.jpg)
.jpg)
기존에 존재하던 오버레이 공격의 장애물 모두 제거해주는 취약점
플레이 스토어에 등록하지 않고, 사용자 설정 권한 변경 없어도 가능
[보안뉴스 문가용 기자] 위험도가 제법 높은 취약점이 안드로이드 체제에서 발견됐다. 보다 정확히 말하면 안드로이드에 있는 토스트(Toast)란 기능에 있는 취약점으로, 익스플로잇 될 경우 모바일 기기의 원격 통제권 탈취가 가능해진다.
이 취약점을 발견한 건 보안 업체 팔로알토 네트웍스(Palo Alto Networks)에서 운영하는 유닛 42(Unit 42)로 가장 최신 버전인 오레오(Oreo), 즉 안드로이드 8.0 버전만 빼놓고는 모든 버전에서 이 위험성이 드러났다고 한다. 하위 버전 사용자들 전부 위험에 노출되었다는 뜻이기도 하고, 패치가 가능하다는 뜻이기도 하다.
올해 1사분기 동안 3억 2천 7백만 대의 안드로이드 스마트폰이 전 세계적으로 판매되었는데, 이 기기들이 전부 오레오 버전을 탑재한 것은 아니었다. “이 취약점 때문에 안드로이드를 겨냥한 공격의 범위가 훨씬 방대해졌다”고 팔라알토의 위협 통신 책임자인 크리스토퍼 버드(Christopher Budd)는 설명한다.
안드로이드 토스트 기능에서 발견된 이 취약점은 ‘오버레이 공격’을 쉽게 만들어 주는 것이 핵심이다. 토스트 기능이란 사용자가 보고 있는 화면 위에 작은 알림 창을 띄워주는 것으로, 현재 사용되고 있는 창보다 상위 층위에서 나타난다는 특징이 있다. 이 특성을 공격자가 활용할 경우 멀웨어를 설치하고, 데이터를 훔쳐내고, 랜섬웨어 공격을 펼치는 등의 각종 악성 행위를 실시할 수 있게 된다.
오버레이 공격 자체는 새로운 것이 아니다. 이전에도 클로크와 대거(Cloak and Dagger)라는 익스플로잇 방법이 개발된 바 있다. 하지만 이번 토스트 공격에는 클로크와 대거 공격에서 발견됐던 두 가지 에로사항이 사라졌다.
오버레이 공격은 악성 앱 위에 가짜 앱을 실행시키는 것을 기본으로 한다. 사용자 입자에서는 화면에 나타난 가짜 앱을 실행하고 작동시키는 건데, 실제로 구현되는 건 밑에 깔린 악성 앱인 것이다. 가짜 앱을 통해 ‘확인’이나 ‘다음’ 버튼을 누르면 악성 앱이 설치되거나 하는 식이다.
클로크와 대거 공격이 성공하려면 공격자들은 먼저 1) 악성 앱을 구글 플레이 스토어에 등록시켜야 하고, 2) 사용자가 팝업 경고창을 모든 앱보다 가장 상위에 띄우도록 하는 옵션을 활성화시켜야만 했다. 이 두 가지 중 하나라도 이뤄지지 않으면 공격이 불가능한데, 이 조건들은 모두 실행이 어려웠다.
그러나 토스트 취약점의 경우 공격자들이 이 두 가지 조건을 만족시키지 않아도 된다. “팔로알토에서는 클로크와 대거 공격을 좀 더 심도 있게 조사하던 중이었습니다. 특히 안드로이드 체계의 애플리케이션들을 사용해 창을 띄우는 방법을 분석하고 있었습니다. 그러다가 토스트 기능을 활용하는 방법을 발견하게 된 것이죠.” 다행히 아직 이를 실제 공격에 활용한 사례는 아직 발견하지 못했다고 팔로알토는 덧붙였다.
카스퍼스키의 수석 멀웨어 분석가인 로만 우누첵(Roman Unucheck) 역시 토스트 공격방법이 클로크와 대거 공격의 훨씬 쉬운 버전이라는 데에 동의하고 있다. “토스트 취약점이 정말 치명적인 이유는 익스플로잇이 쉽다는 데 있습니다. 기기의 전체적인 통제권도 가져갈 수 있으니 결과도 매우 위험하고요. 하지만 카스퍼스키 역시 실제 이 취약점이 공격에 활용된 사례는 찾을 수 없었습니다.”
[국제부 문가용 기자(globoan@boannews.com)]
플레이 스토어에 등록하지 않고, 사용자 설정 권한 변경 없어도 가능
[보안뉴스 문가용 기자] 위험도가 제법 높은 취약점이 안드로이드 체제에서 발견됐다. 보다 정확히 말하면 안드로이드에 있는 토스트(Toast)란 기능에 있는 취약점으로, 익스플로잇 될 경우 모바일 기기의 원격 통제권 탈취가 가능해진다.
[이미지 = iclickart]
이 취약점을 발견한 건 보안 업체 팔로알토 네트웍스(Palo Alto Networks)에서 운영하는 유닛 42(Unit 42)로 가장 최신 버전인 오레오(Oreo), 즉 안드로이드 8.0 버전만 빼놓고는 모든 버전에서 이 위험성이 드러났다고 한다. 하위 버전 사용자들 전부 위험에 노출되었다는 뜻이기도 하고, 패치가 가능하다는 뜻이기도 하다.
올해 1사분기 동안 3억 2천 7백만 대의 안드로이드 스마트폰이 전 세계적으로 판매되었는데, 이 기기들이 전부 오레오 버전을 탑재한 것은 아니었다. “이 취약점 때문에 안드로이드를 겨냥한 공격의 범위가 훨씬 방대해졌다”고 팔라알토의 위협 통신 책임자인 크리스토퍼 버드(Christopher Budd)는 설명한다.
안드로이드 토스트 기능에서 발견된 이 취약점은 ‘오버레이 공격’을 쉽게 만들어 주는 것이 핵심이다. 토스트 기능이란 사용자가 보고 있는 화면 위에 작은 알림 창을 띄워주는 것으로, 현재 사용되고 있는 창보다 상위 층위에서 나타난다는 특징이 있다. 이 특성을 공격자가 활용할 경우 멀웨어를 설치하고, 데이터를 훔쳐내고, 랜섬웨어 공격을 펼치는 등의 각종 악성 행위를 실시할 수 있게 된다.
오버레이 공격 자체는 새로운 것이 아니다. 이전에도 클로크와 대거(Cloak and Dagger)라는 익스플로잇 방법이 개발된 바 있다. 하지만 이번 토스트 공격에는 클로크와 대거 공격에서 발견됐던 두 가지 에로사항이 사라졌다.
오버레이 공격은 악성 앱 위에 가짜 앱을 실행시키는 것을 기본으로 한다. 사용자 입자에서는 화면에 나타난 가짜 앱을 실행하고 작동시키는 건데, 실제로 구현되는 건 밑에 깔린 악성 앱인 것이다. 가짜 앱을 통해 ‘확인’이나 ‘다음’ 버튼을 누르면 악성 앱이 설치되거나 하는 식이다.
클로크와 대거 공격이 성공하려면 공격자들은 먼저 1) 악성 앱을 구글 플레이 스토어에 등록시켜야 하고, 2) 사용자가 팝업 경고창을 모든 앱보다 가장 상위에 띄우도록 하는 옵션을 활성화시켜야만 했다. 이 두 가지 중 하나라도 이뤄지지 않으면 공격이 불가능한데, 이 조건들은 모두 실행이 어려웠다.
그러나 토스트 취약점의 경우 공격자들이 이 두 가지 조건을 만족시키지 않아도 된다. “팔로알토에서는 클로크와 대거 공격을 좀 더 심도 있게 조사하던 중이었습니다. 특히 안드로이드 체계의 애플리케이션들을 사용해 창을 띄우는 방법을 분석하고 있었습니다. 그러다가 토스트 기능을 활용하는 방법을 발견하게 된 것이죠.” 다행히 아직 이를 실제 공격에 활용한 사례는 아직 발견하지 못했다고 팔로알토는 덧붙였다.
카스퍼스키의 수석 멀웨어 분석가인 로만 우누첵(Roman Unucheck) 역시 토스트 공격방법이 클로크와 대거 공격의 훨씬 쉬운 버전이라는 데에 동의하고 있다. “토스트 취약점이 정말 치명적인 이유는 익스플로잇이 쉽다는 데 있습니다. 기기의 전체적인 통제권도 가져갈 수 있으니 결과도 매우 위험하고요. 하지만 카스퍼스키 역시 실제 이 취약점이 공격에 활용된 사례는 찾을 수 없었습니다.”
[국제부 문가용 기자(globoan@boannews.com)]
Copyrighted 2015. UBM-Tech. 117153:0515BC
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-11-01] 
