부트키티 맬웨어

사이버 보안 연구원들은 Linux 시스템을 대상으로 특별히 설계된 최초의 Unified Extensible Firmware Interface(UEFI) 부트킷을 공개했습니다. Bootkitty라는 이름의 이 새로운 개발은 전통적으로 UEFI 부트킷이 주로 Windows 플랫폼과 연관되어 있는 사이버 위협 환경에서 상당한 변화를 나타냅니다.

부트키티: 개념 증명인가, 아니면 새로운 위협인가?

2024년 11월 5일에 발견된 Bootkitty는 적극적으로 배포된 위협이라기보다는 개념 증명(PoC)으로 여겨진다. IranuKit이라고도 불리는 이 부트킷은 현재 실제 공격에서 사용된다는 증거가 없다. BlackCat이라는 별칭으로 운영되는 개발자가 만든 부트킷의 주요 목적은 Linux 초기화 프로세스 중에 아직 식별되지 않은 두 개의 ELF 바이너리를 사전 로드하는 동안 Linux 커널 서명 검증을 비활성화하는 것이다. 시스템 시작 중에 커널의 시작점 역할을 하는 이 프로세스는 Linux의 운영 보안에 매우 중요하다.

Linux용 UEFI 활용: 새로운 차원의 위험

Bootkitty의 등장은 UEFI 부트킷이 Windows 시스템에만 독점된다는 오랜 인식에 도전합니다. 이러한 발전으로 Linux 사용자는 이제 잠재적인 새로운 악용 경로에 직면하게 되었습니다. 부트킷은 자체 서명 인증서를 활용하여 페이로드를 실행하는데, 이는 UEFI 보안 부팅이 활성화된 시스템에서 기능을 제한합니다. 그러나 공격자가 제어하는 사기성 인증서를 설치하는 데 성공하면 여전히 작동할 수 있습니다.

Secure Boot를 우회하는 것 외에도 Bootkitty는 부팅 프로세스 중에 Linux 커널의 메모리를 조작하여 무결성 검사를 훼손합니다. GNU GRand Unified Bootloader(GRUB)가 실행되기 전에 Bootkit은 무결성 검증에 중요한 기능을 가로채고 패치합니다. 이 다층 공격 전략은 UEFI 및 Linux 시스템 내부에 대한 정교한 이해를 보여줍니다.

보안 부팅 및 GRUB 타겟팅: Play의 고급 기술

보안 부팅이 활성화되면 Bootkitty는 UEFI 인증 프로토콜을 수정하여 무결성 검사를 우회합니다. 또한 합법적인 GRUB 부트로더 기능에 패치를 적용하여 감지를 피하고 안전하지 않은 페이로드를 실행하는 기능을 더욱 보장합니다. 이러한 패치는 Linux 커널의 압축 해제 프로세스로 확장되어 부트킷이 시작 중에 승인되지 않은 모듈을 로드할 수 있도록 합니다.

공격을 용이하게 하기 위해 Bootkitty는 환경 변수 LD_PRELOAD를 변경합니다. 이 조정은 Linux 초기화 프로세스가 '/opt/injector.so'와 '/init'으로 식별된 두 개의 알려지지 않은 ELF 공유 객체를 로드하도록 강제하여 부트킷의 시스템 작업 범위를 확장합니다.

BCDropper와 BCObserver: 더 큰 프레임워크?

Bootkitty에 대한 연구에서 BCDropper라는 잠재적으로 관련이 있는 서명되지 않은 커널 모듈이 발견되었습니다. 이 모듈은 BCObserver라는 ELF 바이너리를 배포할 수 있으며, 이는 차례로 시스템 시작 시 다른 식별되지 않은 커널 모듈을 로드합니다. 동일한 BlackCat 가명으로 작동하는 이 추가 모듈은 파일, 프로세스 및 네트워크 포트를 숨기는 것과 같은 루트킷의 일반적인 기능을 보여줍니다. 이러한 고급 기능에도 불구하고 연구자들은 이 활동을 ALPHV/BlackCat 랜섬웨어 그룹과 연결하는 증거를 찾지 못했습니다.

UEFI 보안 및 Linux 시스템에 대한 의미

여전히 개념 증명으로 분류되기는 하지만 Bootkitty는 UEFI 부트킷의 진화에서 새로운 장을 알리며 Windows 환경을 넘어 그 범위를 확장합니다. 이 개발은 오랫동안 이러한 공격에 덜 취약하다고 여겨져 온 Linux 기반 시스템에서 잠재적인 미래 위협에 대비하는 것의 중요성을 강조합니다.

Bootkitty의 부상은 또한 업데이트된 펌웨어 유지, 신뢰할 수 있는 인증서 사용, 가능한 한 보안 부팅 활성화와 같은 경계하는 시스템 보안 조치의 필요성을 강조합니다. Linux에서 UEFI 부트킷의 실행 가능성을 보여줌으로써 Bootkitty는 사이버 보안 전문가와 Linux 사용자 모두에게 방어를 강화하라는 경종 역할을 합니다.