취약점 익스플로잇까지의 시간, 단 22분

사이버 공격자들이 취약점의 개념 증명용 익스플로잇이 공개된 후 이를 무기로 전환시키는 데 걸리는 시간이 빠르면 22분에 불과하다고 한다. CVE를 부여하고 따로 관리하는 취약점들이 사실상 공개가 되자마자 공격에 활용될 수 있다는 것이다.

 

즉, 이 상징적인 시간 22분만에 각 기업의 담당자들이 방어를 실시하지 않으면, 이는 실질적인 제로데이 공격이 되는 것이다. 아래의 취약점들이 특히 공격자들 사이에서 인기가 높았는데, 물론 이것에만 집중해서는 안 된다. 

 

1) CVE-2023-50164 : 아파치(Apache) 소프트웨어
2) CVE-2022-33891 : 아파치 소프트웨어
3) CVE-2023-29298 : 콜드퓨전(Coldfusion)
4) CVE-2023-38203 : 콜드퓨전
5) CVE-2023-26360 : 콜드퓨전
6) CVE-2023-35082 : 모바일아이언(MobieIron)
7) CVE-2024-27198 : 젯브레인즈 팀시티(JetBrains TeamCity)

 

공격자들이 노리는 것이 실질적인 제로데이 공격이라면, 이것들이 알려지기 시작한 이상 공격자들은 다른 취약점을 찾을 것이기 때문이다. 제로데이 공격은 각 보안담당자들에게는 정말 악몽과 같은 공격 방식이라 할 수 있다. 사실상의 대응이 불가하기 때문이다. 2022년 대비 2023년의 제로데이 익스플로잇은 15% 증가하였다. 2023년 한 해에만 실제 공격에 활용된 제로데이 취약점은 97개다. 제로데이 취약점에 대한 공격은 계속해서 늘어날 수밖에 없을 것이다. 담당자들이 까다로워하는 것을 공격자들이 모를 리가 없기 때문이다.

 

CVE가 붙은 것은 일단은 제로데이에 속하지는 않는데, 이것까지 만약 통계에 포함시킨다면 그 숫자는 어마무시할 것이다. CVE를 이용한 제로데이 공격의 실질적 사례로는 CVE-2024-27198이 존재한다. 이 공격의 타임라인은 다음과 같다.

 

2023년 11월 4일 14시 업데이트 발표

2023년 11월 4일 14시 59분 CVE-2024-27198 정보 공개

2023년 11월 4일 19시 23분 개념 증명용 익스플로잇 코드 공개

2023년 11월 4일 19시 45분 해당 취약점의 익스플로잇 시도 발견 시작

 

개념 증명용 익스플로잇 코드는 말 그대로 취약점의 익스플로잇이 어떻게 이뤄지는지 개념만을 다루기 위해 만들어진 것으로, 실제 익스플로잇 공격을 할 수 있는 무기는 아니다. 그러니 개념 증명용 코드를 가져간다 하더라도 해킹 공격을 실행할 수 있는 건 아니다. 그런데 그런 상황에서 개념 증명용 코드를 무기화 하는 데 걸리는 시간이 22분밖에 되지 않는다는 소식이 나온 것이다. 이는 제로데이의 대규모 확대를 뜻하는 것이다.

 

22분이라는 시간은 최종사용자들이 패치를 적용하기에도 충분치 않은 시간이고, 그것 이전에 보안 담당자들이 대응하기에도 현실적으로 어려운 시간이다. 인간의 대응으로는 한계가 있으며, 그렇기에 우리는 AI, ML 등을 기반으로 한 접근법을 시도해야 할 것이다.

 

 

출처: https://www.boannews.com/media/view.asp?idx=131374