마이크로소프트는 2021년 3월자 시큐리티 시그널스(Security Signals) 보고서를 통해 지난 2년간 전체 기업의 약 80%가 한 차례 이상의 펌웨어 공격을 경험했다고 밝히며 심각한 우려를 표명했습니다. 이러한 높은 피해율의 배경에는 펌웨어 보호에 충분한 예산과 자원을 배정하지 않는 기업들의 관행이 자리하고 있습니다.
대표적인 펌웨어 공격 사례
펌웨어 공격이 낯설게 느껴진다면 2018년의 팬시 베어(Fancy Bear) 공격을 떠올려 볼 필요가 있습니다. 이 공격은 UEFI(통합 확장 펌웨어 인터페이스) 루트킷을 조작하여 전 세계 수많은 윈도우 PC에 감염 피해를 입혔습니다.
그 외에도 데루스비(Derusbi), 그레이피시(GrayFish), 썬더스파이(ThunderSpy), 로빈후드(RobbinHood), 사우론(Sauron) 등 다양한 펌웨어 악성코드가 활동하고 있습니다. 이러한 공격이 특히 위험한 이유는 운영체제가 아닌 하드웨어 코드 자체, 특히 메인보드의 코드를 직접 변조할 수 있기 때문입니다. 일단 펌웨어가 오염되면 OS를 재설치하거나 디스크를 포맷해도 악성코드가 남아 지속적으로 시스템을 장악할 수 있습니다.
마이크로소프트의 대응: 시큐어드 코어 PC
이에 대응하여 마이크로소프트는 '시큐어드 코어(Secured Core)' 인증 윈도우 10 PC를 선보였습니다. 해당 기기는 악성코드가 하드웨어 내부의 ROM을 변조하는 것을 원천적으로 차단하도록 설계되었습니다.
시큐어드 코어 인증을 받은 하드웨어로는 ARM 기반 서페이스 프로 X(Surface Pro X)와 HP 드래곤플라이(Dragonfly) 노트북 등이 있으며, 구매 비용은 최소 2,000달러(약 220만 원) 이상에 달합니다. 아울러 마이크로소프트는 자사 백신 프로그램 디펜더(Defender)에 UEFI 스캐너 모듈을 통합하여 펌웨어 수준의 악성코드 탐지 역량을 강화했습니다.
여전히 소홀한 펌웨어 보안 투자
그러나 마이크로소프트는 이 같은 조치만으로는 충분하지 않으며, 기업들이 펌웨어 공격을 그 어느 때보다 진지하게 받아들여야 한다고 강조합니다. 하이포시스 그룹(Hypothesis Group)이 수행한 최신 조사에 따르면 기업들은 보안 업데이트, 고급 위협 방어(ATP) 솔루션, 취약점 스캐닝에만 집중할 뿐 정작 펌웨어 보안에는 관심을 기울이지 않는 것으로 나타났습니다.
흥미롭게도 조사 대상 기업의 46%는 하드웨어 기반 커널 보호 솔루션을 찾고 있었고, 36%는 이미 하드웨어 기반 메모리 암호화에 투자한 것으로 확인되었습니다. 이는 펌웨어 보안에 대한 인식이 점차 확산되고 있다는 신호로 해석할 수 있습니다.
결론: 탐지 중심에서 사전 예방형 보안으로
요컨대 이번 연구가 지적하는 핵심은 현재의 보안 모델이 잠재적 위협을 사전에 차단하기보다는 탐지 후 대응하는 방식에 치중되어 있다는 점입니다. 이번 조사는 1,000개 기업을 대상으로 진행되었으며, 응답 기업의 약 82%는 패치 적용, 하드웨어 업그레이드, 내부 및 외부 취약점 관리 등 과중한 보안 업무로 인해 할당된 자원을 모두 소진하고 있다고 답변했습니다.
공격자들이 하드웨어 계층을 표적으로 삼는 만큼, 기업들은 펌웨어 보안을 전반적인 보안 전략의 핵심 요소로 편입하고 예방 중심의 방어 체계를 구축해야 할 시점입니다.