한 보안 연구자가 대대적인 보안 개편에도 불구하고 마이크로소프트의 윈도우 리콜 기능이 완전한 데이터 탈취에 취약한 상태라고 주장했다. 사용자 컨텍스트에서 실행되는 악성코드가 관리자 권한, 커널 취약점 공격, 암호화 해독 없이도 리콜이 캡처한 모든 데이터를 조용히 빼낼 수 있다는 것이다.

스위스 취리히 소재 금융 인프라 운영사 SIX 그룹(SIX Group)의 전무이사 알렉산더 하게나는 링크드인 게시물을 통해 이 주장을 제기하며, 문제를 입증하기 위한 개념 증명 도구 ‘토털리콜 리로디드(TotalRecall Reloaded)’를 공개했다.

하게나는 2024년 처음 리콜의 보안 결함을 공개해 마이크로소프트가 기능을 프리뷰에서 철회하고 재설계하도록 만든 바 있다. 마이크로소프트는 2025년 4월 리콜을 재출시하며 새 아키텍처가 “사용자 인증에 편승해 데이터를 탈취하려는 잠복 악성코드의 시도를 차단한다”고 밝혔다.

그러나 하게나는 게시물에서 “리콜을 정상적으로 사용하는 동안 토털리콜 리로디드는 뒤에서 조용히 문을 열어두고 리콜이 캡처한 모든 것을 추출한다. 바로 마이크로소프트의 아키텍처가 차단해야 할 시나리오”라고 반박했다.

하게나는 3월 6일 전체 소스 코드와 재현 절차를 포함해 마이크로소프트 보안 대응 센터에 연구 내용을 신고했다고 밝혔다. 마이크로소프트는 한 달간 검토 끝에 4월 3일 사례를 종결하며 해당 동작이 “보안 경계 우회나 데이터 무단 접근에 해당하지 않는다”고 통보했다.

하게나는 마이크로소프트가 이것이 설계대로라고 말한다는 사실 자체가 더 걱정된다고 밝혔다.

하게나의 연구는 마이크로소프트의 암호화 자체에 의문을 제기하지는 않는다. 암호화 설계는 견고하지만 문제는 복호화된 데이터가 보안 영역을 벗어난 이후 처리되는 방식에 있다고 평가했다.

하게나는 CSO와의 인터뷰에서 “평문 스크린샷과 추출된 텍스트가 화면 표시를 위해 보호되지 않은 프로세스에 전달된다”며 “복호화된 콘텐츠가 동일 사용자 코드가 접근할 수 있는 프로세스로 넘어가는 한 누군가는 반드시 침투 방법을 찾아낼 것”이라고 말했다.

수정 방법

하게나는 기술적으로 수정이 가능하다고 밝혔다.

단기적인 수정은 상대적으로 간단하다. 마이크로소프트가 리콜 타임라인을 렌더링하는 프로세스인 AIXHost.exe에 더 강력한 코드 무결성 및 프로세스 보호를 추가하면 된다. 현재 해당 보호가 전혀 없어 코드 주입 경로가 가능한 상태라는 설명이다. 이를 통해 시연한 구체적인 기법을 차단하고 공격 난도를 실질적으로 높일 수 있다.

장기적인 문제는 더 근본적이다. 하게나는 “복호화된 데이터가 보안 영역을 벗어난 이후 처리되는 방식 자체를 재검토해야 한다. 암호화와 보안 영역 설계는 진정으로 잘 구현됐고 그 점은 분명히 인정한다. 문제는 평문 스크린샷과 추출 텍스트가 화면 표시를 위해 보호되지 않은 프로세스로 전달된다는 것”이라고 말했다. 또한 “근본적인 수정은 보호된 프로세스 내부에서 렌더링하거나 원시 데이터가 신뢰 경계를 벗어나지 않는 컴포지팅 모델을 채택하는 것이다. 더 큰 작업이지만 이 계열의 문제를 제대로 해결하는 유일한 방법”이라고 덧붙였다.

악용 위험은 여전

마이크로소프트의 보안 발표가 시사하는 것과 달리, 이 기법을 실제 공격에 활용하기 위한 진입 장벽은 낮다.

하게나는 “사용자 컨텍스트에서 실행되는 코드와 인증된 리콜 세션을 재사용할 방법만 있으면 된다. 마이크로소프트의 보안 메시지에서 많은 사람이 짐작하는 것보다 훨씬 낮은 수준의 장벽”이라고 말했다.

리콜이 코파일럿 플러스PC로 제한되고 선택적 기능이라는 점에서 노출 규모는 제한적이지만, 표적 공격은 가까운 시일 내 현실적인 위협이라고 밝혔다. “표적 공격, 감시, 고가치 사용자 정보 수집에는 충분히 현실적인 위협”이라고 말했다.

하게나는 위협 행위자가 이 기법을 독자적으로 활용하기 전에 방어 측이 탐지 체계를 구축할 수 있도록 소스 코드를 의도적으로 공개했다고 밝혔다. 또한 방어 측에 유의미한 선제 대응의 기회를 준다고 판단했다.

보안 연구자 케빈 보몬트도 현재 리콜의 작동 방식을 별도로 테스트한 뒤 유사한 결론에 도달했다. 보몬트는 3월 11일 마스토돈에 “사용자 프로세스로 데이터베이스를 그냥 읽을 수 있다. 데이터베이스에는 사용자 활동을 추적하기 위해 공개되지 않은 다양한 필드도 포함돼 있다. 백신이나 EDR 경보는 전혀 울리지 않았다”고 썼다.

마이크로소프트는 논평 요청에 즉각 응하지 않았다.
dl-itworldkorea@foundryco.com