해 발표하기도 했다.

3줄 요약
1. 펌웨어에 취약점 생길 경우, 장비에 대한 공격자의 권한이 높아지는 효과가 생김.
2. 20개가 넘는 유명 벤더들의 펌웨어 조사해보니, 하나도 빠짐없이 심각한 취약점 있음.
3. 이를 벤더들에 알렸지만 네 개 업체 정도만 패치함. 나머지는 답장만 보내거나, 답장도 없거나.
https://www.boannews.com/media/view.asp?idx=82172 보안뉴스

[국제부 문가용 기자(globoan@boannews.com)]