많은 조직이 BlackX라고 알려진 새로운 UEFI 부트킷 악성코드에 의한 보안 침해를 겪었습니다. 이 악성코드는 완전히 업데이트된 윈도우 11 시스템에서도 '보안 부팅(Secure Boot)' 기능을 우회했습니다. 이 사건은 복잡한 보안 업데이트를 관리하는 마이크로소프트의 전략에 대해 근본적인 의문을 제기합니다.
위협의 본질은 무엇인가?
BlackX는 2023년에 등장한 BlackLotus와 동일한 방식으로 작동하며, 'Baton Drop'(CVE-2022-21894로 등록됨)이라고 알려진 윈도우 부트 매니저의 논리적 취약점을 악용합니다. 이러한 악성 소프트웨어의 위험성은 기기 부팅 초기 단계에서 실행된다는 점에 있습니다. 이를 통해 대부분의 보안 방어 체계가 작동하기 전에 운영 체제 커널에 악성 드라이버를 로드할 수 있으며, 지속성과 탐지 회피 능력이 뛰어납니다.
왜 업데이트가 보호에 실패했는가?
마이크로소프트가 2022년부터 이 취약점을 해결하기 위한 업데이트를 발표했음에도 불구하고, 보호 기능이 완전히 자동화된 것은 아니었습니다. 카스퍼스키(Kaspersky) 연구원들은 마이크로소프트가 2023년과 2024년에 발표한 업데이트가 수백만 대의 기기가 부팅되지 않을 것을 우려하여 기존 디지털 인증서에 대한 신뢰를 자동으로 취소하지 않았다고 설명했습니다.
대신 마이크로소프트는 전체 보호 기능을 활성화하기 위한 추가적인 수동 조치를 시스템 관리자의 책임으로 남겨두었습니다. 연구원들은 이러한 지침이 기술 지원 문서 속에 '묻혀' 있어 일반 IT 관리자가 이를 인지하거나 실행하기 어렵다고 지적했습니다.
이것이 사용자에게 의미하는 바는 무엇인가?
이 사건은 보안 패치 발표와 실제 적용 사이의 격차를 강조합니다. 조직들은 정기적인 업데이트를 설치하는 것만으로 보호받고 있다고 생각하지만, UEFI 취약점으로부터 보호받으려면 명확하게 공지되지 않은 추가적인 수동 조치가 필요합니다. 전문가들은 공격자들이 이러한 모호함을 악용했다고 보고 있습니다. 소수의 조직만이 필요한 수동 보호 조치를 활성화한다는 점을 간파하고, BlackLotus 기술을 복제하여 BlackX를 개발하는 것이 해커들에게 성공적인 투자가 된 것입니다.
현재까지 마이크로소프트는 현재의 업데이트만으로는 'Baton Drop' 공격에 대한 완전한 보호를 제공하지 않는다는 명시적인 경고를 사용자에게 제공하지 않았으며, 이로 인해 시스템 관리자들은 자신의 기기를 최종적으로 보호하는 방법에 대해 불확실한 상태에 놓여 있습니다.