[논문 리뷰] Shattered Trust: When Replacement Smartphone Components Attack

Omer Shwartz, Amir Cohen외 2명|arXiv (Cornell University)|2018. 05. 13.

Advanced Malware Detection Techniques참고 문헌 10인용 수 3

한 줄 요약

이 논문은 악성 대체 스마트폰 부품—특히 터치스크린—이 장치 드라이버에 대한 신뢰를 악용하여 하드웨어 기반 공격을 수행할 수 있음을 입증한다. 이 공격은 터치 주입 및 버퍼 오버플로우를 포함하며, 소프트웨어 흔적 없이 전체 장치를 해킹할 수 있다. 주요 기여는 저비용의 마이크로컨트롤러를 사용해 I2C 통신을 조작하는 실용적인 공격 체인으로, 표준 보안 제어를 우회하고 악성코드 스캐너 및 펌웨어 업데이트와 같은 검사 수단을 회피한다.

ABSTRACT

Phone touchscreens, and other similar hardware components such as orientation sensors, wireless charging controllers, and NFC readers, are often produced by third-party manufacturers and not by the phone vendors themselves. Third-party driver source code to support these components is integrated into the vendor's source code. In contrast to 'pluggable' drivers, such as USB or network drivers, the component driver's source code implicitly assumes that the component hardware is authentic and trustworthy. As a result of this trust, very few integrity checks are performed on the communications between the component and the device's main processor. In this paper, we call this trust into question, considering the fact that touchscreens are often shattered and then replaced with aftermarket components of questionable origin. We analyze the operation of a commonly used touchscreen controller. We construct two standalone attacks, based on malicious touchscreen hardware, that function as building blocks toward a full attack: a series of touch injection attacks that allow the touchscreen to impersonate the user and exfiltrate data, and a buffer overflow attack that lets the attacker execute privileged operations. Combining the two building blocks, we present and evaluate a series of end-to-end attacks that can severely compromise a stock Android phone with standard firmware. Our results make the case for a hardware-based physical countermeasure.

연구 동기 및 목표

• 악성 대체 스마트폰 부품, 특히 터치스크린을 통한 하드웨어 기반 공격의 가능성 여부를 조사한다.
• 내부 부품이 정당하고 신뢰할 만하다고 가정하는 스마트폰 장치 드라이버의 신뢰 모델을 분석한다.
• 저비용 마이크로컨트롤러와 악성 터치스크린만을 사용해 실용적인 공격 벡터—터치 주입 및 버퍼 오버플로우—를 시연한다.
• 표준 펌웨어를 사용하는 스톡 안드로이드 장치를 완전히 해킹하는 종단 간 공격을 평가한다.
• I2C 인터페이스 프록시 방화벽과 같은 하드웨어 기반 대응 조치를 제안하여 이러한 위협에 대비한다.

제안 방법

• I2C 버스를 통해 주 프로세서와 일반 터치스크린 컨트롤러(Synaptics S3718) 간의 통신 프로토콜을 역공학적으로 분석했다.
• I2C 통신 경로에 내장된 독립형 마이크로컨트롤러 기반 공격 플랫폼을 설계 및 구현하여 데이터를 가로채고 조작했다.
• 두 가지 공격 원형을 개발했다: 사용자 입력을 시뮬레이션하는 터치 주입과 고급 권한으로 임의의 코드를 실행하는 버퍼 오버플로우.
• 이 두 원형을 조합해 애플리케이션 설치, 데이터 유출, 파일 없는 루트 액세스를 포함한 종단 간 공격을 완성했다.
• 최소한의 하드웨어 비용으로 제어된 실험 환경에서 실제 안드로이드 장치를 대상으로 공격을 평가했다.
• 기존 펌웨어나 하드웨어를 변경하지 않고도 악성 부품 행동을 모니터링하고 차단할 수 있는 경량이며 비침습적인 대응 조치로 I2C 프록시 방화벽을 제안했다.

실험 결과

연구 질문

• RQ1 악성 대체 터치스크린 부품이 장치 드라이버에 대한 신뢰를 악용해 스마트폰 보안을 침해할 수 있는가?
• RQ2 손상된 내부 주변기기에서만 실행되는 터치 주입 및 버퍼 오버플로우 공격의 효과성은 어느 정도인가?
• RQ3 악성코드 스캐너 및 펌웨어 업데이트와 같은 전통적인 소프트웨어 기반 탐지 수단을 얼마나 효과적으로 우회할 수 있는가?
• RQ4 현재 드라이버 신뢰 모델의 아키텍처적 및 구현적 결함은 이러한 공격을 가능하게 하는가?
• RQ5 CPU나 부품 펌웨어를 변경하지 않고도 I2C 프록시 방화벽과 같은 저비용 하드웨어 기반 솔루션이 이러한 위협을 효과적으로 완화할 수 있는가?

주요 결과

• 악성 터치스크린 부품은 터치 주입 공격를 통해 사용자 입력을 위장하여 앱 설치 및 데이터 유출 등의 조치를 가능하게 했다.
• 장치 드라이버에 존재하는 버퍼 오버플로우 취약점 덕분에 공격자는 고급 권한으로 임의의 코드를 실행해 장치를 완전히 제어할 수 있었다.
• 공격는 저비용 마이크로컨트롤러만을 사용해 구현되었으며, 악성코드 스캐너 및 공장 초기화와 같은 표준 보안 제어를 우회했다.
• 공격는 파일 없는 성격과 CPU의 신뢰 영역 내에서만 실행되기 때문에 소프트웨어 기반 수단으로는 탐지되지 않았다.
• 연구자들은 이 취약점을 구글에 공개했으며, 구글은 이를 심각도가 높은 CVE-2017-0650로 할당하여 실제 공격 가능성을 확인했다.
• 제안된 I2C 프록시 방화벽 대응 조치는 기존 펌웨어나 하드웨어를 변경하지 않고도 악성 부품 행동을 효과적으로 탐지하고 차단하는 데 성공했다.