새로운 Avast 제로데이, 공개 영역에 들어서다
해커 핸들 '카오틱 이클립스(Chaotic Eclipse)'로 활동하는 보안 연구원이 젠디지털(GenDigital)이 소유한 보안 소프트웨어인 Avast Antivirus의 제로데이 취약점으로 알려진 결함에 대한 개념 증명(Proof-of-Concept) 코드를 공개했다. '프리티프라하(PrettyPrague)'라는 이름의 이 익스플로잇은 해당 백신 제품의 권한 상승(privilege-escalation) 취약점을 겨냥한다. 현재 사용 가능한 패치는 없으며, 이 글을 작성하는 시점까지 해당 취약점에 CVE 번호가 부여되지 않았다.
권한 상승 버그는 보안 소프트웨어에서 특히 우려되는데, 백신 제품은 일반적으로 파일을 검사하고 프로세스를 모니터링하며 악성코드를 차단하기 위해 높은 시스템 권한으로 실행되기 때문이다. 만약 결함이 공격자로 하여금 제한된 사용자 계정에서 완전한 시스템 수준 접근 권한으로 상승할 수 있게 해준다면, 기기를 보호하기 위해 설계된 바로 그 도구가 기기로 침투하는 통로가 될 수 있다.
카오틱 이클립스는 누구이며, 이 패턴이 왜 중요한가?
카오틱 이클립스가 패치되지 않은 익스플로잇 코드를 세상에 공개한 것은 이번이 처음이 아니다. 같은 연구원은 이전에 레거시하이브(Legacyhive)라는 Windows 제로데이를 유출한 바 있으며, 당시 마이크로소프트는 공개 시점에 마땅한 수정책을 준비하지 못한 상태였다. 주요 소프트웨어에 대해 벤더가 패치를 배포하기 전에 작동하는 익스플로잇을 공개하는 이러한 패턴은 고립된 사건이라기보다 의도적인 전략으로 보인다.
이러한 공개 배후의 동기는 조직과 개인이 대응해야 하는 방식에 중요하다. 연구원이 벤더에게 비공개로 통보하고 세부 정보가 공개되기 전에 문제를 수정할 시간을 주는 전통적인 책임 있는 공개(responsible disclosure)와 달리, 이 접근 방식은 작동하는 익스플로잇 코드를 즉시 유통시킨다. 이는 방어자들이 대응할 수 있는 시간을 압축하고, 기회주의적 공격자들이 수정책이 존재하기 전에 해당 코드를 무기화하려 시도할 가능성을 높인다.
일반 사용자를 위한 프라이버시와 보안의 stakes
백신 소프트웨어는 기기에서 독특하게 신뢰받는 위치에 있다. 이는 파일, 실행 중인 프로세스, 시스템 메모리에 대한 깊은 가시성을 가지며, 바로 그렇기 때문에 해당 계층의 권한 상승 결함이 매우 중대한 것이다. 만약 프리티프라하 익스플로잇이 설명대로 작동한다면, 낮은 권한의 공격자나 이미 기기에 존재하는 악성코드가 해당 결함을 이용해 Avast가 제공해야 하는 바로 그 보호를 우회하여 완전한 시스템 제어권을 얻을 수 있을 가능성이 있다.
대부분의 가정 사용자에게 현실적인 위험은 공격자가 이미 기기에 어떤 형태로든 초기 접근 권한을 가지고 있는지에 크게 달려 있는데, 권한 상승 익스플로잇은 일반적으로 그러한 발판을 필요로 하기 때문이다. 그러나 동일한 기기에 다양한 권한 수준의 여러 계정이 존재하는 기업 또는 공용 컴퓨터 환경에서는 이러한 유형의 취약점이 특히 위험할 수 있다. 악의적인 내부자나 침해된 낮은 권한 계정이 익스플로잇을 사용하여 관리자 수준 접근 권한으로 도약하고, 민감한 파일, 자격 증명, 네트워크 리소스를 노출시킬 수 있다.
이 단계에서 CVE 식별자가 없다는 점도 중요하다. 공식적인 취약점 항목이 없으면 보안 팀이 취약점 스캐너와 패치 관리 시스템 전반에서 해당 문제를 추적하기 어려워지며, 이는 젠디지털이 결함을 인정하고 해결한 이후에도 조직의 대응을 지연시킬 수 있다.
이것이 당신에게 의미하는 것
Avast Antivirus를 사용한다면 당황할 필요는 없지만, 주의를 기울일 가치는 있다. 독립 연구원의 제로데이 주장이 항상 벤더에 의해 확인되는 것은 아니며, 더 많은 정보가 밝혀지면서 세부 사항이 변화할 수 있다. 그렇긴 하지만, Windows에 초점을 맞춘 레거시하이브 익스플로잇을 포함한 동일 연구원의 이전 공개 패턴은 이러한 주장을 일축하기보다 진지하게 받아들일 가치가 있음을 시사한다.
지금 당장 할 수 있는 가장 중요한 일은 최신 상태를 유지하는 것이다. 운영 체제와 보안 소프트웨어 모두에 대해 자동 업데이트를 활성화하여 젠디지털이 배포하는 모든 패치가 사용 가능해지는 즉시 적용되도록 하라. 호기심 때문이라도 공개적으로 게시된 개념 증명 코드를 직접 다운로드하거나 실행하지 말라. 패치되지 않은 시스템에서 이를 실행하면 자신의 기기를 해당 공개가 강조하는 바로 그 위험에 노출시킬 수 있기 때문이다.
또한 기본적인 계정 위생을 점검하기 좋은 시점이다. 권한 상승 익스플로잇은 일반적으로 기기에 대한 기존 접근 권한을 필요로 하므로, 관리자 권한을 가진 계정 수를 줄이고, 강력하고 고유한 비밀번호를 사용하며, 불필요한 소프트웨어 설치를 피하는 것이 이러한 익스플로잇이 악용할 수 있는 공격 표면을 줄여준다.
실행 가능한 시사점
이 상황이 전개되는 동안 해야 할 일은 다음과 같다:
- Avast Antivirus와 Windows를 자동으로 업데이트하여 향후 나올 패치가 지체 없이 설치되도록 하라.
- 연구 목적이라도 공개된 PoC 코드를 운영 중인 기기에서 실행하거나 테스트하지 말라.
- 공용 또는 가족 컴퓨터에서 관리자 권한을 가진 사용자 계정 수를 제한하라.
- 젠디지털의 공식 성명 또는 패치 권고를 주시하고 발표 즉시 신속히 적용하라.
- 비즈니스 환경에서 시스템을 관리한다면, 아직 공식 CVE가 부여되지 않았더라도 이 제로데이 주장을 IT 또는 보안 팀에 알려 추적될 수 있도록 하라.
이와 같은 제로데이 공개는 당신을 보호하기 위한 백신 도구를 포함하여 어떤 단일 소프트웨어도 취약점으로부터 면역이 없다는 것을 상기시켜 준다. 업데이트를 유지하고, 불필요한 권한을 최소화하며, 신뢰할 수 있는 보안 보도를 통해 업데이트를 따르는 것이 업계가 수정책을 마련하는 동안 가장 신뢰할 수 있는 방어 수단으로 남아 있다.
