야생에서 포착된 NSO 그룹의 아이폰 제로클릭 제로데이 익스플로잇

 (citizenlab.ca)
1P by GN⁺ | ★ favorite | 댓글 1개
  • 워싱턴 DC 기반 국제 시민사회 조직 직원의 iPhone 점검 과정에서, NSO Group의 Pegasus 스파이웨어를 전달하던 활성 악용 취약점이 발견됨
  • Citizen Lab이 BLASTPASS라고 부른 이 익스플로잇 체인은 최신 iOS 16.6에서도 피해자 조작 없이 iPhone을 침해할 수 있었음
  • 공격자는 iMessage로 악성 이미지가 포함된 PassKit 첨부파일을 보내 제로클릭 감염을 시도했으며, Citizen Lab은 추가 분석을 예고함
  • Citizen Lab은 발견 내용을 Apple에 즉시 공유했고, Apple은 관련 취약점으로 CVE-2023-41064와 CVE-2023-41061을 발급함
  • Apple 업데이트는 iPhone, iPad, Mac, Apple Watch에 적용되며, Citizen Lab과 Apple Security Engineering and Architecture 팀은 Lockdown Mode가 이 공격을 차단한다고 봄

BLASTPASS 익스플로잇 체인

  • Citizen Lab은 워싱턴 DC 기반이며 국제 사무소를 둔 시민사회 조직 직원의 기기를 점검하던 중, 실제 악용 중인 제로클릭 취약점을 발견함
  • 이 취약점은 NSO Group의 Pegasus 용병 스파이웨어를 전달하는 데 사용됨
  • Citizen Lab은 해당 익스플로잇 체인을 BLASTPASS라고 명명함
  • BLASTPASS는 피해자의 상호작용 없이 최신 iOS 16.6을 실행하는 iPhone을 침해할 수 있었음
  • 공격은 공격자의 iMessage 계정에서 피해자에게 PassKit 첨부파일을 보내는 방식이었음
    • 첨부파일에는 악성 이미지가 들어 있었음
    • 관련 문서는 PassKit에서 확인할 수 있음
  • Citizen Lab은 향후 익스플로잇 체인에 대한 더 자세한 논의를 공개할 예정임

Apple 공개와 CVE

  • Citizen Lab은 발견 내용을 Apple에 즉시 공유했고, Apple의 조사에 협력함
  • Apple은 이 익스플로잇 체인과 관련해 두 개의 CVE를 발급함

    • CVE-2023-41064

      • CVE-2023-41061

즉시 업데이트와 Lockdown Mode

  • Citizen Lab은 모든 사용자에게 기기를 즉시 업데이트하라고 권고함
  • Apple은 Apple 제품용 업데이트를 발행했으며, 대상에는 iPhone, iPad, Mac, Apple Watch가 포함됨
  • 신분이나 활동 때문에 더 높은 위험에 노출될 수 있는 사용자는 Lockdown Mode 활성화를 권고받음
  • Citizen Lab과 Apple Security Engineering and Architecture 팀은 Lockdown Mode가 이 특정 공격을 차단한다고 봄
  • Citizen Lab은 Apple의 빠른 조사 대응과 패치 주기를 긍정적으로 평가했고, 피해자와 소속 조직의 협력과 지원을 인정함

시민사회 표적화가 보여주는 보안 신호

  • 이번 발견은 시민사회가 고도화된 익스플로잇과 용병 스파이웨어의 표적이 된다는 점을 다시 보여줌
  • Apple 업데이트는 전 세계 일반 사용자, 기업, 정부의 기기를 보호하게 됨
  • BLASTPASS 발견은 시민사회 조직을 지원하는 일이 집단적 사이버보안에 큰 가치를 가진다는 점을 부각함

업데이트 기록

  • 게시물은 9월 7일 동부시간 오후 5시 42분에 업데이트됨
  • 업데이트에는 Apple Security Engineering and Architecture 팀과 Citizen Lab이 Lockdown Mode가 이 특정 공격을 차단한다고 본다는 내용이 반영됨

함께 보면 좋은 글 β

GN⁺   [-]
Hacker News 의견들

  • Apple과 소프트웨어 얘기는 많은데, NSO Group이 왜 존재할 수 있는지에 대한 얘기는 너무 적음
    이들은 거의 공개적으로 활동하고, 부끄러워하지도 않는 듯함. 아니면 이걸 이력서에 올리지 않았을 것임: https://www.linkedin.com/company/nso-group/people/
    이걸 보면 “기술 커뮤니티”가 이런 기술 활용을 너무 쉽게 용인하는 것 같음. 우리가 “세상을 더 낫게 만들 것”이라고 믿는 그 기술 말임

    • Pegasus의 NSO를 다룬 PBS 다큐가 좋음: https://www.pbs.org/wgbh/frontline/documentary/global-spywar...
      NSO는 이스라엘 정부의 지원을 받는 것처럼 보임. 이들은 사전 심사를 거친 정부에만 판다고 하지만, 현실에서는 정권에 반대하는 사람들을 감시하고 박해하는 권위주의 국가에 파는 경우가 많음
    • NSO는 “테러리스트와 범죄자”만 표적으로 삼는다고 하니, 법을 잘 지키고 숨길 게 없는 시민이라면 걱정할 게 없겠지? 탐사보도나 야당 정치만 해도 범죄자나 테러리스트 혐의를 받는 정권 같은 건 세상에 없을 테니까
    • 미국 법인끼리 악성코드/소프트웨어 무기를 파는 건 대체로 합법이고, ITAR 규제 대상이 되면 오픈소스가 아닌 한 미국 정부나 ITAR 승인 공급업체에만 팔 수 있다는 큰 예외가 있음
      NSO Group이 나쁜 이유는 억압 정권에 판매했고, 그 정권들이 무고한 민간인을 해치도록 소프트웨어 배포를 적극 지원했다는 의혹이 있기 때문임. 이런 행위와 의도, 책임 관리 실패 때문에 제재를 받아야 하고, 기억상 이미 제재 중임
      단, 판매자와 구매자가 선의여야 하고 법에 맞게만 사용할 계획이어야 하는 등 예외가 많음. 법률 조언은 아님
    • 이런 것 중 상당수는 무기로 분류되므로 사실상 회사가 아니라 이스라엘 정부가 파는 것에 가까움. 우크라이나에서 Ka-52를 격추하는 데 쓰이기도 하고 민간 여객기를 격추하는 데 쓰이기도 하는 MANPADS와 다르지 않으며, 제조국의 외교정책과 그 실패에 의해 방향이 정해짐
      세계가 곧 무장해제할 거라고 기대할 이유는 없으니, 최선은 인식하고 민주적으로 정책에 영향력을 행사하면서 나쁜 발상과 나쁜 행위자를 걷어내는 것임
      이스라엘은 이란과의 잠재적 전쟁에서 동맹을 만들기 위해 사우디아라비아를 계속 끌어들이려 함. 사우디 영공 통과를 얻기 위해서라면 인권 활동가 몇 명쯤은 분명 희생시킬 것임. 다만 최근 이스라엘에게 일이 잘 풀리진 않는 듯함
    • “기술 커뮤니티”를 특정 방향으로 전환할 조직력을 가진 응집된 집단처럼 보는 인상이 있음
      실제로는 기술 커뮤니티가 매우 다양하고 전혀 응집돼 있지 않음. 예를 들어 많은 개발자는 기본 생활비를 겨우 감당할 정도라서, NSO가 뭔지 알 정신적 여유조차 없음

  • Lockdown Mode는 기자이거나 직접적이고 명백한 위험에 처한 사람이 아니면 쓰지 말라고 유난히 강조하는 점이 흥미로움. 실제로는 사용자 입장에서 기능 차이가 크지 않고, 백그라운드에서 돌아가며 공격 표면을 넓히는 Apple의 여러 불필요한 것들을 끄는 정도임
    그런데도 모두가 “아무나 쓰면 안 되고 특별한 사람만 써야 한다”는 식의 단서를 따라 말함. 희소 자원도 아니고 제로섬도 아닌데 말임. 오히려 모두가 쓰면 사용자에게 이득 없는 기능을 많이 끄고 배터리도 아낄 수 있으며, 많이 쓸수록 특정 사용자를 식별하는 데 쓰이기 어려워짐

    • iOS가 약간 불편해지긴 함. 예를 들어 iMessage에서 서로 추가할 때 그렇고, Safari의 JavaScript 성능도 크게 줄어듦
      Apple은 iOS가 Android보다 느리거나 둔하게 느껴지는 걸 피하고 싶을 것임. 또 제로데이 스파이웨어는 보통 대규모 감시보다 중요 인물을 겨냥하므로 개인에게는 실제 위험이 작긴 함
      두 모드 사이의 절충 모드가 있으면 좋겠음. 필요한 기능이 있을 때 몇 분간 보안을 낮출 수 있게 하는 식임. 예를 들어 Safari가 JavaScript가 느린 걸 감지하면 JIT를 다시 켜겠냐고 물을 수 있음
    • 사람들이 백그라운드 기능을 쓰길 원하지 않았다면 애초에 넣지 않았을 것임. Apple이 의도적으로 넣은 기능을, 그게 “쓸데없는 것”이든 아니든, 사용자가 쓰길 바라는 건 놀랍지 않음
    • 자본주의 관점에서는, 강하게 강조하지 않으면 Apple을 처음 쓰는 고객이 걱정하는 친구나 가족의 권유로 Lockdown Mode를 기본으로 켰다가, 광고된 기능이 안 된다고 Apple에 불평하거나 기기를 반품할 수 있음
      현실정치 관점에서는, 억압적 정권들이 Apple이 이 기능을 탑재한 기기를 출시하는 걸 허용하는 대신 적극 홍보하거나 기본값으로 만들지 말라는 조건을 달았을 가능성이 있음. 중국에서 Lockdown Mode가 기본 켜짐이고 대다수가 쓴다면 Apple은 금방 중국에서 쫓겨날 것임
    • Mac에서는 iMessage, FaceTime, 기타 Apple 서비스를 안 쓰기 때문에 Lockdown Mode를 켜고 씀. 사실상 소프트웨어 개발과 YouTube 영상용 컴퓨터일 뿐임
      웹 콘텐츠에서도 차이를 못 느꼈는데, Safari 대신 Firefox/Chrome을 쓰기 때문일 수도 있음. 정말 원하는 건 선택지임. 예를 들어 iOS에서는 공유 사진 앨범을 쓰니 그 기능은 유지하고 나머지 기능만 끌 수 있으면 좋겠음
    • Lockdown Mode를 켜면 이상해지는 게 꽤 많았음
      우선 Continuity가 거의 망가지는 것 같고, 개인적으로 꽤 의존하는 기능임. AirPlay도 상당히 변덕스러워짐
      전부 네트워크 문제일 수도 있지만 Lockdown Mode로 바꾼 뒤부터만 그랬음. 또 스크린 타임 요청이 안 되는 것도 꽤 불편함

  • iMessage는 지금까지 취약점이 몇 개나 있었나?
    새 연락처의 첫 메시지는 순수 텍스트만 허용하고, 나머지 메시지도 ActiveX와 별로 다르지 않은 미친 확장 시스템 대신 아주 제한된 하위 집합만 허용할 때가 되지 않았나
    거기에 앱 전체를 샌드박스에서 돌리고, 추가 보호 계층으로 전부 웹뷰로 처리하는 것도 생각해볼 만함

    • 이미 매끄럽게 적용한 선례가 있음. Apple Mail 클라이언트는 알 수 없는 발신자의 미디어를 사용자 확인 없이 렌더링하지 않음
      iMessage도 같은 이유로 정확히 같은 동작을 해야 함. 이전 세대가 고통스럽게 배운 교훈을 같은 건물에서 일하는 탐욕스러운 제품 관리자들이 다시 배우는 걸 보는 건 답답함
    • 아직도 이런 일이 반복되는 게 믿기지 않음. “제로 클릭”이라고 하면 이미지나 글꼴 같은 복잡한 페이로드 중 하나라는 걸 알 수 있음
      답이 “이미지를 렌더링하지 말자”여서는 안 됨. 이미지 같은 외부 데이터를 파싱하는 컴포넌트는 입력이 무엇이든 악의적 행동을 할 수 없다고 믿을 수 있어야 함
      샌드박싱이 필요하면 그렇게 하면 되고, 모든 이미지 파서를 안전한 언어로 처음부터 다시 쓰거나 형식적으로 올바름을 증명해야 한다면 그렇게 하면 됨. Apple은 자체 우주 프로그램을 열 번 돌릴 만큼 돈이 많으니, 증명 가능한 이미지 라이브러리도 만들 수 있을 것임
    • 이건 ActiveX와는 매우 다름. ActiveX는 usenet의 어두운 구석에서 수백 개의 익스플로잇이 자유롭게 돌아다녔고, 전형적인 지하실의 스크립트 키디들이 전 세계 컴퓨터를 상대로 악용했음
      iMessage는 소수의 익스플로잇이 있었고, NSO 같은 곳이 극도로 비싼 가격에 극소수의 질 나쁜 국가 행위자에게 라이선스해 초고위험 표적 공격에 쓰는 형태임
    • iOS의 모든 프로세스는 샌드박스에서 실행됨. 그래서 이런 익스플로잇을 만들기가 그렇게 어려운 것임
    • iPhone에서 iMessage를 실제로 끌 수 있는지 궁금했음. 지금은 WhatsApp만 쓰고, 강화된 SMS에는 관심이 없음
      찾았음. 관심 있는 사람을 위해: iPhone에서 Settings로 가서 Messages를 누른 뒤 iMessage를 Off로 설정하면 됨

  • 또 이미지 디코딩 버퍼 오버플로라니, 2021년 취약점과 비슷하게 들림 [1]
    그때는 정말 강렬했음. PDF에 포함된 난해한 이미지 압축 형식이 제공하는 원시 연산으로 CPU를 만들어, 임의 코드 실행으로 추가 상승할 만큼의 산술 연산을 수행했음
    [1]: https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-i...

    • 예전에 jailbreakme.com이 쓰던 iOS 4의 TIF 렌더링 버그도 떠오름. Safari에서 버튼을 눌렀더니 iPod touch가 재부팅되고 Cydia가 설치되어 있던 건 멋졌음
    • 그래서 Chrome이 아직 JPEG-XL을 채택하지 않는 데 더 공감하게 됨
      오해는 없었으면 함. JPEG-XL은 좋은 아이디어라고 생각하지만, “이미지 형식 하나 더 지원하는 게 무슨 해가 되냐”는 사람들에게는 이게 답임
    • 또 이미지 디코딩의 버퍼 오버플로임. Apple이라면 위협 모델링하고 퍼징을 끝까지 돌릴 거라고 생각할 수 있지만, 틀렸음. 시가총액 2.7조 달러 회사가 이걸 못 함
    • 멍청한 질문일 수도 있지만, 위험성이 높기로 악명 높은 미디어 디코더는 왜 잘 샌드박스 처리되어 있지 않은가?
    • 보안 쪽은 잘 모르지만 이건 절대 잊지 못할 것 같음. 매혹적임

  • 이 수정은 오늘 나왔고 발표와 시점을 맞춘 듯하니, 본인과 주변 사람들의 업데이트가 적용됐는지 확인해야 함
    https://support.apple.com/en-us/HT201222

    • 흥미롭게도 커널 취약점 같은 건 언급되지 않음
      아는 한 iMessage의 모든 파싱 코드는 BlastDoor 샌드박스 안에서 돌아야 하는데, 여기에 공개되지 않은 다른 체인 취약점이 있는 건가?
    • 왜 아직 iOS 15용 수정이 없는지 궁금함. iOS 15는 이 공격에 취약하지 않은 건가? 아니면 보안 수정 백포트가 종종 늦어지는데 내가 모르는 건가? 그렇다면 이런 익스플로잇을 막기 위해 우회책을 적용해야 하나?

  • NSO Group을 상무부 블랙리스트에 올린 것만으로는 분명 부족했음. 이 쓰레기들은 적어도 은유적으로는 헤이그로 가야 함

  • NSO Group, Pegasus, Citizen Lab이 궁금하다면 Darknet Diaries 팟캐스트 100화가 역사 정리를 잘 해줌

  • 더 세밀한 Lockdown Mode가 필요함. 예를 들어 iMessage와 Safari의 자동화 및 위험 요소는 끄되 기기 액세서리는 계속 동작하게 하는 식임
    iMessage 제로 클릭 익스플로잇에서 스스로를 보호하려고 블루투스 액세서리까지 잃는 건 좋지 않음. iMessage가 가장 크게 열려 있는 공격 표면임

    • iMessage는 Apple의 해자에서 큰 부분이기도 함. Apple이 더 안전할 수도 있는 초록 말풍선 대체 문자 앱을 허용할 가능성은 낮음
    • Settings에는 이미 취향에 맞게 “Lockdown Mode를 조정”할 수 있는 설정이 있음
      예를 들어 Settings > Messages > iMessage는 iMessage가 문제라고 느끼면 끌 수 있는 스위치임
      Settings > Safari > Privacy and security에도 Safari에 대해 더 세밀한 잠금을 구성할 수 있는 여러 설정이 있음

  • Lockdown Mode가 이 공격을 막았을지 궁금함
    지금까지 Lockdown Mode 상태의 iPhone이 제로데이 취약점으로 해킹된 적이 있나? 사용자를 속여 악성 프로그램을 설치하게 한 경우는 제외하고

  • 관련 진행 중인 스레드:
    iOS 16.6.1 fixes two vulnerabilities known to be actively exploited in the wild - https://news.ycombinator.com/item?id=37423506 - 2023년 9월, 댓글 7개

답변달기