[POC 2019] 국내·외 유명 해커·보안연구원 500여 명 참석…”해외 해커들과 커뮤니티 형성, 큰 의미”

제로디움(Zerodium), 크라우드팬스(Crowdfense), 레드불섹(RedBlueSec)와 같은 글로벌 제로데이 거래기업들 대표와 독일 해킹 보안 컨퍼런스 오펜시브콘(OffensiveCon) 운영자, 러시아 제로나잇(ZeroNights) 운영진을 비롯해 러시아, 말레이시아, 미국, 영국, 이스라엘, 이탈리아, 인도, 프랑스, 싱가폴, 중국, 태국 등의 다양한 국가의 보안 연구원들과 기관원 그리고 애플, 마이크로소프트 등 글로벌 기업들의 보안담당자가 한국에 모였다. 바로 POC 2019 참관을 위해서다.

14년간 국내 해킹 보안 발전을 위해 개최돼 오고 있는 POC가 올해도 11월 7일부터 8일까지 양재동 더케이호텔서울 거문고홀에서 500여 명의 국내·외 해커 및 버그헌터, 보안연구원들이 대거 참석한 가운데 성황리에 개최됐다.

POC 2019 주최측인 POCSECURITY는 “지난해 보다 해외 참관객들이 2배가 늘었다. 80여 명에 달한다. 중요한 것은 이들과 국내 보안연구원들이 발표장과 뒷풀이 등에서 서로 커뮤니티를 형성하며 협력할 수 있는 기회를 만들고 있다는 점이다. 국내 연구원들은 POC를 통해 해외 해커들과 교류하면서 신기술을 공유하고 상호 발전할 수 있는 기회가 되길 바란다”고 전했다.

이어 “이번에 최신 iOS 제일브레이크 발표와 앱보안 솔루션 취약점 발표, 삼성 녹스 취약점 발표, 안티바이러스와 NAS 장비 등 다양한 취약점 발표가 있었고 이런 취약점을 찾는 과정에 대해 공유하는 의미있는 시간이었다”며 “POC에 참석한 해외 해커들은 POC를 통해 자신들이 한국의 포털사이트나 한컴 취약점, 안랩 취약점, 북한 관련 정보 등을 갖고 있다며 함께 처리할 수 있길 바란다고 전하기도 했다. 해외 각지에서 참가한 버그헌터들 때문에 제로디움과 크라우드팬스 등 제로데이 거래 기업들의 POC에 대한 관심도 높다. 버그헌터들을 한 자리에서 만날 수 있기 때문이다. 콜포페이퍼도 매년 늘어나고 있어 해외 해커들의 POC에 대한 관심도 크게 높아졌다고 할 수 있다. 이 모든 것들이 국내 보안 발전에 밑 거름이 되리라 생각한다. 이런 커뮤니티를 만드는 것이 POC의 역할이다. 고립되면 발전이 없다고 생각한다. 앞으로도 꾸준히 이어갈 계획이다”라고 밝혔다.

취약점 발표 이외에도 트레이닝 코스와 벨루미나 해킹대회, 여성 해킹대회, 각종 이벤트등도 동시에 열렸다.

트레이팅 코스에는 이번에 특히 한국인만을 대상으로 하는 코스가 개설되어 관심이 높았다. 국내 오펜시브 기술 및 취약점 연구 업체인 Diffense(디펜스)의 ‘Advanced Windows Logic Bug Hunting’ 코스다. 윈도우 논리 취약점, 특히 권한 상승이나 샌드박스 탈출에 이용되는 논리 취약점과 이를 어떻게 찾을 수 있는가에 초점을 맞춘 교육으로, 기존 취약점들을 연구하여 새로운 취약점을 찾아보고자 하는 윈도우 취약점 연구자들에게 도움이 되는 코스였다.

또 발표자이기도 한 Cristofaro Mune의 ‘TEE Offensive Core’ 코스는 오펜시브 관점에서의 TEE 관련 지식과 시스템 레벨에서의 접근법, 공격 표면, 익스플로잇테이션 기법 등에 대한 강의가 있었다.

HackSys Team의 Ashfaq Ansari가 진행하는 ‘Windows Kernel Exploitation Foundation & Advanced’ 강의도 열렸다. 해당 강의는 이전과 비교해 발전된 내용을 포함하며, Windows 7 SP1 x86과 Windows 10 RS6 x64를 대상으로 했다.

DarkMatter 연구원 Prateek Gianchandani의 Offensive Mobile Reversing and Exploitation 강의도 열렸다. 해당 강의는 기본적인 ARM 명령 집합과 리버스 엔지니어링부터 iOS와 안드로이드 실제 버그를 사용한 익스플로잇테이션 기술들까지 다루는 코스였다.

여성 해킹대회인 ‘Power of XX’는 7일 10시간에 걸쳐 본선이 진행됐다. 숙명여자대학교 정보보안동아리 SISS가 매년 주최해 오고 있는 2019 Power of XX 대회 우승은 BoB 8기 취약점 분석트랙팀 ‘bob8th_vuln_analysis’가 우승을 차지했다. 2위는 포항공대 팀인 ‘Girls Of PLUS’, 3위는 우르르롹끼팀이 차지했다.

이번 대회를 준비한 숙명여대 SISS 오인경 회장(컴퓨터과학과 3학년)은 “문제는 시스템해킹, 웹해킹, 프로그래밍, 리버싱, 포렌식 등 16개 문제가 출제됐다. 예선은 11월 7일 진행됐으며 14개 팀이 참가했고 본선에는 6개팀이 참가했다”며 “여성해킹대회를 진행하면서 여성들도 해킹과 보안 분야에 대한 관심이 높아지고 있다는 것을 느꼈다. 앞으로 여성 인력들의 보안분야 진출이 확대될 것을 보인다. 대회를 준비하고 문제를 출제하면서 SISS도 많이 발전할 수 있었다. 대회 시간이 10시간으로 늘어났지만 참가팀들이 열심히 문제를 푸는 것을 보면서 운영진도 힘을 내 잘 마무리할 수 있었다”고 말했다.

현재 BoB 8기인 오인경 SISS 회장도 계속 시스템해킹 분야를 공부하면서 기술컨설팅 쪽으로 업무를 하고 싶다고 포부를 밝혔다.

이번에 6회째를 맞는 ‘벨루미나 해킹대회’를 운영한 POCSECURITY 정진욱 CTO는 “독특한 방식으로 진행되는 벨루미나 대회는 참가팀들이 문제를 출제하고 문제에 대한 세미나까지 하는 방식으로 진행된다. 총 5개 팀이 참가했고 팀장 2문제씩 출제했다. 팀당 8문제를 풀게 되는 것이다. 대회 후 자신들이 출제한 문제에 대한 설명까지 해서 총점을 합산해 순위를 정하게 된다”며 “벨루미나는 순위가 중요한 대회가 아니다. 문제를 출제하고 풀면서 최신 취약점과 최신 논문, 새로운 기술을 접하고 공부하는 대회라고 할 수 있다”고 설명했다.

이번 벨루미나 대회에서는 총 10개 팀이 참가 신청했고, 운영진 측에서 문제의 다양성과 참신함을 기준으로 Aleph Infinite, CoG, CyKor, LeaveCat-PLUS, yku 등 5개팀을 선발했다. Aleph Infinite은 고등학생 해커들로 구성된 팀으로 9월 10일 열린 2019 사이버작전 경연대회 학생부 우승팀 멤버들이다. CoG는 티오리, 그레이해쉬, 라온시큐어 연구원들로 구성된 팀, CyKor는 고려대학교 사이버국방학과 해킹보안 동아리이다. LeaveCat-PLUS는 LeaveCat팀과 포항공대 해킹보안 동아리 연합팀으로, 2019 사이버작전 경연대회 일반부 우승팀 멤버가 포함되어 있다. ykusnwp팀은 고려대, 스틸리언, 영남이공대, 티오리 등 다양한 소속 연구원들의 연합팀이다. 벨루미나 우승팀에게는 Zer0Con 2020 참가 티켓, 우승 기념티 등이 제공됐다.

올해 벨루미나 대회 순위는 고려대 CyKor팀이 1위를 차지했고 2위가 CoG팀, 3위가 Aleph Infinite팀으로 결정됐다.

이외에도 이벤트홀에서는 재작년부터 진행하고 있는 티오리(박세준 대표)의 ‘Speed Hack’이 올해도 진행됐다.

POC는 내년에도 11월 초에 더 발전된 모습으로 개최될 예정이다.

★정보보안 대표 미디어 데일리시큐!★