::::: 해커즈뉴스 / 해커몰 :::::

해커즈뉴스 / 해커대학

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

Donation bitcoin(기부용 비트코인 주소)

1Pq3K39XM5xx4CifGKgppXeavtWNNHH7K4

기부하신 비트코인은 "보안 취약 계층"을 위해 사용되고 있습니다.

공지

1. MS 엣지 브라우저에서의 경고창은 '윈도우 디펜더'를 끄시면 됩니다.

'윈도우 디펜더 끄기'

2. 크롬 브라우저로 접속시 나오는 악성코드 경고창은 구글 크롬의 에러, 즉 오탐(탐지 오류)이므로 무시하시면 됩니다.

3. 이 사이트는 안전하며 깨끗하다는 것을 알려 드립니다.

4. 무고한 사이트들에 대한 공룡 기업 브라우저들의 무차별적인 '탐지 오류 횡포'가 사용자들의 정보 공유의 자유를 침해하고 있습니다. 이에 대응하여 이 기업들을 상대로 소송을 준비하고 있습니다.

구분: 정보

장르: 윈도10

2017/9/23(토)

리눅스용 윈도우 서브시스템 이용한 ‘배시웨어’, 탐지조차 못 한다

리눅스용 윈도우 서브시스템(WSL: Windows Subsystem for Linux)을 이용하면 윈도우 10 시스 템으로 탐지가 불가능한 멀웨어를 만들 수 있는 것으로 드러났다. 글로벌 보안업체 체크포인트(C heck Point)의 연구 결과다.

[이미지=iclickart]

체크포인트는 일전에도 WSL이 악용될 위험 이 있다며 우려를 나타낸 바 있다. 체크포인트는 이번에 개발한 기술을 ‘배시웨어(Bashware)’라 고 이름 붙였다. 배시웨어는 WSL이 어떻게 악용될 수 있는지를 증명한 첫 번째 사례다.

체크포인트의 제품 취약점 연구팀 팀장 오데드 바누누 체크포인트의 제품 취약점 연구팀 팀장 오데드 바누누 체크포인트의 제품 취약점 연구팀 팀장 오데드 바누누 체크포인트의 제품 취약점 연구팀 팀장 오데드 바누누(Oded Vanunu)는 “사이버 범죄자가 WSL 메커니즘을 이용하는 게 얼마나 쉬운지 보여주는 연구 메커니즘을 이용하는 게 얼마나 쉬운지 보여주는 연구 메커니즘을 이용하는 게 얼마나 쉬운지 보여주는 연구 메커니즘을 이용하는 게 얼마나 쉬운지 보여주는 연구”라고 설명했다. 그는 WSL를 통해 “보안 제 품을 우회하는 멀웨어를 만들 수 있다”고 말했다.

“잠재적인 익스플로잇 경로를 차단하 는 조치가 대부분 보안 업체 솔루션에 구축돼 있지 않습니다. 따라서 저희는 보안산업이 이에 대 해 즉각적인 행동을 취해야 한다고 촉구하는 중입니다. 배시웨어로부터 사용자를 보호하기 위해 제품을 수정해야만 합니다.”

13일 마이크로소프트는 체크포인트의 연구를 경시하는 태 도를 보였다. 마이크로소프트는 윈도우 10을 사용하는 기업이라면 배시웨어로 인한 위험이 낮다 고 말했다. “공격자는 개발자 모드를 가동해서 컴포넌트와 리부트, 그리고 WSL을 모두 설치해야 만 한다.” 마이크로소프트는 성명문을 통해 “개발자 모드는 기본 설정에서 가동돼 있지 않다”고 설명했다.

WSL은 윈도우 10의 기능 중 하나로, 개발자가 가상 기계나 수정 없이도 윈도 우에서 리눅스를 바로 가동할 수 있게 해준다. 마이크로소프트는 WSL을 통해 개발자가 명령줄 인 터페이스의 이점을 활용할 수 있다며 대부분의 리눅스 툴, 애플리케이션, 유틸리티를 윈도우에서 바로 가동시킬 수 있다고 설명했다. WSL은 지난 7월 베타 테스트를 끝냈으며 현재 윈도우 10을 완전히 지원한다.

마이크로소프트가 WSL을 만든 주요 목적은 리눅스의 배시 터미널 같 은 걸 윈도우에 도입하기 위해서라고 바누누는 말했다. WSL은 사용자 모드와 커널 모드 요소를 모두 갖고 있어서 두 개를 함께 사용할 경우 딱 리눅스 같이 움직이는 환경을 만들 수 있는 것이 다.

WSL의 핵심은 피코 프로세스(Pico Processes)라고 불리는 컨테이너다. 피코 프로 세스는 리눅스 바이너리가 윈도우 10에서 가동될 수 있게 하면서 윈도우 커널에 시스템 호출을 바 로 보낼 수 있게 한다. 피코 프로세스는 윈도우 프로세스와 똑같은 기능을 갖고 있지만 일반적인 윈도우 프로세스 특징들과 완전히 다른 특징을 갖고 있다. 피코 프로세스는 공격자가 WSL 내에 서 악성 EFE와 EXE 페이로드를 몰래 실행할 수 있게 해준다. 현재의 엔드포인트 보안 툴, 점검 툴, 디버거 등이 피코 프로세스를 확인하도록 설계되지 않았기 때문에 피코 프로세스의 페이로드 는 탐지되지 않은 채 존속할 수 있다.

배시웨어는 WSL의 로직 실수나 실행 실수를 이용 하는 게 아니다. 배시웨어는 현재의 보안 제품들이 WSL 내에 숨겨진 멀웨어를 탐지하도록 설계되 지 않았기 때문에 먹힌다. 바누누는 “지금의 보안 제품들은 방어하는 데 피코 프로세스 API를 사 용하지 않는다”고 지적했다.

WSL 악용에 대한 우려는 이따금씩 흘러나왔다. 체크포인트 의 4단계 배시웨어 기술은 WSL 악용이 실제로 어떻게 이뤄지는지 보여주기 위해 탄생했다.

1단계는 윈도우 10 기기에 WSL 기능이 가동돼 있는지 확인하고, 가동돼있지 않은 경우 필요 한 컴포넌트를 몰래 설치하는 기술이다.

WSL이 개발자 모드에서만 작동하기 때문에 2단 계는 개발자 모드로 진입하는 것이다. 체크포인트는 로컬 관리자 특권을 사용해서 레지스트리 키 를 설정함으로써 개발자 모드로 진입할 수 있었다고 설명했다.

3단계에선 마이크로소프 트 서버로부터 리눅스 파일 시스템을 다운로드 및 추출하며, 4단계에선 리눅스 인스턴스로부터 윈도우 멀웨어를 가동시킨다. 이는 오픈소스 호환 레이어를 이용해서 리눅스상에 윈도우 애플리 케이션을 실행함으로써 가능하다.

배시웨어로 공격을 펼치는 데 특정한 세팅이나 조건 이 필요하지 않다고 바누누는 말했다. “배시웨어는 사용자 인터랙션 없이 자동적으로 환경을 설정 합니다. 따라서 모든 윈도우 10 제품들이 영향권 안에 들다고 볼 수 있죠.”

번호	구분	장르	제 목	작성일
7733	정보	윈도10	윈도우 업데이트 통한 대대적 변화 짚어보기	2017/09/25
7732	활용팁	윈도10	"출장길에도 거뜬한" 외장 드라이브에 나만의 윈도우 설치하기 ...	2017/09/24
7731	정보	윈도10	리눅스용 윈도우 서브시스템 이용한 ‘배시웨어’, 탐지조차 못 ...	2017/09/23
7730	정보	악성코드	씨클리너 5.33 최신 버전에 윈도우 32비트 PC 대상 맬웨어 침투....	2017/09/22
7729	정보	보안	AI스피커 카카오미니, 양날의 검? "음성인식 편리하지만 해커의 ...	2017/09/21
7728	정보	해커	전 세계적 위협에 맞서는 구글의 엘리트 해커 특수부대	2017/09/20