2020-02-28 04:35 (금)
[POC2017] 국내외 최고 해커들, 최신 취약점 공개…11월 9~10일 개최
상태바
[POC2017] 국내외 최고 해커들, 최신 취약점 공개…11월 9~10일 개최
  • 길민권 기자
  • 승인 2017.09.25 00:56
이 기사를 공유합니다

익스플로잇 테크닉, 스마트폰 취약점, 로봇 해킹, ATM기 해킹 등 흥미로운 주제 발표

poc.jpg
제 12회 국제 해킹 보안 컨퍼런스 POC가 오는 11월 9~10일, 서울 양재동 The-K 호텔에서 개최된다. POC2017에서는 수준 높은 익스플로잇 테크닉, 취약점 발견 기술 외에도 삼성 스마트폰에 관련된 취약점, 로봇 해킹, ATM기 해킹 등 흥미로운 발표들이 준비되어 있다.

발표 외에도 각종 해킹보안 커뮤니티 멤버들이 참가하여 명성이 높아지고 있는 Belluminar POC, 유명 대만 여성해커팀이 초청팀으로 참가하는 여성해킹대회(Power of XX), 초등학생과 중학생 대상의 KIDs CTF 등과 보안 회사 티오리(Theori)가 운영하는 Speed Hack 등 다채로운 이벤트들이 진행된다.

POC2017 전체 발표자 18명은 모두 확정되었으며, 현재 홈페이지에는 17개의 발표 주제가 공개되어 있다. 운영진 측은 현재도 계속해서 수준 높은 CFP가 제출되고 있어 발표자 추가 선정을 고려 중이라고 밝혔다.

익스플로잇 개발 분야에서는 세계적인 CTF팀인 PPP팀의 멤버이자 보안 회사 티오리(Theori)의 연구원인 Andrew Wesie가 "1-Day Browser and Kernel Exploitation"이라는 타이틀로 발표한다. 그는 마이크로소프트의 취약점 패치 분석을 통해 빠르게 1-day 익스플로잇을 개발하는 방법에 대해 발표한다. 이번 발표는 같은 팀 멤버이자 회사 대표인 박세준이 Zer0Con2017에서 같은 주제로 발표한 이후 공개된 Edge, Firefox 브라우저 및 윈도우즈 커널 취약점을 대상으로 할 예정이다.

Zer0Con2017의 발표자였던 James Lee는 "Playing with IE11 ActiveX 0days"라는 타이틀로 IE11 ActiveX에서 발견된 제로데이들을 가지고 다양한 내용을 발표할 예정이다. 그는 단순히 IE11만의 제로데이가 아닌 UMCIDG 우회 등 다양한 이야기를 할 예정이라고 설명했다.

또한 중국 NSfocus에서 방어기법 우회 연구를 담당하고 있는 Yunhai Zhang이 오래된 기술인 LoadLibrary를 통해 현재 윈도우10에 활성화된 모든 방어기법들을 모두 우회할 수 있음을 "Make LoadLibrary Great Again"라는 발표에서 설명할 예정이다.

최근 많은 주목을 받고 있는 대만 CTF팀 HITCON의 멤버이자 Team T5의 연구원인 Jeff Chao는 "From Zer0 to Persistence: A Complete Exploit Chain against Samsung Galaxy Series"라는 타이틀로 다양한 취약점들을 조합하여 삼성 갤럭시 S6의 완전한 루트 권한을 원격에서 획득하는 공격에 대해서 설명한다. 단순히 하나의 버그에 대한 익스플로잇이 아닌 다양한 취약점들을 활용하여 최종 목표인 루트를 획득하는 과정을 확인할 수 있다.

취약점을 찾는 기술에 대한 발표들도 준비되어 있다.

Zer0Con2017의 발표자였던 구글 연구원인 Dan Austin은 AOSP(안드로이드 오픈소스 프로젝트)에 포함된 툴들을 이용한 안드로이드 퍼징에 대해서 설명한다. 그의 발표에서 참가자들은 AOSP에서 제공되는 환경을 통해 더 효율적인 퍼져를 제작하고 취약점들을 관리하는 노하우를 배울 수 있을 것이다.

Qihoo 360의 Vulpecker팀은 Samsung, Qualcomm, MediaTek, NVIDIA 등 벤더들의 안드로이드 드라이버를 연구하고 퍼징을 통해 다수의 취약점과 공격 지점을 찾아낸 경험에 비추어 발전된 퍼징 기술과 소스 오디팅 기술을 설명한다. 또한 그들이 만들어낸 퍼징 툴을 소개하고 툴을 통해 찾아낸 취약점들을 분석할 예정이다.

이외에도 익명의 한국인 발표자는 브라우저의 자바스크립트 엔진 퍼징을 통해 취약점을 찾고, 익스플로잇하는 과정을 설명할 예정이다.

가상화시스템 해킹 분야에서는 Qihoo 360의 Qinghao Tang이 "An awesome toolkit for testing the virtualization system"라는 타이틀로 발표를 진행한다. 그는 PwnFest2016에서 Marvel팀으로 참가해 VMWare Workstation 공격에 성공해 15만달러의 상금을 받았다. 이번 발표에서는 Qemu, Xen, Docker, VMware등 가상화 시스템에 대한 취약점 연구 결과와 그가 제작한 툴킷을 소개한다. 툴킷을 이용하면 가상화 시스템 취약점 공격, 사이드 채널 공격 등을 손쉽게 진행할 수 있다.

네트워크 장비 취약점 분야에서는 러시아 Embedi의 연구원인 George Nosenko가 "How to cook Cisco. The exploit development for Cisco IOS"라는 발표에서 GeekPwn2017에서 사용했던 제로데이를 이용하여 Cisco IOS에서 임의코드 실행이 가능한 취약점에 대해서 설명한다.

어플리케이션 취약점 발표로는 미국 보안업체 Shape Security의 보안 연구원 Iya Nesterov와 Facebook의 연구원인 Maxim Goncharov의 “We Can Wipe Your Email!”이 있다. 해당 발표에서는 사용자의 민감한 정보가 유출될 수 있는 메일 클라이언트 측의 주요 취약점을 공개하고 아이폰을 통해 시연을 진행한다.

또한 Tencent의 연구원인 HuiYu Wu는 "Hybrid App Security:Attack and defense"라는 발표를 통해 하이브리드 어플리케이션에서 발생하는 취약점을 설명한다. 그는 하이브리드 앱에서 발생할 수 있는 취약점들과 방어기법을 우회하여 원격 코드 실행, 정보 유출등을 야기하는 시연을 보일 예정이다.

악성코드 분야에서는 Synack의 Patrick Wardle이 "FruitFly & Friends"라는 타이틀로 2017년 Mac 악성코드들에 대해서 설명한다. 2017년 첫 mac 악성코드인 FruitFly에 대한 정밀 분석을 시작으로 Xagent, Proton 등 2017년 등장한 mac 악성코드들을 설명한다.

사이드 채널 공격에 대해서는 POC2017에서 Flip Feng Shui를 발표했던 Ben Gras가 "MMU Magic in JavaScript: Breaking ASLR from a Sandbox"라는 타이틀로 사이드채널을 이용해 메모리 관리 유닛(MMU)를 공격해 64비트 ASLR을 우회하는 공격을 설명한다.

실생활과 맞닿아있는 분야들에 대한 발표도 준비되어 있다. 미국 보안업체 IOActive의 연구원인 Lucas Apa와 Cesar Cerrudo가 “Hacking Robots Before Skynet”라는 타이틀로 발표한다. 이들이 발견한 유명 벤더의 가정, 사업, 산업 분야 로봇이 가진 많은 심각한 취약점에 대한 내용과 그에 대한 시연이 예정되어 있다.

0Kee Team 멤버들은 가정용 네트워크 장비를 이용해 초당 2TB 규모의 Reflection DDoS 공격을 실행할 수 있는 기술을 “Deluge – How to generate 2TB/s reflection DDoS data flow via a family network”라는 타이틀로 설명한다. 옆에 놓인 작은 장비가 대규모 공격에 활용될 수 있음을 알게 해주어 경각심을 불러일으킬 것이다.

러시아 Positive Technologies의 Tim Yunusov와 Yar Babin은 "7 sins of ATM protection against logical1 attacks"라는 타이틀로 ATM 기기의 방어기법을 우회하는 기술들에 대해서 설명한다. 점차 증가하고 있는 ATM 기기에 대한 위협의 실체를 확인할 수 있을 것이다.

이외에도 Oregon 주립대학 장영진 교수는 "Breaking AMD SEV Code" 라는 타이틀로 AMD SEV의 암호화를 깨트리는 방법에 대해서 발표한다.

아직 주제가 공개되지 않았지만, MOSEC2017에서 iOS 11.0 beta 2 jailbreak를 발표했던 Tencent KeenLab 연구원 Liang Chen의 발표도 준비되어 있다.

◇최고 퀄리티의 4개 트레이닝 코스

현재 4개의 트레이닝 코스 등록이 진행 중이다. 작년과 달리 모든 코스는 3일 과정으로 진행된다. 현재 Richard Johnson의 “Vulnerability Discovery and Triage Automation Training”은 최대 등록 인원에 도달했고 아직 5명은 결제를 하지 않은 상태이다. 입금 선착순으로 결정되므로 참가를 원하는 사람은 이점에 유의해야 한다. Pangu팀의 “Advanced 64-bit iOS Kernel Exploitation”은 4명이 등록해 아직 등록에 여유가 있는 상황이다. 이외에도 IoT 해킹에 대한 트레이닝 코스인 Aditya Gupta “Offensive IoT Exploitation”과 윈도우 운영체제의 커널 익스플로잇에 대한 트레이닝 코스인 Ashfaq Ansari "Windows Kernel Exploitation”에 대한 등록이 진행 중이니 많은 관심 바란다.

트레이닝 코스의 세부 커리큘럼과 자세한 내용은 홈페이지를 통해 확인할 수 있다.

◇세계 최대 규모의 버그바운티 대회…Zer0Fest 개최

2016년 처음으로 개최되어 전세계적으로 많은 관심을 끌었던 PwnFest는 Zer0Fest로 이름을 바꾸어 새롭게 진행된다. 현재 홈페이지에 대회 규정 및 상세 내용이 공개되어 있다(zer0fest.org). 대회의 간략한 특징을 정리하면 다음과 같다.

일반적으로 주최측이 상금 규모를 정했던 다른 대회들과는 달리 Zer0Fest는 운영 측, 후원사, 벤더사의 참여로 최종 상금이 결정된다. 여기에는 참가자의 취약점 제보에 대한 벤더사의 책임과 역할을 강조하고자 하는 주최 측의 의도가 담겨있다. 이번주 18일 기본 금액이 공개되었고, 앞으로 후원사가 증가할 수록 상금 규모는 더욱 커질 예정이다.

취약점 확인 과정 등 대체적인 규정은 과거 PwnFest와 유사하나 Zer0Fest에서는 온라인 참여도 가능하다는 것이 다른 점이다. 최고의 기술로 타깃 공격에 성공한 해커에게는 ‘Best Hacker’상을 수여한다. Best Hacker를 수상한 해커에게는 Zer0Con 2018 및 POC 2018 참가권이 제공된다.

◇ Belluminar 해킹대회, 국내 주요 해킹보안 커뮤니티 멤버 대거 참가

POC 대표 해킹대회인 Belluminar POC(http://belluminar.org)는 국내 주요 해킹보안 커뮤니티 멤버들이 참가하여 매년 명성이 높아지고 있다. 올해는 팀별 참가 인원을 늘려 더욱 경쟁이 치열해질 예정이다. 해킹대회와 세미나를 결합한 형태이며 문제 제작 방식도 기존의 해킹대회와는 다르다. 우승팀에게는 Zer0Con2018 참가권(3장)과 우승 기념 티셔츠 및 우승 상패를 수여한다. 작년 1, 2위 팀인 고려대학교 CyKor, 카이스트 GoN와 더불어 LeaveCAT, Koreangang, 재기야결혼축하해, GYG, It’s Jaws, 총 7개팀의 참가가 확정되었고 사전 과정을 진행 중이다.

2011년부터 운영하고 있는 여성해킹대회(Power of XX)에는 최근 DEFCON 등 세계 주요 해킹대회에서 좋은 성적을 거둬 주목받고 있는 HITCON팀이 초청되었다. 예선을 통해 총 8개팀이 본선에 진출하고, HITCON Girls까지 총 9개팀이 본선에서 실력을 겨룬다. KIDS CTF는 온라인으로만 진행하며 초등학생, 중학생이 참가 대상이다. Power of XX의 예선과 KIDS CTF 대회는 10월 14일이고, 본선은 11월 9일 개최된다. 상세 내용은 곧 공지할 예정이다.

떠오르는 보안업체인 티오리(Theori)에서도 ‘Speed Hack’이라는 흥미로운 이벤트를 진행한다. 참가자는 분야별 총 3개 문제(웹 해킹, ARM 시스템 해킹, x86-64 시스템 해킹)를 15분의 시간 제한 내에 풀어야 하고, 참가 기회는 1번뿐이다. 문제별 최단 클리어 시간과 클리어 갯수 별 최단 기록을 재, 최고 기록자들에게 소정의 상품을 지급한다.

이외에도 소규모 이벤트가 추가될 수 있다. 모든 이벤트들은 POC2017 등록 없이도 무료로 참가가 가능하며, 자세한 이벤트 관련 소개는 홈페이지를 통해 업데이트될 예정이다. POC2017은 현재 조기등록이 진행 중이며, 등록 관련 정보는 다음과 같다.

◇POC2017 등록
- 등록 관련 페이지: www.powerofcommunity.net/register.htm
- 조기등록: 9월 1~30일
- 후기등록: 10월 1~31일
- 현장등록: 11월 9~10일
- 기타 문의: pocadm@gmail.com
- 각종 공지: www.facebook.com/POC.Conference

★정보보안 대표 미디어 데일리시큐!★