최신 컴퓨터 대부분을 해킹 가능한 Thunderclap 취약점 발견

Thunderclap vulnerabilities allows to hack most of modern computers

미국 Rice University, 영국 University of Cambridge, SRI International의 보안 전문가들이 새로운 보안 취약점을 발견했습니다. 

이 취약점은 주변 장치를 컴퓨터에 연결하는데 사용되는 애플과 인텔이 제작한 하드웨어 인터페이스인 Thunderbolt를 통해 악용이 가능합니다.

Thunderclap 취약점은 최신 컴퓨터들이 네트워크 카드, 저장 장치, 그래픽 카드 등 주변 장치와 상호작용하는 방식에 영향을 주는 보안 결점입니다.

이 취약점은 Thunderbolt 포트에 물리적으로 접근이 가능한 공격자가 타겟 기기를 몇 초 만에 해킹하여 가장 높은 권한으로 임의 코드를 실행하여 패스워드, 뱅킹 로그인, 암호화 키, 개인 파일, 브라우징 및 기타 데이터에 잠재적으로 접근할 수 있도록 허용합니다.

이 취약점은 윈도우, 맥 OS, 리눅스, FreeBSD를 포함한 모든 주요 OS에 영향을 미칩니다. 공격자는 DMA(Direct Memory Access) 공격을 막기 위해 구현된 보호 메커니즘을 우회함으로써 해당 취약점을 악용할 수 있습니다.

<이미지 출처: http://thunderclap.io/thunderclap-paper-ndss2019.pdf>

공격자는 악성 핫 플러그 장치(마우스, 키보드, 스토리지 등)를 Thunderbolt 3 포트나 최신 USB-C 코트에 단순히 꽂아 DMA(직접 메모리 접근) 공격을 실행할 수 있습니다.

연구원들은 PCI 익스프레스를 통해 연결된 기기나 마더보드에 직접 납땜 된 칩을 통해 이 취약점을 악용하는 것도 가능하다고 밝혔습니다.

공격자들은 Thunderbolt 포트를 활용하여 연결된 장치가 OS의 보안 정책을 우회하고 시스템 메모리의 내용을 직접 읽고/쓸 수 있습니다.

또한 감염된 기기가 메모리의 내용을 조작하고 가장 높은 권한으로 임의 코드를 실행할 수 있습니다.

최신 OS는 DMA 공격을 예방하기 위해 IOMMU(Input/Output Memory Management Unit) 보호 기술을 활용합니다. 이 기술은 주변 장치로부터 메모리로의 접근을 제어합니다.

불행하게도 연구원들은 공격자들이 IOMMU 보호를 우회하고 그들이 원하는 부분의 메모리에 접근할 수 있도록 허용하는 취약점들을 발견했습니다.

일부 윈도우, 리눅스 시스템은 기기가 연결되었을 때 사용자에게 알려주는 Thunderbolt 접근 제어 메커니즘을 통해 Thunderclap 공격을 완화했습니다. 하지만 전문가들은 이 공격이 PCI 익스프레스 주변장치를 통해 실행될 경우 알림이 표시되지 않는다고 밝혔습니다.

사용자들은 출처를 알 수 없거나 신뢰할 수 없는 기기를 절대 연결하면 안 됩니다.

IOMMU 보안 메커니즘은 대부분의 OS에서 디폴트로 활성화되어 있지 않아 상황은 더욱 심각합니다. 또한 대부분의 최신 기기들은 USB-C를 내장하고 있어 Thunderbolt 3 포트를 사용하는 애플 외의 기기들에도 잠재적 영향을 미칠 수 있습니다.

전문가들은 주요 OS 및 하드웨어 제작사들에 이를 제보했으며, 회사들은 Thunderclap 취약점을 수정하기 위해 빠르게 마이그레이션을 구현했습니다.

애플은 root shell에 도달하기 위한 네트워크 카드 취약점을 맥 OS 10.12.4 버전과 이후 버전에서 수정하였다고 말했으며, 최근 인텔은 리눅스 커널 버전 5.0에 취약점에 대한 패치를 발행했습니다.

FreeBSD 프로젝트는 악성 주변 장치가 현재 보안 대응을 위한 위협 모델에 포함되어 있지 않다고 밝혔습니다.

이러한 유형의 공격을 예방하는 가장 좋은 방법은 Thunderbolt 포트를 비활성화하는 것입니다.

전문가들은 연구 논문을 통해 취약점에 대한 자세한 기술 정보를 제공했으며, 타겟 시스템에서 ThunderClap을 악용하여 하드웨어를 공격할 수 있는 PoC(Proof of Concept)도 개발되었으나 아직 공개하지 않은 상태입니다.

출처:

https://securityaffairs.co/wordpress/81719/hacking/thunderclap-dma-attacks.html

http://thunderclap.io/