게이밍 장비 제조사로 유명한 레이저 사가 조만간 간편한 해킹 장비 제조사의 오명을 쓸 지도 모른다. 꼽기만 하면 해킹이 가능한 마우스와 키보드 제품들이 발견됐기 때문이다. 물론 다른 비슷한 장비들에도 비슷한 현상이 나타날 가능성이 높긴 하다.

[보안뉴스 문가용 기자] 윈도는 가장 널리 사용되는 OS이지만 아직까지 ‘단단하다’는 신뢰를 주지는 못하고 있다. 해커들 사이에서도 익스플로잇이 쉬운 플랫폼으로 꼽힐 때가 많다. 그런 가운데 너무나 쉬운 익스플로잇 공격 기법이 하나 더 발견됐다. 게이밍 장비로 유명한 레이저(Razer)사 마우스를 컴퓨터 본체에 연결하는 것이 전부일 정도로 쉽다고 한다. 여기서 어려운 점이라면 공격 대상에 대한 물리적 접근이 성립되어야 한다는 것뿐이다.


[이미지 = utoimage]

문제의 핵심은 플러그앤플레이(Plug and Play)라는, 윈도 사용자들에게는 너무나 친숙한 기능이다. 컴퓨터의 주변 장비를 꼽기만 하면 바로 사용할 수 있게 해 주는 기능으로, 플러그앤플레이 이전에는 새로운 장비를 연결할 때마다 동봉된 디스크나 CD로부터 전용 소프트웨어와 드라이브를 따로 설치하고 호환성을 조정해야만 했다. 이 과정이 없으면 컴퓨터가 새 장비의 존재를 알아차리지 못했다. 플러그앤플레이 덕분에 아무 마우스나 컴퓨터에 꽂아도 곧바로 사용이 가능하게 되었다고 볼 수 있다.

주변 장치 제조사로 유명한 레이저의 경우에도 이런 방식으로 사용자들이 자신들의 제품을 사용할 수 있게 해 준다. 외신인 블리핑컴퓨터에 따르면 트위터에서 존햇(jonhat)이라는 이름으로 활동 중인 보안 전문가가 이러한 레이저 제품들의 플러그앤플레이 기능에서 취약점을 발견했다고 한다. 기사에 의하면 레이저 장비 일부를 윈도 기반 컴퓨터에 꼽는 순간 레이저 시냅스(Razer Synapse)라는 소프트웨어가 설치되는데, 이는 사용자가 레이저 장비를 쉽게 제어 및 설정할 수 있게 해 주는 일종의 ‘플러그앤플레이 관리자’ 프로그램이라고 한다. 존햇이 취약점을 발견한 건 바로 이 스냅스 소프트웨어에서였다.

존햇에 의하면 이 시냅스의 파일은 RazerInstaller.exe이며, 원래부터 시스템 층위의 권한으로 실행되도록 만들어져 있다고 한다. 즉 윈도 PC에 어떠한 변경도 야기할 수 있게 된다. 그 ‘변경’ 중에는 파일 탐색기 인스턴스를 시스템 권한으로 실행시키는 것과, 사용자가 파워셸을 가동시켜 컴퓨터에서 뭐든 할 수 있도록 해 준다는 것도 포함되어 있다. 즉 사용자가 멀웨어를 가지고 있는 자라면 피해자 컴퓨터에 접근해 마우스를 꼽고, 자동으로 설치되는 시냅스를 통해 멀웨어도 심을 수 있게 된다는 뜻이다.

존햇은 트위터(계정 이름 @j0nh4t)를 통해 익스플로잇 상세 과정도 동영상으로 공개했다.
1) 레이저 사의 마우스를 컴퓨터와 연결시키면 자동으로 시냅스 다운로드 및 설치 과정이 시작된다.
2) 설치 파일은 위에 설명된 대로 시스템 권한 즉, 가장 높은 권한을 가지고 있다.
3) 설치 마법사 프로그램이 뜨면서 시냅스를 설치하기 위한 폴더를 지정하라고 사용자에게 요청한다.
4) 디폴트 폴더를 바꾸기로 하면 ‘폴더 선택’이라는 대화창이 뜬다. 이 대화창을 ‘쉬프트+우클릭’하면 ‘여기에서 파워셸 창 열기’라는 프롬프트가 나타난다.
5) 그런 후에는 지정된 폴더에서 파워셸 프롬프트가 열린다. 당연히 이 프롬프트도 시스템 권한을 가지고 있다.
6) 방금 레이저 마우스를 꼽은 사람은 어떤 계정으로 로그인을 했던지 윈도 관리자가 된다.

블리핑컴퓨터는 이 과정을 전부 실험했다며 스크린샷을 첨부한 기사를 업로드하기도 했다. 또한 보안 전문가인 윌 도만(Will Dormann)의 트위터를 인용해 “다른 플러그인플레이 장비의 소프트웨어에서도 비슷한 취약점이 있을 가능성이 높다”고 밝히기도 했다. 윌 도만은 개인 트위터를 통해 “어떻게 아무도 이걸 모르고 살았을까?”라며 놀라움을 표했다.

이 취약점의 나쁜 점은 레이저 장비를 싼 값에 구매하기만 하면 해킹 기술이 없어도 누구나 해킹 공격을 할 수 있게 된다는 것이다. 쉬프트 키와 우클릭만 이해하면 되는 수준이다. 그나마 다행인 건 해커가 공격 표적에 반드시 물리적으로 접근해야 한다는 건데, 이것이 공격에 있어 그리 큰 장애가 되지 않는 경우도 많다.

존햇은 “레이저 측에 이러한 사실을 먼저 알렸으나 아무런 답을 받을 수 없었다”며 취약점 공개 이유를 밝혔다. 레이저는 아직도 패치를 개발하지 않고 있는 상황이며, 따라서 이 취약점은 현재까지 제로데이 상태를 유지하고 있다.

3줄 요약
1. 게이밍 장비, 꼽기만 하면 플러그앤플레이 소프트웨어 다운로드 됨.
2. 그런데 이 소프트웨어를 설치하는 과정을 익스플로잇 하면 누구나 윈도 관리자가 됨.
3. 제조사 레이저 측에서는 아무런 소식이 없어 발견자가 취약점을 공개하게 됨.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>