42.zip 같은 고전적인 폭탄은 정적인 데이터의 단순 팽창이므로 OOM(메모리 초과)만 일으키고 끝납니다. 하지만 본 아키텍쳐는 데이터가 아니라 백서에서 보시듯이 캐리 피라미드의 p-진수 자리올림(p-adic carry) 연산 루프를 강제하는 연산적 늪(Computational Tarpit)입니다.
기드라나 IDA로 정적 분석을 하면 트리거가 안 발동하는게 맞아요. 그래야해요. 정적 바이너리 안에는 진짜 로직이 없으니까요. 공격자가 런타임(동적) 환경에서 상호작용을 시작하면 그때서야 위상 기하학적 난독화가 실시간으로 전개되기 때문에, 정적 분석 툴로는 텅 빈 껍데기만 보게 되는거죠.
RDTSC를 이용한 단순 타이밍 디텍션은 이미 낡은 기법이 맞습니다. HyperDbg의 TSC Scaling으로 시간을 속이면 당연히 우회되겠죠.
하지만 제가 백서에서 언급한 얽힘(Entangled)은 시간 체크가 아닙니다. 런타임에 진행되는 수학적 위상 변화(11의 n승으로 뻗어가는 캐리 구조)의 연산 위상(Phase) 자체가 실행 환경의 부하와 수학적으로 결합되는 구조입니다. HyperDbg로 환경을 속여서 연산 타이밍을 인위적으로 비틀면? 방어 엔진이 어? 디버거네! 하고 튕겨내는 게 아니라, 캐리 피라미드의 위상 전개 공식 자체가 엉뚱한 차원으로 뻗어 나가면서 결과적으로 완전히 쓸모없는 쓰레기 데이터를 자체 복호화해 버립니다. 속이는 순간, 스스로 함정에 빠지는거죠.
화이트박스 AES는 고정된 수학적 암호 키를 숨기는 방식이라 BGE 공격에 취약합니다. 이건 진리죠. 하지만 본 아키텍처는 고정된 키를 숨기는 것이 아니라 접근하는 순간마다 위상이 변하는 동적 런타임 토폴로지를 사용합니다.
WinDbg TTD나 Intel PT로 CPU의 모든 인스트럭션 흐름을 100% 녹화해서 타임머신처럼 돌려본다고 가정해보면 녹화된 그 경로 자체가 이미 공격자의 관측 행위로 인해 붕괴하고 일그러져 생성된 쓰레기 늪(타르핏)을 헤매는 궤적일 뿐입니다. 미로 속에서 길을 잃고 헤맨 발자국을 아무리 정밀하게 100% 녹화해 봐야, 미로의 출구를 찾는 데는 아무런 도움이 되지 않는 것과 같죠
답변이 늦어서 죄송합니다!(__)
관측을 단순히 멈춰있는 정적 데이터를 눈으로 보는 행위로 생각하시면 불가능해 보이는 게 맞습니다. 하지만 디지털 세계의 관측은 반드시 대상 시스템에 자극을 주는 상호작용을 수반합니다.
이 보안 엔진은 정적 파일이 아니라, 공격자가 관측을 시도하는 행위나 또는 요청 자체를 입력값-Trigger-로 삼아 실시간으로 작동하는 동적 아키텍처입니다. 관측을 시도하는 순간 내부 루프가 실행되어 데이터의 논리적 연속성을 무력화시키고, 관측을 완료하기 위해 대기하는 공격자의 세션을 강제로 홀딩하여 자원을 소모시키는 메카니즘입니다.
그리고 정상적인 권한을 가진 유저의 접근-핸드셰이크 완료 세션-은 인증 메카니즘을 통해 타르핏 필터를 거치지 않고 그대로 통과됩니다. 관측 시 자체 붕괴 및 자원 소모가 일어나는 영역은 오직 무단 정찰 및 허가되지 않은 스캐닝 요청을 걸러내기 위해 배치된 가상화된 미끼 데이터-Decoy- 공간입니다. 정상 서비스 자원에는 단 1%의 영향도 주지 않고, 오직 공격자의 세션만을 격리하여 늪에 가두는 정밀한 동적 방어 아키텍처입니다
rhwp 의 경우 Shai-Hulud 때문에 몇 일전 npm 배포쪽에 이중 인증하라는 메일을 받고 이중 인증처리를 했습니다. 또한 vscode 와 open vsx 채널에도 배포하기 때문에 남일이 아닙니다.
현재 다채널을 통해 배포 과정이 점점 많은 노력과 시간을 소비하게 되는군요. 특히 자바스크립트에 원격 분리된 난독화 페이로드 + 합법 서비스를 통한 통신을 통해 침투하는 기법은 자동화 파이프라인의 헛점을 노린 것이라서 더더욱 수작업 과정을 없애지 못하게 합니다.
비용적인 측면에서 큰 손실이 아닐 수 없습니다. 선의를 갖고 하는 오픈소스 공헌이 잘못하면 악의적인 해커들의 경로로 이용될 수 있다는 의미가 되는 것이라서 향후 더큰 사고가 나지 않으리란 보장을 못 하겠습니다.
그냥 배포 채널을 줄이는게 답일까요?
안티그래비티 많이 컷네
답변이 늦어서 죄송합니다(__) 늘 좋은 의견 감사드립니다
42.zip 같은 고전적인 폭탄은 정적인 데이터의 단순 팽창이므로 OOM(메모리 초과)만 일으키고 끝납니다. 하지만 본 아키텍쳐는 데이터가 아니라 백서에서 보시듯이 캐리 피라미드의 p-진수 자리올림(p-adic carry) 연산 루프를 강제하는 연산적 늪(Computational Tarpit)입니다.
기드라나 IDA로 정적 분석을 하면 트리거가 안 발동하는게 맞아요. 그래야해요. 정적 바이너리 안에는 진짜 로직이 없으니까요. 공격자가 런타임(동적) 환경에서 상호작용을 시작하면 그때서야 위상 기하학적 난독화가 실시간으로 전개되기 때문에, 정적 분석 툴로는 텅 빈 껍데기만 보게 되는거죠.
RDTSC를 이용한 단순 타이밍 디텍션은 이미 낡은 기법이 맞습니다. HyperDbg의 TSC Scaling으로 시간을 속이면 당연히 우회되겠죠.
하지만 제가 백서에서 언급한 얽힘(Entangled)은 시간 체크가 아닙니다. 런타임에 진행되는 수학적 위상 변화(11의 n승으로 뻗어가는 캐리 구조)의 연산 위상(Phase) 자체가 실행 환경의 부하와 수학적으로 결합되는 구조입니다. HyperDbg로 환경을 속여서 연산 타이밍을 인위적으로 비틀면? 방어 엔진이 어? 디버거네! 하고 튕겨내는 게 아니라, 캐리 피라미드의 위상 전개 공식 자체가 엉뚱한 차원으로 뻗어 나가면서 결과적으로 완전히 쓸모없는 쓰레기 데이터를 자체 복호화해 버립니다. 속이는 순간, 스스로 함정에 빠지는거죠.
화이트박스 AES는 고정된 수학적 암호 키를 숨기는 방식이라 BGE 공격에 취약합니다. 이건 진리죠. 하지만 본 아키텍처는 고정된 키를 숨기는 것이 아니라 접근하는 순간마다 위상이 변하는 동적 런타임 토폴로지를 사용합니다.
WinDbg TTD나 Intel PT로 CPU의 모든 인스트럭션 흐름을 100% 녹화해서 타임머신처럼 돌려본다고 가정해보면 녹화된 그 경로 자체가 이미 공격자의 관측 행위로 인해 붕괴하고 일그러져 생성된 쓰레기 늪(타르핏)을 헤매는 궤적일 뿐입니다. 미로 속에서 길을 잃고 헤맨 발자국을 아무리 정밀하게 100% 녹화해 봐야, 미로의 출구를 찾는 데는 아무런 도움이 되지 않는 것과 같죠
기존 패러다임과는 많이 달라서 죄송합니다..
답변이 늦어서 죄송합니다!(__)
관측을 단순히 멈춰있는 정적 데이터를 눈으로 보는 행위로 생각하시면 불가능해 보이는 게 맞습니다. 하지만 디지털 세계의 관측은 반드시 대상 시스템에 자극을 주는 상호작용을 수반합니다.
이 보안 엔진은 정적 파일이 아니라, 공격자가 관측을 시도하는 행위나 또는 요청 자체를 입력값-Trigger-로 삼아 실시간으로 작동하는 동적 아키텍처입니다. 관측을 시도하는 순간 내부 루프가 실행되어 데이터의 논리적 연속성을 무력화시키고, 관측을 완료하기 위해 대기하는 공격자의 세션을 강제로 홀딩하여 자원을 소모시키는 메카니즘입니다.
그리고 정상적인 권한을 가진 유저의 접근-핸드셰이크 완료 세션-은 인증 메카니즘을 통해 타르핏 필터를 거치지 않고 그대로 통과됩니다. 관측 시 자체 붕괴 및 자원 소모가 일어나는 영역은 오직 무단 정찰 및 허가되지 않은 스캐닝 요청을 걸러내기 위해 배치된 가상화된 미끼 데이터-Decoy- 공간입니다. 정상 서비스 자원에는 단 1%의 영향도 주지 않고, 오직 공격자의 세션만을 격리하여 늪에 가두는 정밀한 동적 방어 아키텍처입니다
국가륵 축소하는 건 너무 안타까운 판단같습니다.
IT회사들의 지향점이 되겠네요
직원들로써는 좋든싫든
디지털 포트리스 느낌 이네요.
다만 기술적으로는 이해가 안갑니다.
흑흑흑
익숙해져 있던 것에 변화가 일어날 때 일단 거부감이 드는 것을 보니 점점 늙음이 체감 되고 있습니다 ㅜ
원문이 일정 시간 후 멤버 전용으로 전환되어 긱뉴스 사용자들이 원 글을 볼 수 없는 것으로 확인되었습니다.
가입 유도성 게시물로 판단되며, 같은 형태의 링크 게시가 반복될 경우 이용이 제한될 수 있습니다.
저번에 핵심 인력들이 퇴사했다는 글보고 걱정했는데 그래도 활동이 활발하네요
그것도 넣어보겠습니다. 의견 고맙습니다. 😄
간략히 써보니 테스크 쪼개기 자체를 제안해주는?? 그런 게 내포된 툴 같아요 (저는 수동관리만 써보긴 했습니다)
요런 느낌으루요
원 출처부터 본문 내용 그리고 댓글도 다 AI로 작성한 것 같습니다.
댓글도 봇인거 같네요😡
순현금 기준 저평가도 큐레이션 되면 더 좋겠네요.
rhwp 의 경우 Shai-Hulud 때문에 몇 일전 npm 배포쪽에 이중 인증하라는 메일을 받고 이중 인증처리를 했습니다. 또한 vscode 와 open vsx 채널에도 배포하기 때문에 남일이 아닙니다.
현재 다채널을 통해 배포 과정이 점점 많은 노력과 시간을 소비하게 되는군요. 특히 자바스크립트에 원격 분리된 난독화 페이로드 + 합법 서비스를 통한 통신을 통해 침투하는 기법은 자동화 파이프라인의 헛점을 노린 것이라서 더더욱 수작업 과정을 없애지 못하게 합니다.
비용적인 측면에서 큰 손실이 아닐 수 없습니다. 선의를 갖고 하는 오픈소스 공헌이 잘못하면 악의적인 해커들의 경로로 이용될 수 있다는 의미가 되는 것이라서 향후 더큰 사고가 나지 않으리란 보장을 못 하겠습니다.
그냥 배포 채널을 줄이는게 답일까요?
알아봐주셔서 기쁘네요.
주식 투자 진지하게 하시는 분들에게는 반응이 좋은데 긱뉴스에서는 조용해서... 이런 온도차이가 재밌습니다.
앞으로 포지셔닝을 어떻게 할지 고민이 되네요.
좋은 제안 감사합니다. 실제로 모든 모델이 추천한다고 수익률이 높은 종목은 아니더라고요. 저는 이부분을 리스크가 있을수록 수익률이 높다는 주식 특성과 연루지어 생각했었는데, 흥미로운 제안 감사합니다 :)
넵 맞습니다! 리포트 작성시 단기 중장기 추천 점수를 별도로 산정해서 반영한 결과 입니다. 단기는 기술적 지표와 뉴스 등 시그널이 더 강하게 반영되고 중장기는 펀더멘탈 개선이 더 반영됩니다
비자 마스터카드는 이제 검열 장치로 변모했기 때문에 좋은 변화라고 봅니봅니다
수 년 전에 티스토리 블로그에 이것저것 정리해뒀었는데 그쪽은 아직도 검색 결과에 잘 올라가고 조회수가 나오는데 개인 도메인은 인덱싱도 반 정도만 되고 잘 올라가지 않더라구요