제 14회 국제 해킹보안 컨퍼런스 POC2019가 오는 11월 7~8일 서울 양재동 더케이호텔 거문고홀에서 개최된다. 9월 1일부터 조기 등록이 시작되었고, 조기 등록 마감일은 해외 등록자들과의 시차를 고려하여 10월 1일이다.

전년도와 비교하여 외국인들의 등록이 늘어난 추세로, Zerodium, Crowdfense, RedBlueSec, Pwnorama와 같은 제로데이 거래 업체들의 대표들과 독일 해킹 보안 컨퍼런스 OffensiveCon 운영자, 러시아 ZeroNights 운영진을 비롯하여 러시아, 말레이시아, 미국, 영국, 이스라엘, 이탈리아, 인도, 프랑스, 싱가폴, 중국, 태국 등의 다양한 국가의 보안 연구원들과 기관원들이 참가를 신청했다.

후원사들 중 Zerodium에서 POC 컨퍼런스 참가자들을 위한 백팩을 제작 중이며, 모든 유료 등록 참가자들에게 제공할 계획이다.

현재 총 12개의 발표 주제가 확정된 상태로, 최근 추가 선발한 4개 발표 주제부터 소개하면 다음과 같다.

먼저, Cristofaro Mune과 Niek Timmers의 ‘Using Fault Injection for Turning Data Transfers into Arbitrary Execution’ 발표이다. 이들은 시스템에서 공격자가 원하는 코드 실행을 이끌어내기 위한 Fault Injection 테크닉에 대해서 소개한다. 또한 PC를 직접 처리할 수 없는 아키텍처에서도 PC를 제어할 수 있는 기술을 처음으로 공유할 예정이다. 다양한 모바일 기기에서 사용하고 있는 ARMv8 장치를 대상으로 기술 설명, 데모가 있을 것이다. 참고로 삼성과 LG의 스마트폰을 비롯한 다양한 모바일 기기, 임베디드 기기에서 ARM 기반의 커스텀한 CPU를 사용하고 있다.

중국 유명 해킹보안 연구팀 중 하나인 텐센트 KeenLab의 Gengming Liu와 Jianyu Chen가 크롬 브라우저 익스플로잇테이션 발표를 진행한다. 마지막 크롬 바운티가 2016년 모바일 Pwn2Own(폰투오운)에서 텐센트 KeenLab이 크롬 브라우저를 통해 넥서스 6P 공격에 성공한 것일 정도로 크롬 브라우저 공격이 점점 어려워지고 있다. 이 발표에서는 이들이 Pwn2Own과 Pwnium에서 사용한 몇가지 익스플로잇테이션 기술을 공유하고, 실용적인 크롬 샌드박스 익스플로잇 방법 소개, 리눅스 크롬에서 풀체인 익스플로잇에 성공한 데모를 선보인다.

같은 텐센트의 Blade팀 보안 연구원인 Zhiyang Zeng은 ‘Safari Adventure: A Dive into Apple Browser Internals’ 주제로 발표한다. 발표자는 사용자 인터페이스, Security-Feature, Just-in-time 컴파일러, SafariServices 프레임워크 등 다양한 공격 벡터들을 설명하고, 자신이 찾은 6개 이상의 취약점들에 대한 정보를 공유한다.

MSRC 상위 11위를 차지했던 Clarified Security의 Jaanus Kääp은 ‘Attacking Hyper-V’ 주제로 다시 한번 POC를 찾는다. 마이크로소프트 가상화 시스템인 Hyper-V는 매우 높은 버그바운티 금액을 자랑하지만, 취약점이 거의 보고 되지 않는 것으로 알려져 있다. Jaanus는 Hyper-V의 공격 표면, 내부 동작, 연구를 위한 다양한 도구와 팁, 그리고 직접 제작한 도구도 공개할 예정이다. 이 발표는 Hyper-V 취약점 헌팅을 시도하는 연구원들에게 매우 좋은 디딤돌이 될 것이며, 임베디드 장비, 웹 취약점에 집중되어 있던 국내 버그헌터들이 새로운 타깃을 정할 수 있을 것으로 보인다.

지난 기사에서 발표 주제가 미정이었던 칭화대 교수 Chao Zhang은 ‘Revery: from POC to EXP’라는 발표를 선보일 예정이다. Chao 교수는 칭화대 해킹팀 blue-lotus의 지도교수이기도 하다. 취약점 익스플로잇 시, 경우에 따라 취약점을 트리거할 수 있는 PoC 입력이 주어져도 크래시는 발생하지만 익스플로잇 가능한 상태가 되지 못하는 경우도 있는데, 해당 발표에서는 이러한 경우와 관련된 구체적인 과제 및 해결책을 소개한다.

구글 프로젝트 제로의 James Forshaw는 "Reimplementing Local RPC in .NET"라는 제목의 발표를 진행한다. MSRPC에 대한 설명, 현재 구현된 도구들을 설명한 후 .NET 언어를 이용하는 새로운 도구를 소개하고, 이를 활용해 찾아낸 취약점을 설명할 예정이다. 윈도우를 연구하는 사람이라면 Windows 취약점 연구 분야에서 최고로 손꼽히는 James의 발표를 듣고 그와 기술적 교류를 나눌 수 있는 이번 기회를 놓치지 말아야할 것이다.

Fortinet의 Kushal Arvind Shah은 Software Zero-Day Discovery - How To? Targets/Seeds? Methods - Fuzzing, Reverse-Eng, "Neither"??라는 제목으로 제로데이 연구의 방법론에 대한 발표를 진행한다. 그는 공격 타깃 선정, 빌드, 퍼징과 리버싱 과정에 대해서 설명하고, 퍼징과 리버싱 이외에 취약점을 찾기 위해 최근에 진행되고 있는 연구 방법을 소개한다. 또한 이를 통해 찾아낸 취약점의 라이브 데모를 선보일 예정이다. 국내에도 이제 제로데이 버그헌팅을 하는 연구원이 많아졌다. 이번 발표를 통해 제로데이를 찾는 다른 연구원의 연구 과정을 엿보면서 자신에게 부족한 부분을 찾고 장점은 발전시킬 수 있을 것이다.

개인 연구원인 Nafiez와 Jaan Yeh는 안티바이러스 제품군에 대한 발표를 "Hunting Vulnerability of Antivirus product"라는 제목으로 진행한다. 발표자는 안티바이러스 제품들에 존재하는 취약점을 찾고 공격하는 과정, 공격 기법 및 도구 등에 대해서 설명하고, 다양한 제품들에서 찾아낸 취약점들을 선보일 예정이다. 발표에서는 특히 안랩의 제로데이 등 국내 제품들의 취약점들도 포함될 예정이다. 사용자의 안전을 위한 제품이 사용자를 위험에 처하게 할 수도 있음을 벤더들은 명심하고 이 발표에 주목할 필요가 있다.

Qihoo 360 Nirvan 팀의 Qian Chen은 NAS 장비 전 세계 점유율 1위인 시놀로지 NAS 장비에 대한 버그헌팅을 "Bug Hunting in Synology NAS" 제목으로 발표할 예정이다. 그는 NAS 장비 버그헌팅을 단계별로 설명하고 발견된 취약점들을 공유할 예정이다. NAS 장비에서 취약점을 찾고자 하는 연구원들에게 많은 도움이 될 것이며, 다른 벤더들에게도 적용될 수 있는 기술들도 포함되므로 관련 벤더 보안 관리자들은 주목해야할 발표이다.

Yongtao Yang(BCM Social Corp)은 "A Whole New Perspective In SSRF: MAKE IT GREAT AGAIN AND Ignore Most Of SSRF DEFENSE SOLUTIONS THAT WE KNOW"라는 발표를 통해 잘 알려진 웹 해킹 기법인 SSRF의 새로운 관점을 제시한다. 최근 SSRF 공격 우회가 점점 어려워지고 있는 상황에서 새로운 관점의 공격 표면을 제시하고 보호 기법 우회가 가능함을 보여줄 예정이다.

Liang Chen과 Luca Todesco, 각각의 발표 주제는 곧 공개될 예정이며, 새로운 아이폰 모델 발매와 iOS 13 업데이트가 진행된지 얼마 되지 않은 상황에서 과연 이들이 어떤 취약점으로 애플을 놀라게 할 지 기대된다.

4개 트레이닝 코스 운영도 확정되었다. 강의 신청 기간은 10월 15일까지이다.

이번에는 특히 한국인만을 대상으로 하는 코스가 개설되어 많은 관심을 받고 있다. 국내 오펜시브 기술 및 취약점 연구 업체인 Diffense(디펜스)의 ‘Advanced Windows Logic Bug Hunting’ 코스이다. 윈도우 논리 취약점, 특히 권한 상승이나 샌드박스 탈출에 이용되는 논리 취약점과 이를 어떻게 찾을 수 있는가에 초점을 맞춘 교육으로, 기존 취약점들을 연구하여 새로운 취약점을 찾아보고자 하는 윈도우 취약점 연구자들에게 도움이 될 코스로 보인다.

발표자이기도 한 Cristofaro Mune의 ‘TEE Offensive Core’ 코스는 오펜시브 관점에서의 TEE 관련 지식과 시스템 레벨에서의 접근법, 공격 표면, 익스플로잇테이션 기법 등에 대한 강의이다.

HackSys Team의 Ashfaq Ansari가 진행하는 ‘Windows Kernel Exploitation Foundation & Advanced’ 강의도 있다. 해당 강의는 이전과 비교하여 발전된 내용을 포함하며, Windows 7 SP1 x86과 Windows 10 RS6 x64를 대상으로 한다.

DarkMatter 연구원 Prateek Gianchandani의 Offensive Mobile Reversing and Exploitation 강의도 준비되어 있다. 해당 강의는 기본적인 ARM 명령 집합과 리버스 엔지니어링부터 iOS와 안드로이드 실제 버그를 사용한 익스플로잇테이션 기술들까지 다룬다.

이외에 소규모 트랙인 Whatever Talk, Belluminar(벨루미나) CTF, Power of XX(여성해킹대회) 등 각종 이벤트도 준비 중이다.

Whatever Talk은 2018년에 도입한 트랙으로 개인 연구 성공담 및 실패담, 회사 홍보, 제품 홍보 등 모든 주제 발표가 가능하며 현재 발표자 모집 중이다. 현재 3명의 발표자가 선정되었다.

시큐리온 유동훈 대표가 ‘머신러닝을 활용한 최신 안드로이드 LPE 공격 위협 탐지’라는 주제로 왓에버톡 발표자로 참가할 예정이다. TEE 환경에서 보안 기술 우회 공격을 삼성 KNOX 바이 패스 사례로 소개하고, 해당 LPE 익스플로잇을 머신러닝으로 탐지하는 자동 분석 플랫폼에 대한 발표이다.

이재휘 네이버 보안 연구원은 ‘Building an automated system to de-obfuscate an API wrapping of Themida v3.0 by a taint analysis’ 주제로 더미다 이전 버전과 최신 버전의 API 난독화 과정에 대해 알아보고, 최신 버전 API 난독화 해제를 자동화하기 위한 정규화 및 taint analysis 활용 방법 등에 대해 알아본다.

한국인터넷진흥원의 장웅태 주임 연구원은 ‘유사도 기반의 재식별화 알고리즘을 통한 데이터 익명화 해제 방법’에 대해 발표한다. 발표자는 유사도에 기반한 재식별화 알고리즘을 통해 익명성을 해제하여 위험성을 증명하고, 그에 대한 실무적인 방안을 제시한다.

벨루미나(Belluminar)는 현재 팀 모집 및 선발을 완료하고 다음 단계를 준비 중이다. 올해 총 10개 팀이 참가 신청하였고, 운영진 측에서 문제의 다양성과 참신함을 기준으로 5개 팀(Aleph Infinite, CoG, CyKor, LeaveCat-PLUS, yku)을 선발하였다. Aleph Infinite은 고등학생 해커들로 구성된 팀으로 9월 10일 열린 2019 사이버작전 경연대회 학생부 우승팀 멤버들이 포함되어 있다. CoG는 티오리, 그레이해쉬, 라온시큐어 연구원들로 구성된 팀, CyKor는 고려대학교 사이버 국방학과 해킹보안 동아리이다. LeaveCat-PLUS는 LeaveCat팀과 포항공대 해킹보안 동아리 연합팀으로, 2019 사이버작전 경연대회 일반부 우승팀 멤버가 포함되어 있다. ykusnwp팀은 고려대, 스틸리언, 영남이공대, 티오리 등 다양한 소속 연구원들의 연합팀이다. 새로운 팀들의 참여도가 증가한만큼 올해 벨루미나 우승팀의 주인공은 누구일지 귀추가 주목된다. 벨루미나 우승팀에게는 Zer0Con 2020 참가 티켓, 우승 기념티 등 혜택을 제공한다.

여성해킹대회(Power of XX)도 10월 5일 진행하는 예선을 앞두고 최종 준비 작업중이다. 9월 27일까지 등록 가능하며, 예선은 오전 10시부터 밤 10시까지 12시간 진행된다. 현재 KAIST, 고려대, 이화여대, 숙명여대, 서울여대, 성신여대, 아주대, 인하대, 충남대 등 다양한 소속의 팀들이 신청 완료하였다. 본선에는 예선 상위 6팀이 진출하고, 본선 진출팀에는 POC2019 무료 티켓, 만찬 초대 등의 혜택을 제공한다.

이 밖에 이벤트 홀에서 보안, IT와 관련된 혹은 참가자와 진행자 모두가 즐길 수 있는 크고 작은 이벤트를 운영할 개인 또는 팀도 모집 중이다. 재작년부터 진행하고 있는 보안 업체 티오리의 ‘Speed Hack’이 올해도 진행된다. 그동안의 노하우를 반영해 양질의 문제를 준비하겠다는 운영 측의 언급에 따라 참가자들의 흥미를 유발하는 다양한 문제들이 있을 것으로 예상된다.

POC2019은 현재 조기 등록 마감을 앞두고 있으며, 등록 관련 정보는 다음과 같다.

[POC2019 등록]

- 등록 페이지: www.powerofcommunity.net/register.htm

- 조기 등록: 9월 1~30일

- 후기 등록: 10월 1~31일

- 현장 등록: 11월 7~8일

- 기타 문의: pocadm@gmail.com

- 각종 공지: https://www.facebook.com/POC.Conference, https://twitter.com/POC_Crew

- 트레이닝 코스: http://powerofcommunity.net/training2.htm

★정보보안 대표 미디어 데일리시큐!★