일단 뭐가 문제인가에 대한 글

원신 안티치트( mhyprot2.sys ) 취약점 - 원신 채널 (arca.live)

PC판 원신 안티치트(mhyprot2.sys)의 새로운 보안 취약점 발견 - 원신 채널 (arca.live)

누가 자꾸 안티치트 취약점 저거 구라라고 하던데 나도 문득 궁금해져서 조사해봤다.

일단 알아둘 점

원신 안티치트 드라이버는 원신 클라이언트에도 있긴 하지만 드라이버는 용량이 작기 때문에 악성코드들도 탑재가 쉬움.

그리고 이 취약점은 클라이언트가 문제가 아니기 때문에 원신이 설치 되지 않은 일반인도 당할 수 있음.

원신만의 문제가 아니라는 점을 꼭 기억할 것. 지금 내가 시연하는 컴퓨터에도 원신 안깔려있다.

+ 다행히도 원격 취약점은 아님. 앉아있으면 해킹당하는 마법은 아니라는거.

결론만 먼저 말하자면 이 취약점은 여전히 존재하고 드라이버의 서명도 아직 유효하며 누구나 남녀노소

언제든지 갖다 써먹을 수 있고 아주 정상적으로 작동함.

이 드라이버 취약점으로 할 수 있는 일이 많긴 한데 일단 나도 정확한 원리를 다 분석하지 않았고 행여나 악용 될 수 있는 정보가 있을 수 있어서 좀 사소하게 걍 알려지게 된 원인인 프로세스 킬하고 다른 프로세스 메모리 훔쳐보기 정도만 보여주겠음. 죽일 프로세스들은 관리자 권한만 있어도 죽일 수 있긴 해. 근데 이게 일반적인 방법이 아니라 드라이버를 통한 방법이라는 점을 이해하길 바래.

참고할 점은 내가 프로그램을 실행할 때 관리자권한을 주는 부분인데 이건 안티치트 드라이버를 로드하기 위해서 그런거고 이미 로드가 되었으면(원신 실행 중이라던지) 관리자권한은 필요하지 않음. 내가 해본건 아닌데 암튼 코드 짠 놈이 그러니까 맞다고 치자.

다시말하지만 저 프로세스가 종료된 것 자체는 중요하지 않음. 중요한건 내가 실행한 프로그램이 원신이 아님에도 불구하고 드라이버가 아무 경고 없이 로드 되고, 그 드라이버가 내 프로그램의 명령을 듣고 저 프로세스를 죽였다는거임. 즉 드라이버 취약점은 제데로 작동함.

그리고 메모리 접근은 걍 프로그램이 켜질 때 이미 하더라고.

csrss 프로세스에 접근해서 프로세스 모듈 리스트의 베이스 주소를 읽어옴. 요약하면 다른 프로세스의 메모리를 읽어서 내장 구조를 알아낸거. 참고로 저 프로세스는 시스템 프로세스라 권한이 존나 높아서 일반적인 방법으로는 메모리 접근은 커녕 열기도 안됨.

암튼 그래서 작동은 하더라. 좀 사소하게 손을 대긴 해야되는데 어쨌든 드라이버가 작동하는 이상 되게 만드는거는 별 문제가 아니다... 라고 결론을 내릴 수 있겠다.

헠 그럼 보안 취약점이 사실이었네? 난 어쩌지? 원신 지워야하나??? 근데 다행히도 원격코드실행 취약점은 아니기 때문에 켜져있다고 바로 컴퓨터가 박살나는건 아님. 일단 들어온 악성코드가 투명망토를 들고 있을 수 있다고 생각하면 됨. 매우 심각한 취약점이긴 하지만, 악성코드가 니 컴에 들어오지만 않으면 문제가 없다는거임. 그러니까 컴퓨터 씹창내지 말고 이상한 링크 클릭하지 말고 야동 그만 받아라. 그럼 상관 없다.

사실 이 취약점이 위험한 이유는 너네가 해킹당했을 때의 피해가 커질 가능성이 높아지는 것도 있지만 취약점이 있는 드라이버를 해커들이 이용해서 다른데에서 더 큰 사고를 낼 가능성이 큰 것에 있음. 해킹 때문에 금전적 손실이 생겼다 -> 근데 원신 안티치트가 악용되었네? -> 원신 개새끼 라는 흐름이 이어질 수 있다는거임. 어찌되었든 방치한건 원신의 잘못이니까.

+ 원신 클라이언트가 설치가 되어 있냐 없냐도 아마 상관 없을수도 있음. 어차피 저 취약점을 활용할 바이러스들은 아마 자기가 저 드라이버 준비물을 챙겨서 올거기 때문에... 현재 상황은 류웨이가 아주 심각한 민폐를 끼치고 있는 것이므로 니넨 빨리 류웨이한테 가서 드라이버 서명 관리 좀 쳐 하라고 욕박으면 됨. 그리고 회사 컴퓨터라던지 보안이 민감한 장소의 컴퓨터에는 원신 설치 안하는걸 추천함.

+ 더 알아봤는데 일단 해당 드라이버는 현재도 사용되고 있고 니네 컴에서 돌아가고 있다. 이러면 안티치트 기능을 날릴게 아니고서야 단순히 인증서 폐기만 할 수는 없으니 마찬가지로 류웨이에게 욕을 박아야 해결 될 듯 싶다. 사실 류웨이 선에서 해결할 문제인지는 잘 모르겠는데 암튼 그럼. 니 컴에 당장 뭔가를 하진 않겠지만 그냥 찝찝한 개구멍 정도로 이해하는게 정확할거 같어. 겜을 접어야 할만큼 위급한건 아니지만 반드시 보완이 되어야 해. 원신이 깔려있는 컴퓨터가 얼마나 많겠어...