SK쉴더스,  일렉트론 애플리케이션 취약점 연구 보고서 발간

SK쉴더스의 EQST가 일렉트론(Electron) 애플리케이션 취약점 연구 보고서를 발표했다고 21일 밝혔다.

SK쉴더스의 EQST(Experts, Qualified Security Team, 이큐스트)는 랜섬웨어를 비롯해 모의해킹, 웹ž모바일 보안 취약점, 공격패턴 등 침해 위협을 분석, 연구하며 지능형 보안 위협에 선제적으로 대응하고 있는 국내 최대 규모의 화이트해커그룹이며, 이번 보고서에서 일렉트론의 기초이론과 취약점 분석, 버그바운티* 사례 등을 상세히 소개했다. 올해 SK쉴더스 EQST에서는 10여 건의 제로데이*(zero-day) 취약점을 제보한 바 있다. 

*버그바운티(Bug Bounty): 공격자 관점의 선제적 보안 방법 중 하나로 시스템이나 서버에서 취약점을 찾아 수정해 결함을 보완하는 제도.
*제로데이(zero-day) : 보안 취약점이 발견된 후 보안 패치가 이뤄지기 전에 악용되는 공격 기법

일렉트론은 개발자들 사이에서 널리 활용되고 있는 소프트웨어 도구다. 비교적 진입장벽이 낮은 웹 개발 프로그래밍 언어를 기반으로 윈도우, 맥 등 다양한 운영체제에서 사용할 수 있는 데스크톱 애플리케이션 개발 시 사용된다. 스카이프(Skype), 노션(Notion), 워드프레스(Wordpress), 슬랙(Slack), 디스코드(Discord) 등 잘 알려진 다수의 애플리케이션도 일렉트론으로 제작됐다.

일렉트론 애플리케이션은 기본적인 웹 해킹 공격에 비해 단순 취약점이 RCE(원격명령실행)*까지 연결될 가능성이 커 위험성이 높다. 특히, 취약한 버전의 일렉트론을 사용하는 소프트웨어가 배포, 사용되고 있어 보안 위협에 노출돼 있는 상황이다.

*RCE(원격명령실행): 해커가 보안 취약점을 악용해 원격으로 사용자 시스템과 네트워크에 접속해 악성코드를 실행하는 공격. 

이에 SK쉴더스는 보안 설정 미흡과 Chrome 원격 디버깅* 악용 등 총 5가지의 주요 일렉트론 애플리케이션 공격 기법을 소개하며 주의를 당부했다. 특히, 기존 일렉트론 애플리케이션에서 발견된 실제 취약점도 예시로 들어 익스플로잇* 기법을 단계별로 설명했다.

*디버깅(Debugging): 컴퓨터 프로그램 개발 단계 중 발생하는 시스템의 오류나 비정상적인 연산(버그)을 찾아내고 수정하는 작업 과정.

*익스플로잇(Exploit): 소프트웨어나 시스템의 취약점을 악용해 비정상적인 동작을 유발하거나 권한을 획득하는 행위.

또한 △대상 선정 및 정보 수집 △보안 옵션 확인 △버전 업데이트 여부 확인 △익스플로잇의 흐름으로 진행되는 버그바운티를 소개했다. 이후, SK쉴더스에서 발견한 일렉트론 애플리케이션 CVE취약점과 버그바운티 사례를 설명했다.

SK쉴더스는 빠르게 변화하는 IT 신기술에 대응해 △클라우드 △IoT 등 폭넓은 분야의 정보보안 가이드를 외부에 무료로 제공하고 있다. 일렉트론 애플리케이션 취약점 연구 보고서 외에도 AI 거대언어모델(LLM) 가이드를 연내 추가로 공개할 예정이다.