Reddit

We used RCE on 3 million PCs to prevent a botnet

봇넷을 막으려고 300만 대 PC에 RCE를 실행했습니다

Eye Security는 방치된 Time4Popcorn 업데이트 서버의 취약점을 이용해 Windows와 macOS 시스템에서 업데이터를 비활성화했습니다. 200만 회 넘게 업데이트를 전달했고 요청량을 98% 줄였지만, 임의 코드 실행으로 타인의 시스템을 변경한 조치의 정당성을 둘러싼 논란도 남았습니다.

에디터 노트

업데이터를 끈 조치는 악용 가능한 자동 실행 경로를 줄였지만, 이를 위해 보안업체가 타인 컴퓨터에서 SYSTEM과 root 권한의 코드를 실행했습니다. 사용자가 잊고 있던 프로그램을 고친다는 목적과 원격 코드 실행 권한을 스스로 행사해도 된다는 근거는 별개의 문제입니다. Eye Security는 코드가 서비스와 시작 데몬을 비활성화할 뿐 파일 삭제나 원격 측정을 하지 않았고, 시험 배포와 단계별 배포를 거쳤다고 설명합니다. 업데이트 요청이 98% 감소한 결과도 제시했습니다. 반면 Reddit 댓글은 백신 탐지 이후 탐지를 피하도록 코드를 수정한 대목을 들어 판단과 권한의 문제를 제기합니다. 기술적 조치의 범위를 제한한 사실은 시스템 변경을 정당화하는 동의나 권한을 대신하지 않습니다. 원문은 법률팀의 조언을 받았다고 밝히지만, 각 사용자에게 어떤 권한이 있었는지나 관할별 법적 판단은 제시하지 않습니다. 남은 도메인과 앱 자체의 HTTP 통신, 취약한 브라우저 엔진도 별도 위험으로 남아 있어 업데이터 비활성화가 Popcorn Time 사용을 안전하게 만들지는 않습니다.

AI 요약

Eye Security는 2025년 11월부터 2026년 3월까지 방치된 Time4Popcorn 업데이터를 역공학하고, 취약한 업데이트 경로를 이용해 Windows와 macOS에서 업데이터를 멈추는 코드를 배포했습니다. 업체는 이 조치로 잠재적인 봇넷 악용을 막으려 했으며, 취약점은 CVE-2026-30612로 등록됐습니다.

취약한 업데이트 경로

조사팀은 고객사 노트북에서 Popcorn Time의 포크인 Time4Popcorn에 포함된 Updater.exe를 발견했습니다. 업데이터는 더는 등록되지 않은 도메인에 HTTP로 접속하고 있었으며, 서명 검증 없이 서버가 제공하는 실행 파일을 NT AUTHORITY\SYSTEM 권한으로 실행했습니다. macOS 업데이터도 HTTP로 업데이트를 받아 root 권한으로 실행했습니다. Android는 앱을 열었을 때 사용자에게 설치 여부를 물어 자동 배포 대상에서 제외했습니다.

조사팀이 등록한 도메인에는 처음에 초당 약 50건의 요청이 들어왔습니다. 6개월간 기록된 하드웨어 ID는 380만 개가 넘었지만, ID 생성 방식 때문에 실제 기기 수와 차이가 났습니다. Windows 업데이터는 디스크 메타데이터와 MachineGuid를 MD5에 넣도록 설계됐지만, 역공학 결과 레지스트리 함수의 성공 여부를 반대로 검사해 MachineGuid가 대부분 해시에서 빠졌습니다. 제조사가 디스크 이미지를 복제한 PC에서는 같은 ID가 여러 기기에 나타났습니다. 조사팀은 Windows 기기를 약 250만~300만 대로 추산했습니다. macOS는 호스트 이름 변경 등이 ID를 바꿀 수 있어, 처음 추산한 170만 대보다 적은 약 25만~35만 대로 추정했습니다.

업데이터 비활성화와 배포 결과

Eye Security는 Windows에서 서비스 제어 관리자(Service Control Manager)로 업데이트 서비스를 중지하고 시작을 막았습니다. macOS에서는 launchctl로 시작 데몬을 비활성화했습니다. 파일 삭제나 원격 측정은 하지 않았다고 밝혔습니다. 소규모 시험을 거친 뒤 과거 관측한 하드웨어 ID에만 업데이트를 한 번 제공하는 방식으로 배포를 시작했고, 이후 더 많은 시스템에 전달하도록 제한을 완화했습니다.

2025년 12월까지 100만 대 넘게 업데이트를 받았고, 2026년 3월 1일에는 업데이트 요청이 초기보다 98% 줄었습니다. 누적 업데이트 다운로드는 200만 회를 넘었습니다. 조사팀은 배포를 중단하고 자신들이 등록한 도메인 15개를 Shadowserver Foundation으로 넘겼습니다. 일부 도메인은 다른 소유자가 계속 보유하고 있습니다. Windows 보안 제품들이 업데이트 파일을 악성으로 탐지하자, 조사팀은 탐지를 피하도록 코드를 조정했다고 설명했습니다.

업데이터를 꺼도 응용 프로그램 자체는 안전해지지 않습니다. Eye Security는 이 앱이 2014년 버전의 Chrome 엔진을 샌드박스 없이 사용하고, HTTP와 방치된 JavaScript 도메인에 의존한다고 밝혔습니다. 조사팀은 JavaScript로 calc.exe를 실행하는 개념 증명을 만들었으며, 사용자는 앱을 삭제하라고 권고했습니다. 2025년부터 개발 중인 새 Popcorn Time 프로젝트에는 이번 조사 결과가 적용되지 않는다고 덧붙였습니다.

Reddit 반응

  • @fatoms — 백신 업체들이 패치를 악성으로 탐지했을 때 타인의 컴퓨터에서 임의 코드를 실행하는 일이 옳은지 멈춰 생각했어야 합니다. 동기와 관계없이 이런 방식으로 문제를 처리한 판단은 놀랍습니다. 네덜란드 경찰의 비슷한 사례를 인용해 정당화하려 하지만, 이들에게 임의의 사람들 컴퓨터에 개입할 권한이나 정당성은 없습니다. 제가 고객이라면 이 글을 읽고 서비스를 해지하겠습니다.

원문: Eye Security / 번역·요약: Trawling

원문 보기 ↗토론 보기 ↗