보안업체 벌른체크가 8월 5일 중국산 공유기 20종의 펌웨어에 원격 조종 코드가 들어 있다고 공개했다. 제조사는 선전 즈보퉁 전자이며 제품은 지비티링크와 ZBT, 와이플라이어 같은 이름으로 아마존과 알리익스프레스 등에서 팔렸다.

코드에 붙은 이름은 엔드리스도어스다. 2015년 깃허브에 올라온 뒤 방치된 작은 원격제어 도구를 고친 것으로, 리눅스 커널 작업을 처리하는 프로세스인 것처럼 이름을 위장했지만 실제로는 최고 권한으로 도는 별개 프로그램이다. 기기가 켜질 때마다 자동으로 실행된다.

이 코드는 최대 35초 간격으로 외부 서버에 접속을 시도하고, 서버가 보내오는 명령을 인증이나 암호화 없이 그대로 최고 권한으로 실행한다. 명령을 보낸 쪽이 누구인지 확인하는 절차가 없다. 특정 문자열을 받으면 두 번째 연결을 열어 대화형 관리자 접속을 내준다. 기기가 바깥으로 먼저 연결을 걸기 때문에 공유기가 방화벽 안쪽에 있어도 소용이 없다. 벌른체크는 실제로 통신을 가로채 한 모델에서 최고 권한 접속을 얻는 데 성공했다고 밝혔다.

영향받는 펌웨어는 회사 내려받기 페이지에 있던 21개 전부이며 2년 넘는 기간에 걸쳐 있다. 벌른체크는 제조사에 미리 알리지 않고 공개했다. 조율 공개는 제조사가 그 동작을 의도하지 않았다는 전제 위에서 성립하는데, 이 경우에는 그 전제가 서지 않는다고 설명했다.

즈보퉁은 해당 펌웨어를 내려받기 채널에서 임시로 내리고 수정본을 만들고 있다고 게시했다. 회사는 이 기능이 애프터서비스 유지보수용이며 무단 접근에 쓰인 적은 없다고 밝혔다. 공개 시점까지 수정 펌웨어는 나오지 않았고, 실제 공격이 관측됐다는 보고도 없다. 벌른체크는 이를 패치 문제가 아니라 기기를 믿을 수 있느냐의 문제로 다루라며 기기 교체까지 권고했다.

자세한 내용은 벌른체크에서 확인할 수 있다.

이미지 출처: 벌른체크