본문 바로가기 주메뉴 바로가기 검색 바로가기
맥OS 보안 계층, 단 하나의 결함으로 모두 무너뜨린다
상태바
맥OS 보안 계층, 단 하나의 결함으로 모두 무너뜨린다
연구팀이 주입 결함 하나로 맥의 모든 파일에 접근했다. 애플은 해당 취약점 수정사항을 배포했으나 일부 기기는 여전히 보안이 취약한 상태이다.
By MATT BURGESS, WIRED UK

맥을 종료할 때마다 “지금 당장 컴퓨터를 종료하시겠습니까?”라는 알림창이 등장한다. 그리고 명령어 아래에는 대부분 간과할 만한 맥을 켤 때, 앱과 창 재실행 옵션 선택이 있다. 연구팀은 이와 같은 저장 상태 기능의 취약점을 악용할 방법을 발견했다. 해당 취약점은 애플의 보안 보호 핵심 계층 손상에 악용할 수 있다.

맥OS 보안 침입을 위한 과정 주입 공격으로 의심할 만한 취약점은 문제점을 최초로 발견한 네덜란드 사이버 보안 기업 컴퓨티스트(Computest) 보안 연구원인 디스 알케마데(Thijs Alkemade)가 설명한 바와 같이 해커 세력이 맥의 모든 파일을 읽거나 웹캠을 제어하도록 한다. 알케마데 연구원은 “기본적으로 세 가지 다른 위치에 적용할 한 가지 취약점이다”라고 말했다.

알케마데 연구원은 저장 상태 기능의 초기 공격 배포 후 애플 생태계의 다른 부분으로 이동할 수 있었다. 먼저, 한 가지 앱 해킹을 성공적으로 제어하도록 설계된 맥OS 샌드박스(macOS sandbox)로 이동했다. 그리고 맥의 민감 파일 접근으로 공인 코드를 멈추도록 설계한 핵심 보안인 시스템 통합 보호(SIP) 기능을 우회했다.

8월 6일부터 11일까지 라스베이거스에서 개최된 블랙햇(Black Hat) 컨퍼런스에서 발표한 알케마데 연구원은 2020년 12월, 해당 취약점을 발견하고 버그 바운티 프로그램을 통해 애플에 취약점 발견 사실을 알렸다. 알케마데 연구원은 ‘매우 훌륭함’이라는 연구 평가를 받았으나 애플이 건넨 상금을 정확히 공개하지 않았다. 이후 애플은 알케마데 연구원이 보고한 결함을 다루고자 2021년 4월과 10월, 총 두 차례 업데이트를 배포했다.

알케마데 연구원이 발견한 결함에 대한 사항을 물어보았을 때, 애플은 알케마데 연구원의 발표 전까지 답변하지 않았다. 애플의 취약점을 개선한 두 차례의 공개 업데이트는 상세 정보를 간단히 공개하지만, 해당 취약점은 악성 앱이 사용자의 민감 정보 유출과 시스템 특권 강화를 통한 해커 세력의 시스템 이동이 가능하도록 한다.

알케마데 연구원은 공격 발생 지점을 설명하는 블로그 게시글을 통해 애플의 변경 사항은 앱 제작자를 위한 개발자 워크스페이스인 엑스코드(Xcode)에서도 찾아볼 수 있다고 설명했다. 이어서 애플이 2021년 10월 배포된 몬터레이(Monterey) 운영체제의 문제를 수정했으나 이전 맥OS 버전은 여전히 공격에 취약하다고 경고했다.
 
[사진=Unsplash]
[사진=Unsplash]

공격에 성공하기 위해 택할 단계는 여러 단계가 있지만, 기본적으로 초기 과정 주입 취약점으로 돌아가게 된다고 설명했다. 과정 주입 공격은 해커 세력이 기기에 코드를 주입한 뒤 초기 의도와는 다른 방식으로 코드를 실행하도록 한다.

공격 자체는 꽤 흔하다. 알케마데 연구원은 “종종 특정 애플리케이션에서 과정 주입 취약점을 찾아보기 좋다. 그러나 대대적으로 사용할 수 있는 취약점 발견은 매우 드문 일이다”라고 말했다.

알케마데 연구원은 해당 취약점은 맥 종료 시 앱과 윈도 실행 사항을 저장하는 저장된 상태 시스템의 연쇄적인 거부 반응 내에서 취약점을 발견했다. 저장된 상태 시스템은 앱 냅(App Nap) 실행 과정에서 맥을 사용하는 도중 실행할 수도 있다.

알케마데 연구원은 애플리케이션을 출시할 때 불확실한 버전의 연속 거부 반응을 이용해 일부 파일을 읽고 실행한다고 설명했다. 알케마데 연구원은 맥을 겨냥한 공격을 설명한 블로그 게시글에 연쇄 거부 반응을 어디서나 이용할 수 있으며, 종종 과정 간 데이터 교환에도 악용할 수 있다. 사용자가 한 곳에 파일을 생성한 뒤 다른 애플리케이션이 이를 실행하는 방식으로 공격을 개시한다”라고 설명했다. 기본적으로 악성 연쇄 거부를 생성하고 의도하지 않은 방식으로 시스템이 실행하도록 만든다.

알케마데 연구원은 이 부분에서부터 취약점을 악용해 맥 앱 샌드박스에서 벗어날 수 있었다. 바로 애플이 첫 번째로 수정한 결함이다. 다른 애플리케이션에 코드를 주입한 뒤 개시할 공격을 확대할 수 있다. 마지막으로 알케마데 연구원은 많은 사용자가 민감 데이터를 읽거나 변경하는 과정에서 공식 인증되지 않은 코드 실행을 중단하리라 추측하는 시스템 통합 보호를 우회할 수 있었다. 알케마데 연구원은 “기본적으로 디스크에 저장된 파일을 모두 읽고, 특정 시스템 파일을 수정할 수 있었다”라고 말했다.

지금까지 알케마데 연구원이 발견한 취약점이 실제 공격에 악용되었다는 증거는 없다. 다만, 결함은 해커 세력이 운영체제 전체로 이동하면서 갈수록 더 많은 데이터에 접근하는 방법을 보여준다. 알케마데 연구원은 취약점 발견 사항을 설명하면서 맥OS의 로컬 보안이 iOS 모델과 같은 방향으로 변한다는 점을 언급하며, 시스템의 여러 부분을 재검증해야 한다는 사실을 강조했다.

** 위 기사는 와이어드UK(WIRED.co.uk)에 게재된 것을 와이어드코리아(WIRED.kr)가 번역한 것입니다. (번역 : 고다솔 에디터)

<기사원문>
A Single Flaw Broke Every Layer of Security in MacOS
이 기사를 공유합니다
RECOMMENDED