Windows가 무작위 앱을 위협으로 식별하는 이유

일부 Windows PC 소유자는 이번 주 초에 갑자기 컴퓨터에 스팸 메시지가 왔는데, 그 메시지에는 WinRing0이라는 새로운 "해킹툴"에 대한 Windows Defender 경고가 포함되어 있었습니다. 이러한 경고가 분명 놀라운 일이기는 하지만, 여러분의 컴퓨터가 실제로 공격을 받고 있지는 않을 가능성이 큽니다. 적어도 아직은요. 하지만 그렇다고 해서 경고를 무시해도 된다는 것은 아닙니다.

WinRing0이 Windows Defender를 활성화하기 시작한 이유

이런 무작위 알림의 문제점은 위협이 무엇인지, 왜 Defender가 그것을 위협으로 간주하는지 항상 명확하지 않다는 것입니다. WinRing0의 경우, 이전에 위험한 맬웨어와 관련이 있었던 커널 수준 소프트웨어의 악용 때문에 발생했습니다(BleepingComputer에서 보도한 대로).

기본적으로 커널 수준 액세스 권한이 있다는 것은 WinRing0이 운영 체제의 핵심 구성 요소와 리소스에 액세스할 수 있다는 것을 의미합니다. 해당 소프트웨어가 어떻게든 악용될 수 있다면 위험한 도박이며, WinRing0가 SteelFox 맬웨어가 작동하고 감염된 시스템에 접근하는 방식의 주요 원동력인 것으로 보입니다.

Defender를 사용하여 Windows PC의 보안을 강화했더라도 SteelFox와 같은 맬웨어는 여전히 WinRing0에서 발견된 취약점을 이용하여 보호 기능을 우회할 수 있습니다.

WinRing0와 같은 소프트웨어의 또 다른 큰 문제는 다양한 소프트웨어에 침투하는 경향이 있다는 것입니다. The Verge에 따르면, 이 최신 Windows Defender 경고는 몇 년 전에 언급된 Fan Control을 포함하여 널리 사용되는 여러 PC 팬 제어 앱의 일부입니다.

Windows Defender는 Libre Hardware Monitor, MSI Afterburner , SteelSeries Engine, Razer Synapse, OmenMon 등 다른 타사 모니터링 소프트웨어를 설치한 경우에도 경고를 발생시키는 것으로 보입니다.

이는 놀라운 일이 아니다.

이것이 Afterburner와 Fan Control과 같은 모니터링 소프트웨어에 미치는 전반적인 영향은 분명합니다. Microsoft에서 이러한 앱이 저수준 권한에 액세스할 수 있는 방법을 향후에 제공하지 않는 한, 이러한 앱을 설치하고 사용하면 엄청난 보안 위험을 감수하게 됩니다.

하지만 이러한 움직임은 전혀 예상치 못한 일은 아니다. 작년에 발생한 대규모 CrowdStrike 사건은 일부 의료 분야 기업을 포함한 많은 기업에 끔찍한 결과를 초래했습니다. 그 사건 이후로 Microsoft는 WinRing0이 커널 수준 권한에 액세스하는 데 사용한 것과 같이 존재하지 않아야 할 보안 취약점을 없애라는 엄청난 압박을 받았습니다.

Microsoft가 WinRing0 문제를 해결하는 데 왜 그렇게 오랜 시간이 걸렸는지는 불분명합니다. 하지만 이는 이를 사용하는 소프트웨어가 전혀 쓸모없다는 것을 의미하지는 않습니다. 원하시면 여전히 사용하실 수 있습니다. 하지만 그렇게 하면 시스템이 위험에 처할 가능성이 매우 높습니다.

불행히도 해결책은 있지만 성공 가능성은 매우 낮습니다. GitHub의 댓글에 따르면 WinRing0에서 발견된 취약점은 패치되었습니다. 하지만 마이크로소프트로부터 해당 버전의 승인과 서명을 받는 것은 어려울 것으로 보인다. 해당 버전을 만든 오픈 소스 커뮤니티는 마이크로소프트로부터 최신 버전의 서명을 받을 만한 능력이 없다고 생각하기 때문이다. Microsoft 서명이 없으면 Windows 시스템에 설치할 수 없습니다.

다른 유일한 대안은 각 애플리케이션 개발자가 커널 수준 권한에 액세스하기 위한 자체 소프트웨어를 만드는 것입니다. 하지만 이는 많은 사람이 감당하기 힘든 값비싼 노력입니다. 그렇더라도 소프트웨어 사용자는 소프트웨어 구매를 통해 추가 비용을 부담하게 될 가능성이 높습니다.

위에 언급된 모니터링 소프트웨어를 사용하거나 Windows Defender가 시스템의 WinRing0에 대해 경고하는 것을 확인한 경우 당장은 걱정할 것이 없을 것입니다. 하지만, 특히 커널 수준 액세스가 가능한 소프트웨어의 경우 안전을 기하는 것이 후회하는 것보다 낫습니다.