MS가 11월 정기 패치를 통해 해결한 취약점 중에 CVE-2023-36025가 있다. MS 패치 이전에 이미 일부 공격자들이 익스플로잇 하던 것이었다. 그런데 패치가 나오고 얼마 지나지 않은 시점에 이 취약점의 익스플로잇 코드가 공개됐다.

[보안뉴스 문가용 기자] 윈도 스마트스크린(Windows SmartScreen)에서 발견된 제로데이 취약점의 개념 증명용 익스플로잇 코드가 공개되면서 문제가 커지고 있다. 문제의 취약점은 CVE-2023-36025로, MS가 이번 11월 정기 패치를 통해 해결한 취약점이기도 하다. 하지만 패치가 나오기 전부터 이미 익스플로잇이 진행되고 있었다.


[이미지 = gettyimagesbank]

방어 장치를 우회하게 해 주는 취약점
CVE-2023-36025는 일종의 인증 우회 취약점이다. 익스플로잇에 성공하게 될 경우 공격자는 윈도 디펜더 스마트스크린 확인 장치를 우회해서 악성 코드를 피해자의 시스템에 주입할 수 있게 된다. 그 어떤 알람도 울리지 않는다. 공격자는 이를 성공시키기 위해 악성 URL을 피해자에게 보내 클릭하도록 유도하거나 악성 파일을 열도록 꾀어야 한다.

MS는 해당 취약점을 분석한 뒤 ‘공격 난이도가 낮다’고 평가했다. 윈도 10, 윈도 11, 윈도 서버 2008과 그 이후 버전들에서 발견됐다고 발표하기도 했다. 일부 보안 전문가들은 이 취약점을 별도로 분석했고, “11월 정기 패치 중 가장 시급히 패치해야 할 취약점”이라고 입을 모았다. 그런 상황에서 최근 개념 증명용 코드가 공개됐고, 이 때문에 가뜩이나 쉬운 CVE-2023-36025 익스플로잇이 더 쉬워졌다.

공개된 익스플로잇 코드를 통해 해커들은 “악성 URL 파일을 정상적으로 보이도록 둔갑시킨 뒤 피싱 메일을 통해 유포하는 방법을 터득할 수 있게 된다”고 코드 개발자는 설명하고 있다. 악성 파일을 직접 연 피해자는 악성 사이트에 곧바로 접속하게 되기도 하고, 악성 코드가 시스템에서 실행되는데 아무 것도 눈치 채지 못하게 되기도 한다. 따라서 응용하기에 따라 다양한 공격으로 이어지는 게 가능하다.

TA544, 이미 익스플로잇 시작
악명 높은 해킹 단체인 TA544는 이미 이 취약점의 익스플로잇을 시작했다. TA544는 주로 금전적인 목적을 달성하기 위해 움직이는 조직으로, 보안 업체 프루프포인트(Proofpoint) 등은 이들을 2017년부터 추적해 오고 있다. 이들은 다양한 악성 도구들을 사용해 서유럽과 일본의 조직들을 특히 많이 공략했는데, 어스니프(Ursnif)라는 뱅킹 트로이목마를 사용하는 것으로 유명하다. 최근에는 위키로더(WikiLoader)라는 다운로더를 활용하는 모습을 보이고 있기도 하다.

이번 주 프루프포인트가 발표한 바에 의하면 TA544는 CVE-2023-36025를 익스플로잇 해서 렘코스(Remcos)라는 원격 접근 트로이목마를 퍼트린다고 한다. 렘코는 윈도 장비를 공략하려는 목적으로 여러 해킹 단체가 고루 사용해 온 도구다. 즉 TA544만의 고유한 도구라고 보기는 힘들다는 것으로, TA544와 같은 고도화 되고 경험 많은 공격자들도 일상적으로 상용 멀웨어를 구매해 사용하고 있다는 것을 보여준다.

스마트스크린은 윈도 운영체제에서 사용되는 보안 기능으로, 피싱 공격이나 사용자의 악성 웹사이트 접속을 막아준다. 또한 악성 파일이나 신뢰하기 힘든 파일을 다운로드 할 때에도 경고를 날린다. 보안 업체 이머시브랩스(Immersive Labs)의 수석 연구원인 케브 브린(Kev Breen)은 “특수하게 조작된 파일을 이용하면 이 스마트스크린의 보안 기능을 무력화시킬 수 있게 된다”고 설명한다. “그러므로 OS 전체의 보안을 약화시키는 것이죠.”

CVE-2023-36025는 올해 스마트스크린에서 발견된 세 번째 제로데이 취약점이다. 2월에는 구글의 보안 연구원이 사이버 공격 캠페인에 스마트스크린이 악용되고 있다는 것을 발견해 MS에 제보한 적이 있다. 당시 공격자는 CVE-2023-24880이라는 취약점을 익스플로잇 해서 마그니버(Magniber)라는 랜섬웨어를 퍼트리고 있었다. MS는 이 취약점을 3월에 패치했다. 7월에는 CVE-2023-32049라는 취약점이 공개되고 패치됐다. 역시 공격자들이 미리 알고 익스플로잇 하고 있었다.

3줄 요약
1. 11월에 패치된 제로데이 취약점, 벌써 익스플로잇 코드 공개됨.
2. 익스플로잇 코드가 공개됐다는 건 취약점 익스플로잇 난이도가 상당히 내려갔다는 뜻.
3. 문제는 해당 취약점의 공격 난이도가 이미 낮았다는 것.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>