체크포인트 , 퀄컴 DSP 칩서 수백개 취약성 코드 섹션 발견
체크포인트소프트웨어테크놀로지스가 전세계 휴대전화 40% 이상에서 사용되는 칩에서 수백개의 취약점 코드 섹션을 발견했다고 밝혔다.
체크포인트는 연구진이 구글, LG, 삼성, 샤오미, 원플러스 등 하이엔드 휴대전화를 포함해 세계 휴대전화의 40% 이상에 내장된 퀄컴(Qualcomm)칩에서 400개 이상의 취약점을 찾아냈고 공격자들은 이를 통해 안드로이드 폰에서 스파이 활동을 명령하고 마비시키며, 악의적인 활동을 숨길 수 있다고 설명했다.
DSP(Digital Signal Processor)라고 알려진 이 칩은 퀄컴이 제조했으며 하이엔드 휴대전화를 비롯해 지구상 거의 모든 안드로이드 휴대전화에서 찾을 수 있다. 올해 데프콘(Def Con)이 발표한 ‘아킬레스(Achilles)’라는 제목의 발표된 연구논문에서 체크포인트 연구진은 퀄컴의 DSP에서 발견된 400개 이상의 중대한 보안 위험성을 대략적으로 전했다.
휴대전화가 사용자를 염탐한다= 공격자들은 사용자와의 상호작용 없이도 여러분의 휴대전화를 완벽한 스파이 도구로 만들 수 있다. 휴대전화에서 유출될 수 있는 정보는 사진, 비디오, 통화기록, 실시간 마이크 데이터, GPS, 위치 데이터 등을 포함한다.
휴대전화가 응답하지 않는다= 공격자들은 계속해서 휴대전화를 마비시키고 사진, 비디오, 연락처 등 휴대전화 안에 저장돼 있는 모든 정보를 영구적으로 사용할 수 없도록 취약점을 악용할 수 있다.
휴대전화가 악성 활동을 감춘다= 멀웨어(Malware) 및 기타 악성 코드는 해커의 활동을 완전히 숨기고 삭제하지 못하도록 할 수 있다.
해커는 취약점을 악용하기 위해 전혀 권한이 없는 단순하, 무해한 애플리케이션을 설치하도록 유도해야 할 것이다.
DSP는 디지털 신호 프로세서(Digital Signal Processor)를 의미한다. DSP는 음성, 영상 및 환경 신호 등 실시간 신호를 연산할 수 있는 정제된 데이터로 가져오는데 특화돼 있다.
DSP는 최소한의 에너지를 소모하며 고속으로 덧셈 및 뺄셈 등 수학 함수를 수행하도록 설계돼 있다. 이 기술은 헤드폰, 스마트폰, 스마트 스피커, 스튜디오 오디오 장비, 차량 엔터테인먼트 시스템 등의 내부에서 찾을 수 있다.
예를 들어 MP3 파일을 디코딩, 음악의 저음 강화, 액티브 노이즈 캔슬링을 위한 계산 등을 수행하며 ‘오케이 구글(Hey Google)’을 외칠 때 음성을 인식하기 위해 여러분의 스마트폰 안에 DSP가 있다. 간단히 말해 DSP는 하나의 칩에 담긴 완전한 컴퓨터 같은 기능을 하며 거의 모든 현대적인 휴대전화에는 최소한 이런 칩이 하나씩은 존재한다.
체크포인트 연구진은 퀄컴 DSP 관련 연구를 수행한 후 DSP가 해커들에게 심각한 공격점(Attach Frontier)이라고 설명했다. 이런 칩으로 인해 모바일 장치에 대한 새로운 공격면(Attack Surface)이자 약점이 추가됐다. DSP 칩은 제조사 외에는 다른 누군가가 설계, 기능 혹은 코드를 검토하기 매우 복잡할 수가 있기 때문에 ‘블랙박스’로 관리돼 리스크에 훨씬 더 취약하다.
체크포인트 연구진은 발견사항을 퀄컴에 책임 있게 공개했다. 해당 칩 제조사 퀄컴은 보안 취약점을 인정하고 관련 벤더사에 통보했으며 CVE-2020-11201, CVE-2020-11202, CVE-2020-11206, CVE-2020-11207, CVE-2020-11208 및 CVE-2020-11209를 발표했다.
체크포인트 리서치(Check Point Research)는 모바일 벤더사들이 설명한 잠재적 위험성에 대해 포괄적인 솔루션을 갖출 때까지 취약점에 대한 완전한 기술적 세부사항을 공개하지 않기로 결정했다.
그러나 우리는 이러한 이슈에 대해 인식을 제고하기 위해 이 사실을 공표하기로 했다. 더 나아가 우리는 휴대기기를 더욱 안전하게 만드는데 도움을 주기 위해 우리가 협업했던 관련 모바일 벤더사 및 관련 정부 담당자에게 전체 연구 세부사항을 업데이트했다.
체크포인트 리서치는 전 세계의 기술 및 제품을 더욱 안전하게 만들기 위해 노력하고 있으며 협조를 구하는 모든 벤더사와 협력할 예정이다.
선제적인 노력을 위해 우리는 또한 이러한 위험성에 영향을 받았을 수도 있는 기업 및 기관에 본 문서 공개로부터 향후 6개월간 잠재적인 피해를 방지하고 모바일 장치 보호를 관리하기 위해 무료 샌드블라스트 모바일(SandBlast Mobile) 라이선스 20개를 제공했다. 아이폰은 연구 자료에 설명한 취약점에 영향을 받지 않았다.
체크포인트코리아 이은옥 지사장은 “해커들의 악의적인 공격은 이제 디바이스를 넘어 칩까지 노리고 있는 상황”이라며 “제조사가 제공하는 패치가 나올 때까지 손을 놓고 있으면 그들에게 개인정보는 물론 금융, SNS, 사생활 등 거의 모든 정보가 들어있는 스마트폰을 그대로 넘겨주는 것과 마찬가지가 된다. 이 같은 피해를 예방하기 위해서는 반드시 기술력을 갖춘 전문 보안 벤더의 애플리케이션 통해 철저히 대비해야만 한다”고 말했다.