컨텐츠

테크니컬 세션
테크니컬 세션

4월 13일(목), 10:00-17:00 l 알림2관

Chris Salls (크리스 샐즈)

제목 : 사이버 그랜드 챌린지(Cyber Grand Challenge)에서의 자동 익스플로잇(취약점 공격, exploit) 및 그 이상의 것

Title : Automatic Exploitation in the Cyber Grand Challenge and Beyond

Chris Salls는 UC Santa Barbara 대학의 보안 연구소에서 박사 과정을 밟고 있으며 이진 분석을 연구하고 있다.  
해킹팀 Shellphish의 일원으로서, 최초의 자동화 해킹 대회인 Cyber Grand Challenge를 포함한 많은 해킹 대회에 참여한 바 있다.  
또한 angr 바이너리 분석 프레임워크 개발의 핵심 기여자로도 알려져있다.  
현재 스마트폰 개발 연구를 시작했으며, Geekpwn 대회에서 안드로이드 루팅을 시연하기도 했다.

초록

취약점 공격(exploitation)은 숙련된 보안 전문가들에게도 어려운 과제이며 컴퓨터에게는 더욱 어려운 도전이다. 사이버 그랜드 챌린지(CGC)의 참가자들은 소프트웨어 버그를 자동탐지, 패치, 공격하는 시스템을 생성하라는 요청을 받았다.  

  이번 발표에서 나는 ㈜셀피쉬사의 자동 익스플로잇 시스템(automatic exploitation system)에 대해 이야기할 것이다. 사이버 그랜드 챌린지(CGC)에서 셀피쉬사의 봇(bot)은 가장 많은 바이너리 취약점을 공격하였으며 그 어느 팀보다 더 많은 플래그(flag)를 훔쳤다. 나는 우리의 자동 익스플로잇 엔진의 디자인 및 사이버 그랜드 챌린지에서 우리가 적용한 특정 기술에 대해 설명하겠다. 또한 어떻게 퍼징(fuzzing)과 기호실행(symbolic execution)을 결합하여 크래싱 인풋(crashing input)을 생성하는지 간략하게 설명하겠다. 그 후, 어떻게 기호추적 (symbolic tracing)을 사용하여 (특히 angr를 사용하여) 경로를 따라 장애를 수집하는지 보여주겠다. 이때 크래시(crash)에 대해 우리가 보유하고 있는  컨트롤(control)이 무엇인지 파악해야 한다. 컨트롤과 크래시 종류에 따라 한 개 또는 복수의 기술을 적용하여 크래싱 인풋(crashing input)을 익스플로잇(exploit)으로 전환하게 된다. 

  마지막으로 자동 익스플로잇의 한계에 대해 논하겠다. 즉, 최신 시스템 조차도 복잡한 현실세계의 바이너리에서 버그의 취약점을 자동으로 공격(exploit)할 수 없는 이유가 무엇인지, 효과적인 바이너리 익스플로잇(binary exploit) 구현을 위해 이런 시스템들을 어떻게 발전시켜야 하는지 등에 대해 다룰 것이다.

Timothy Vidas (티모시 비다스)

제목 : 인간의 개입이 있는 또는 없는 해킹: 사이버 보안 CTF(Capture-the-Flag)에서 최첨단 기술 추진

Title : Hacking with, and without, Humans: Pushing the state-of-the-art in cybersecurity Capture-the-Flag

팀(Tim)의 관심 연구분야는 주로 모바일 플랫폼 보안 및 프라이버시와 관련 되지만 디지털 법의학(digital forensic), 리버스 엔지니어링(reverse engineering), 멀웨어 분석(malware analysis)등의 분야에 심취하기도 한다. 그의 최근 활동 중 주목할만한 것은 다르파 사이버 그랜드 챌린지(DARPA's Cyber Grand Challenge)의 경쟁 프레임워크 무결점 팀의 팀리더 활동, 혁신을 통해 더 안전한 인터넷 세상을 구축하기 위한 시큐어 웍스(SecureWorks)에서의 노력, 침해사고 대응팀(CERT)에서의 디지털 법의학 연구활동 등이 있으며, 신뢰도 높은 보안커널(high-assurance security kernel), 협업 리버스 엔지니어링(reverse engineering), 법의학 관점에서의 RAM 분석 등의 컴퓨터 및 네트워크 보안 프로젝트 등에도 참여하였다. 그는 또한 정기적으로 학술행사에 연구물을 게시하고 있으며, 보안 및 프라이버시에 관한 국제전자전기공학회 컨퍼런스(IEEE Security and Privacy), 유즈닉스(USENIX), 우트(WOOT), 쉬무콘(Shmoocon), 데프콘(DEFCON), 블랙햇(Blackhat) 등의 산업 컨퍼런스에도 발표자로 참여해 왔다.
그는 연구활동 외에도 가르치는 것을 좋아하며 IT관련 분야에 광범위하게 관심이 있다. 또한 미국 컴퓨터 학회(ACM, Association for Computing Machinery), 국제전자전기공학회 (IEEE), 유즈닉스(USENIX)등의 회원이며, 몇 년간 디지털 법의학 연구학술회의인 DFRWS(Digital Forensics Research Workshop) 조직위원회에서 활동해 왔고, 비영리 싱크탱크인 스무그룹(The Shmoo Group)의 회원이다. 그는 전기공학 및 컴퓨터공학 박사학위, 컴퓨터 과학분야 이학사 및 이학석사를 소지하고 있다. DC3 디지털 법의학 챌린지의 그랜드 챔피언(DC3 Forensics Challenge Grand Champion)이며, 나중에 그가 다른 재능 있는 인재들과 함께4년동안 조직한 대회인 데프콘 CTF의 블랙배지(DEFCON CTF black badge)를 보유하고 있다. 여가 시간에는 오픈소스 소프트웨어에 기여하거나 CTF 엑서사이즈(CTF exercise)활동을 운영하고 있으며, 디지털 법의학 대회, CTF 엑서사이즈 등 여러 가지 흥미로운 도전과제에 대한 사색을 즐긴다.

초록

2016년 여름, DARPA's Cyber Grand Challenge의 최종 본선진출 7개 팀이 결승전에서 경쟁을 펼쳤다. 도전은 몇 년에 걸쳐 진행되었으며, 참가팀들은 최종 결승진출 자격을 얻기 위해 여러 관문을 통과해야 했다. 데프콘(DEFCON)은 수년간 엘리트 해커들을 라스베가스에 초청하여 CTF에서 최고의 영예를 위해 경쟁하도록 해왔으며, 이는 전혀 새롭지 않다. 그러나 하나 새로운 것은 사이버 그랜드 챌린지의 최종 결승 진출자들이 모두 컴퓨터라는 점이다. 이 대회에 걸려있는 것이 많고, 최종결승 진출자들이 인간의 적응능력을 갖고 있지 않다는 점을 감안하면, 사이버 그랜드 챌린지의 인프라는 세계 최초의 컴퓨터 참가자들만으로 치뤄지는 CTF를 집행해야 하는 도전에 직면했던 것이다. 
대회 인프라는 사용자 정의 운영체제, 고유한 실행파일 형식(unique executable file format), 새로운 IDS 형식(novel IDS format)등으로 구성되어 대회 개최이래 복제가 가능한 가장 접전이었던 CTF 경쟁을 초래하였다. 사이버 그랜드 챌린지를 계기로, 대회에서 사용되었던 기술을 누구나 쉽게 사용하고, 최첨단 기술을 사이버 보안 CTF에서 지속적으로 추진할 수 있도록 하기 위해 CTF 집단(CTF Collective)이 설립되었다. 이번 발표에서 우리는 CTF 집단의 시작 및 무인 해킹대회를 조직하기 위해 필요한 것이 무엇인지(디자인, 엔지니어링, 편성), 무인 및 유인 해킹의 기묘한 교차점 등에 대해 이야기할 것이다. 

진용휘 (Yonghwi Jin)

고려대학교

제목 : 인라인 함수 탐지 및 알려진 함수 검색 도구 제작 및 실사용 예

고려대학교 학부 과정을 밟고 있다.  정보보호 동아리인 CyKor의 멤버로 활동하고 있으며, 청소년 때부터 국내·외 여러 해킹대회에서 개인 및 단체 입상을 해오고 있다. 최근 구글 크롬을 포함한 버그바운티 활동을 하고 있으며 취약점 분석 자동화 분야에 관심을 두고 공부해 오고 있다.

초록

인라인 함수들은 성능 향상을 가져오며 C++ 및 Go에서 많이 쓰이지만 역공학자에게는 반복되는 코드들로서 짜증을 유발한다.
이 발표에서는 인라인 함수들을 발견하는 이전의 방법들과 발표자가 구현한 방법에 대해 소개한다.
또 이를 구현한 IDA Pro용 플러그인에 대해 소개 및 배포할 예정이다.

Stefan Esser (스테판 에서)

iOS/MacOS 보안 연구 전문가

Title : Port(al) to the Core

스테판 에서(Stefan Esser)는 독일의 MacOS 및 iOS 보안주제 전문기업인 Antid0te UG의 회장(CEO)이다. 그는 싱가폴 보안 컨퍼런스인 시스캔(Syscan), 캔섹웨스트(CanSecWest) 보안 컨퍼런스, 리콘(Recon), 핵인더박스(HITB), 블랙햇(BlackHat) 등의 보안관련 국제회의에 발표자 및 트레이너로 참석해 왔다. 또한 “iOS 해커 핸드북(iOS Hackers Handbook)”의 공동저자 이기도 하다. 이전에는 웹 애플리케이션 보안 전문가로 활동했으며 PHP security guy(PHP 보안전문가)로 더 잘 알려져 있다. 그는 독일의 애플리케이션 보안기업인 SektionEins 의 공동 설립자이다.

초록

지난 몇 년간 애플(Apple)사는 iOS 및 iOS기기 보안위협 완화를 위한 새로운 방법을 지속적으로 추가해 왔다. 이를 통해 애플은 보안경쟁에서 앞설 수 있었다. 공격자들은 새로운 iOS 버전에 새롭게 탑재된 모든 보안장치에 침투하기 위해 자신이 어떤 기술을 사용할지 선택해야 한다. 그렇기 때문에 개인 탈옥(private jailbreak)에서 사용되는 기술들은 비밀에 부쳐져 왔다.
이번 세션에서는 한동안 개인 탈옥(private jailbreak)시 사용되어 왔고 GitHub에 업로드 된 부분 iOS 10.2 탈옥(partial iOS 10.2 jailbreak)을 통해 최근에야 대중에게 유출된 iOS 커널 익스플로잇 기술을 소개 하겠다. 또한 오리지널 기술의 완전한 사용법 및 정확한 사용목적을 설명하겠다.

Philip Pettersson (필립 페터슨)

삼성 통합 보안센터, 해킹팀 Hacking for Soju

리눅스 네임스페이스(Linux Namespaces): 보안 혜택인가 해악인가?

Title : Linux Namespaces: Security Boon or Bane?

필립 패터슨(Philip Pettersson)은 삼성 통합 보안센터(Samsung Security Center)의 책임 보안엔지니어(Senior Security Engineer)로 재직 중이며, 삼성그룹을 위한 침투 테스트(pentesting) 및 제품보안업무를 담당하고 있다. 그는 2009년부터 전세계 대회에 참가해온 CTF 팀인 Hacking for Soju의 멤버 이기도 하다. 또한 여가시간에는 오픈소스 소프트웨어를 감사(audit)하거나 2진법을 활용한 전쟁게임을 하며 스킬을 다듬는다.

초록

리눅스 네임스페이스(Linux namespaces)는 2000년대 초반에 개발되었으며 현재는 리눅스 커널구조(Linux kernel aechitecture)에 적용되고 있다. 또한 Docker, LXC등의 컨테이너 기술(container technologies)의 고립기능을 적용할 때 사용되는 기초 시스템 이다.
컨테이너 기술은 복잡한 배치구조의 개별 부분을 더 쉽게 고립시키도록 도와주는 이점이 있어서 보안혜택으로 각광을 받아왔다. 그러나 리눅스 네임스페이스는 지난 몇 년간 몇몇 중요한 권한상승 버그(privilege escalation bugs)가 표면으로 떠오를 수 있도록 하였다.
이번 발표에서는 이러한 특징들이 커널에서 만들어낸 새로운 공격표면(attack surface)에 대해 논의하고 최신 리눅스 네임스페이스 관련 권한상승버그인 CVE-2016-8655에 대한 익스플로잇을 자세히 살펴보도록 하겠다.

블랙포트 시큐리티 (Blackfort Security)

제목 : 악성코드 수집/분석 정보 제공 플랫폼 Merkava

Title : malware b to d

심영진

현재 블랙포트시큐리티 보안기술연구팀 팀장으로 근무중에 있고 악성코드 자동 분석 시스템 및 취약점 분석에 대한 연구를 진행하고 있다.
2013년 코드게이트 문제 출제를 비롯한 다양한 CTF에 참가 및 문제 출제를 하였고 HITCON 2016에서 실시간 메모리 분석을 이용한 악성코드 자동분석에 대한 주제를 발표하였다.
최근에는 악성 코드 자동 분석 시스템과 악성 코드 유포지 탐지 시스템 및 악성 코드의 연관성을 찾아내는 연구에 집중하고 있다.






이영학

현재 블랙포트시큐리티 책임연구원으로 근무중에 있고 악성코드에 관한 연구들을 진행 하고있다.
2013년도 코드게이트 문제출제팀으로 활동 하였다. HITCON 2016에서 실시간 메모리 분석을 이용한 악성코드 자동분석에 대한 주제를 발표하였고, 외국 관료들을 대상으로 악성코드 분석에 관한 강의도 하였다.
가상머신 우회 기법 연구, 악성코드 자동수집에 대한 연구, 악성코드 자동분석에 관한 연구등을 진행하였다.

초록

이 발표에서는 악성코드를 피해자들에게 감염 시키기 위한 시작점인 악성코드 유포지를 탐지하고 해당 유포지로 부터 악성코드를 수집하고 악성코드의 끝이라고 볼 수 있는 자동 분석 시스템을 이용해 악성코드를 분석해 행위에 대한 결론을 내리는 악성코드 통합 플랫폼 Merkava프로젝트에 대한 이야기다.

기존의 악성코드 자동 분석 시스템과 다른점은 실시간 메모리 분석을 통해 악성 행위들을 분석하고 패킹 및 난독화가 적용된 대부분의 바이너리에 대해 대응하여 패킹 및 난독화가 해제된 바이너리를 제공한다.
또한 악성 코드의 행위에 대한 타임라인 그래프를 제공 하여 행위를 한눈에 확인할 수 있게 도와준다.

이러한 정보를 활용하여 정보보안 전문가들은 대응하는 장비에 패턴을 추가하거나 위협 도메인을 차단함으로써 사전에 위협에 대응을 할 수 있게 지원을 하는 것이 이 프로젝트의 최종 목적이다.