마이크로소프트는 올해 6월 24일 윈도우 11 발표 이후 뉴스에 자주 등장하고 있습니다. 하지만 화제가 된 이유는 그것만이 아닙니다. 수많은 업데이트 출시와 함께 최근 밝혀진 악성코드 관련 소식 등 여러 이유가 있습니다.
마이크로소프트 보안 대응 센터(MSRC)는 중국의 명령·통제(C2) 서버와 데이터를 주고받는 악성 루트킷이 포함된 드라이버에 서명했음을 인정했습니다. 일부 악의적인 공격자들이 게임 환경을 표적으로 설계된 넷필터(Netfilter) 드라이버에 서명을 받아내는 방식으로 레드몬드의 거대 기업 마이크로소프트를 속인 것으로 보입니다. 해당 드라이버는 플레이어의 지리적 위치를 숨기고 어느 지역에서든 게임을 즐길 수 있게 하는 용도로 사용되었습니다.
이 악성코드의 최초 사례는 독일 사이버보안 회사 G Data의 악성코드 분석가 카르스텐 한(Karsten Hahn)이 식별했습니다. 그는 "윈도우 비스타부터 커널 모드에서 실행되는 모든 코드는 운영체제의 안정성을 보장하기 위해 공개 배포 전에 테스트와 서명을 거쳐야 합니다"라고 설명했습니다. 또한 "마이크로소프트 인증서가 없는 드라이버는 기본적으로 설치할 수 없다"며 마이크로소프트의 코드 서명 프로세스에 대한 우려를 표했습니다.
이 악성코드는 어떻게 작동했나?
MSRC에 따르면 악의적인 의도를 가진 이들은 이 악성코드를 이용해 다른 게이머들을 공격하고 키로거(keylogger)를 통해 계정 자격 증명을 탈취했습니다. 직불카드·신용카드 정보와 이메일 주소 등 다른 정보까지 해킹했을 가능성도 있습니다.
주목할 점은 넷필터(Netfilter)가 패킷 필터링을 활성화하고 네트워크 주소를 변환할 수 있게 해주는 정상적인 애플리케이션 패키지라는 것입니다. 또한 새로운 루트 인증서를 추가하거나, 새 프록시 서버를 설정하고, 인터넷 설정을 수정하는 데에도 활용될 수 있습니다.
사용자가 이 애플리케이션을 시스템에 설치하면 C2 서버에 연결해 구성 정보와 업데이트를 수신했습니다. 마이크로소프트는 이번 공격에 사용된 기법이 침해 후(post-exploitation) 단계에서 발생한다고 설명했습니다. 즉, 공격자가 먼저 관리자 권한을 획득한 뒤 시스템 시작 과정에서 드라이버를 설치해야 한다는 의미입니다.
MSRC는 "위협 행위자들이 다양한 경로로 시스템에 침투하는 새롭고 혁신적인 방법을 찾으면서 보안 환경은 계속 빠르게 진화하고 있다"라고 밝혔습니다.
한(Hahn)은 이 악성코드를 발견한 핵심 인물이지만, 이후 요한 아이딘바스(Johann Aydinbas), 하루야마 타카히로(Takahiro Haruyama), 플로리안 로스(Florian Roth) 등 다른 악성코드 연구자들도 분석에 합류했습니다. 그는 마이크로소프트가 승인한 드라이버 세트에 또 다른 악성코드가 숨어 있을 가능성을 의문스럽게 바라보았습니다.
악의적 공격자들의 공격 수법
마이크로소프트는 통보를 받은 후 해당 사건을 조사하고 재발을 방지하기 위해 필요한 모든 조치를 취하고 있습니다. 마이크로소프트는 도난당한 코드 서명 인증서가 실제로 사용되었다는 증거는 없다고 밝혔습니다. 이 악성코드의 배후 세력들은 마이크로소프트 서버에 드라이버를 제출하는 정상적인 절차를 따랐으며, 마이크로소프트 서명이 적용된 바이너리도 합법적으로 획득했습니다.
마이크로소프트에 따르면 해당 드라이버는 제3자 개발자가 만들어 윈도우 하드웨어 호환성 프로그램(Windows Hardware Compatibility Program)을 통해 승인받기 위해 제출된 것이었습니다. 이 사건 이후 마이크로소프트는 해당 드라이버를 제출한 계정을 정지시키고, 최우선 순위로 그 계정이 제출한 모든 항목을 검토하기 시작했습니다.
또한 마이크로소프트는 파트너 접근 정책과 검증 및 서명 프로세스를 개선해 보호 수준을 더욱 강화하겠다고 밝혔습니다.
루트킷 악성코드가 담긴 넷필터 드라이버 서명 승인 사건의 결론
마이크로소프트는 해당 악성코드가 중국 게임 시장을 공격하기 위해 만들어졌으며, 소수 개인의 작품으로 보인다고 주장합니다. 이 악성코드와 특정 조직이나 기업을 연결하는 관계는 확인되지 않았습니다. 그러나 이러한 기만적인 바이너리는 누구든 대규모 소프트웨어 공격을 시작하는 데 악용할 수 있다는 점을 유념해야 합니다.
과거에도 유사한 공격 사례가 있었습니다. 이란의 핵 프로그램을 노린 스턱스넷(Stuxnet) 공격이 대표적입니다. 당시에는 코드 서명에 사용된 인증서가 리얼텍(Realtek)과 JMicron에서 도난당했기 때문에 공격이 가능했습니다.
윈도우 11 출시를 앞두고 있는 마이크로소프트에게 이번 사건은 운영체제가 제공하는 안전성과 보안에 대한 근본적인 의문을 불러일 일입니다. 어떻게 생각하시나요? 아래 댓글로 의견을 남겨주세요. 페이스북, 인스타그램, 유튜브에서도 저희를 팔로우하실 수 있습니다.