한 보안 분석가가 트레이딩 커뮤니티에 올라온 "비트코인 전략 파일"을 열었다가 4단계로 이어지는 악성코드 유포 사슬을 발견했습니다. 시작점은 WinRAR의 파일 경로 처리 결함(CVE-2023-38831)을 악용한 조작된 압축 파일이었고, 끝은 감염 PC의 정보를 훔쳐가는 원격 제어 채널이었습니다. 이 글은 그 분석 과정을 통해 "왜 파일 포맷 파서의 사소한 판단 오류가 치명적인 침해로 이어지는가"를 짚습니다.
개발자 jmswrnr는 자기 집 스마트 공기청정기를 자체 홈 자동화 시스템(Home Assistant)에 붙이고 싶다는 소박한 동기에서 출발해, 이 기기가 만든 회사 클라우드 서버 없이는 원격 제어가 아예 불가능하다는 사실을 발견하고 직접 뜯어보기로 합니다. 그 결과 회로 기판의 디버그 핀 몇 개, 암호화되지 않은 저장소, 그리고 표준 프로토콜 대신 손수 만든 암호화 방식이 어떻게 차례로 무너지는지가 드러났습니다.
NVISO의 모바일 보안 연구자 Jeroen Beckers는 실제 진단 업무 중 문자열을 암호화해 숨겨둔 안드로이드 ARM64(64비트 ARM 아키텍처) 앱을 분석하게 되면서, 디버거를 붙이지 않고도 리버스엔지니어링 도구(Ghidra) 안에서 코드를 직접 실행시켜(에뮬레이션) 암호화된 문자열을 복원하는 절차를 정리했습니다. 마지막 단계는 파이썬 스크립트로 자동화해, 앱 전체의 난독화 문자열을 한 번에 풀어내는 데까지 나아갑니다.