리누스헨즈(Linus Henze)는 독일의 기술전문 사이트 Heise와의 인터뷰에서 맥OS 시스템에서 실행되는 악의적인 앱이 모든 맥OS 배포판에 내장된 암호관리 시스템인 키체인(KeyChain)에 저장된 암호에 접근할 수 있게 한다고 말했다.
이 공격은 악성 앱이 사용자의 키체인 파일에서 비밀번호를 검색할 때 관리자 권한이 필요하지 않으며 다른 맥OS 사용자의 비밀번호를 저장하는 다른 키체인 파일의 내용을 검색할 수 있어 매우 위험하다.
헨즈는 유튜브 비디오를 제외하고는 자신의 발견을 뒷받침할 수 있는 개념 증명 코드(PoC)를 발표하지는 않았지만, 포보스의 기사에 따르면 애플 전문 보안 연구원이 익스플로잇이 존재하며 Heise와의 인터뷰에서 설명한대로 잘 동작한다는 것을 확인했다.
헨즈는 자신의 비디오를 공개하기 전 이 취약점을 애플에 보고 하지 않았다. 그는 애플의 맥OS에 대한 버그 현상금 프로그램이 부족한 것이 그 이유라고 언급했다. 애플은 다른 제품을 위한 버그 현상금 프로그램을 운영하지만, 맥OS에 대해서는 그렇지 않다.애플의 보안 팀은 더 자세한 내용을 요구했지만 그는 맥OS에 대한 버그 현상금 프로그램을 시작할 때까지 해당 내용을 보고하지 않겠다고 거부했다.
그는 “이 경우는 돈은 내 행동에 대한 동기는 아니다. 애플에게 버그 현상금 프로그램을 만들어달라고 하는 것이고, 이것은 애플과 연구원들 모두에게 최선이라고 생각한다. 나는 애플 제품을 정말 좋아한다. 그래서 그 제품들을 더 안전하게 만들고 싶은 것이다. 이들을 더 안전하게 만드는 방법은 애플이 다른 대기업들처럼 버그 현상금 프로젝트를 운영하는 것이다.”라고 말했다.
헨즈의 맥OS 제로데이(KeySteal로 알려짐)는 2017년 패트릭워들(Patrick Wardle)이 발견한 KeychainStealer라는 다른 제로데이와 다소 비슷하다.
★정보보안 대표 미디어 데일리시큐!★
