정기 패치가 진행되는 날이다. MS는 대단히 많다고 보기 힘들지만 그렇다고 적다고 말하기도 힘든 취약점을 패치했다. 제로데이가 4개인데 실제 공격에 활용되고 있는 건 1개다. NSA가 주목하고 있는 건 익스체인지 서버와 프린트 스풀러에서 나온 취약점들이다.
 
[보안뉴스 문가용 기자] MS가 정기 패치일을 맞아 74개의 취약점들을 패치했다. 이 중 가장 중요해 보이는 건 Win32k 드라이버에서 발견된 권한 상승 오류로, 치명적 위험도를 가지고 있는 것으로 분석됐다. 이미 중국의 APT 단체가 이미 각종 업체들과 기관들을 공격하는 데 활용하고 있던 취약점으로 알려져 있다. 이 공격은 최소 8월부터 진행되어 왔다.
 

[이미지 = utoimage]

그 외에도 주목해야 할 건 이번 패치가 나오기 전부터 공개된 취약점 3개에 대한 업데이트와 새롭게 익스체인지 서버에서 발굴된 취약점이다. 위 제로데이 취약점과 달리 이 취약점 4개는 현재까지 실제 공격에 익스플로잇 되지는 않고 있다고 한다.
 
문제의 제로데이 취약점은 CVE-2021-40449로, 일종의 UaF 취약점이다. Win32k 커널 드라이버에서 발견됐으며 성공적으로 익스플로잇 될 경우 권한을 상승시킬 수 있게 된다. 다만 원격에서 익스플로잇이 되는 건 아니다. 지난 8월과 9월 윈도 서버에서 발견된 다양한 공격 사례들을 조사하던 카스퍼스키(Kaspersky)가 발견해 알렸다. 하지만 이미 중국 해커들이 활용하고 있던 다음이었다.
 
중국 해커들의 제로데이 캠페인은 국방, IT, 통신 분야 등을 주로 겨냥하고 있었는데, 카스퍼스키는 이 캠페인에 미스터리스네일(MysterySnail)이라는 이름을 붙였다. 배후 세력은 아이언허스키(IronHusky)라는 단체로 보인다. 아이언허스키는 중국어를 구사하는 해킹 전문가들로 구성되어 있으며 최소 2012년부터 활동해 왔다.
 
카스퍼스키의 보안 연구원인 보리스 라린(Boris Larin)은 이 제로데이 취약점에 대해 “익스플로잇 난이도가 쉽고, 공격자들이 장비에 대한 완전 제어 권한을 가져갈 수 있게 해 준다”고 설명한다. “공격자들은 이 취약점만 잘 익스플로잇 하면 거의 모든 걸 할 수 있게 됩니다. 인증 크리덴셜도 훔칠 수 있고, 같은 네트워크에 있는 다른 장비들도 공격할 수 있고, 공격 지속성도 확보할 수 있습니다.”
 
그나마 다행인 건 이 취약점의 익스플로잇 코드가 은밀히 활동하는 APT 단체들만 사용했기 때문에 공개되지 않았다는 것이다. 하지만 누가 아이언허스키의 공격 대상이 될지 모르는 것이기 때문에(즉 누구라도 아이언허스키의 공격 대상이 될 수 있기 때문에) 이 취약점의 패치를 시급히 적용하는 게 권장된다. “취약점이 있는 곳은 Win32k 커널 드라이버입니다. OS의 가장 중요한 부분 중 하나죠. 이 취약점은 해결책이 패치 외에는 없습니다.”
 
보안 업체 브리치퀘스트(BreachQuest)의 CTO인 제이크 윌리엄즈(Jake Williams)는 “이번에 공개된 제로데이 취약점은 원격 익스플로잇이 불가능하지만 결코 무시해서는 안 된다”고 설명한다. “공격자들이 원격 익스플로잇을 하지 못한다고 해서 포기하지 않습니다. 피싱 공격들을 통해서나 다른 취약점 익스플로잇을 통해 엔드포인트 제어 장치를 우회하고 악성 행위를 할 수 있거든요. 원격 익스플로잇의 가능 및 불가능은 이제 공격 난이도를 크게 판가름내지 못하는 요소입니다.”
 
게다가 익스플로잇 코드가 아직 공개되지 않았다는 것 역시 안심할 요소는 아니라고 그는 강조했다. “원래 한 공격자가 익스플로잇을 하면 다른 공격자들도 익스플로잇을 시작합니다. 고급 공격 기술을 가진 APT 단체들로부터 고급 공격 도구나 노하우, 전략 전술과 코드가 다른 사이버 범죄 단체에 전수되어 상향 평준화가 이뤄지는 걸 숱하게 봐왔죠. 이건 늘 있는 흐름이고, 언제 보편화 되느냐는 순전히 시간의 문제입니다.”
 
패치 이전에 이미 공개된 취약점들은 다음과 같다.
1) CVE-2021-40469 : 윈도 DNS 서버에서 발견된 원격 코드 실행 취약점.
2) CVE-2021-41335 : 윈도 커널에서 발견된 권한 상승 취약점.
3) CVE-2021-41338 : 윈도 앱컨테이너 파이어월에서 발견된 보안 우회 취약점.
MS는 이 세 취약점도 제로데이 취약점으로 분류가 가능하지만 실제 공격에 활용될 확률은 낮게 보고 있다.
 
한편 NSA가 중요하게 보고 있는 취약점은 CVE-2021-26427이다. MS 익스체인지 서버에서 발견된 새로운 취약점이다. 익스체인지 서버는 올 한 해를 가장 뜨겁게 장식한 IT 인프라 구성 요소 중 하나로, 해커들의 공격 행위를 거의 1년 내내 끝없이 받고 있다. 원래는 APT 공격 단체가 아주 조용하고 은밀하게 소수의 표적을 공격했었는데, 이 사실이 알려지면서 각종 사이버 공격 단체들의 악성 행위가 시작되면서 사태가 걷잡을 수 없이 커졌다. CVE-2021-26427의 경우 공격자와 피해자가 같은 로컬 네트워크에 있어야 한다.
 
올 여름 지속적인 문제를 일으켰던 프린트 스풀러(Print Spooler)에서도 다시 한 번 취약점이 발견됐다. CVE-2021-36970로, 심각한 취약점은 아니지만 익스플로잇 가능성은 높은 것으로 분석됐다. 일종의 스푸핑 공격을 가능하게 하는 취약점이며, 올해 발견된 다른 프린트 스풀러 취약점인 프린트나이트메어(PrintNightmare)가 그랬듯 피해를 일으키는 데 적극 활용될 가능성이 높아 보인다.
 
3줄 요약
1. 오늘은 MS의 정기 패치일.
2. 총 74개의 취약점을 패치했는데, 제로데이가 총 4개.
3. 마이크로소프트 익스체인지 서버와 프린트 스풀러 관련 취약점도 하나씩 나옴.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>