무슨 일이 있었냐면요
여러분 책상 위를 한번 둘러보세요. USB로 연결된 스피커나 헤드셋, 웹캠 하나쯤은 꽂혀 있을 거예요. 우리는 보통 이런 기기들을 '소리 내주는 단순한 부속품' 정도로 생각하잖아요. 그런데 이번에 공개된 연구는 바로 그 방심을 정확히 노립니다. 핵심 메시지는 이거예요. 이미 PC에 꽂혀 있는 USB 오디오 기기를, 공격자가 손 하나 대지 않고 가짜 키보드로 둔갑시켜 명령어를 입력하게 만들 수 있다는 거죠.
제목에 나온 '만지지도 않고'라는 말이 무서운 포인트인데요. 보통 우리가 아는 USB 해킹은 누군가 악성 USB 메모리를 슬쩍 꽂아야 했거든요. 그런데 이번 방식은 이미 꽂혀 있는 정품(처럼 보이는) 기기를 소프트웨어만으로 변신시키는 거라, 물리적 접근 자체가 필요 없어요.
이게 왜 가능하냐면요 (BadUSB의 원리)
조금 풀어서 설명해 볼게요. USB 기기는 컴퓨터에 꽂히는 순간 '저는 이런 종류의 기기예요' 하고 스스로를 소개합니다. 이걸 HID(Human Interface Device) 라고 불러요. 키보드, 마우스 같은 '사람이 입력하는 장치'를 뜻하죠. 문제는, 컴퓨터가 이 소개를 거의 무조건 믿는다는 데 있어요. 스피커가 '사실 저 키보드인데요?' 하고 말하면 OS는 의심 없이 키보드로 받아들입니다.
여기서 BadUSB라는 개념이 등장하는데요. 이게 뭐냐면, USB 기기 안에 들어 있는 작은 두뇌(마이크로컨트롤러)의 펌웨어를 다시 써서, 원래 기능 옆에 몰래 키보드 기능을 하나 더 붙이는 공격이에요. 펌웨어란 기기를 움직이는 가장 밑바닥 소프트웨어를 말해요. 이걸 바꿔치기하면 스피커는 여전히 소리를 내면서도, 동시에 보이지 않는 손가락으로 명령어를 타닥타닥 칠 수 있게 됩니다.
이번 연구의 진짜 무서운 부분은 재플래싱(reflashing)을 원격에서 한다는 점이에요. 많은 오디오 칩이 OS에서 보내는 명령으로 펌웨어를 업데이트할 수 있도록 열려 있거든요. 원래는 음질 개선 같은 정상적인 목적이지만, 이 통로를 악성코드가 타고 들어가면 이미 꽂힌 기기를 그 자리에서 무기로 바꿔버리는 거죠. 한번 키보드로 변신하면 그다음은 뻔합니다. 터미널을 열고, 스크립트를 내려받고, 권한을 올리는 일련의 키 입력을 사람보다 훨씬 빠르게 쏟아낼 수 있어요.
업계 맥락에서 보면
사실 BadUSB라는 개념 자체는 2014년 Black Hat에서 처음 충격을 줬어요. 그 뒤로 Rubber Ducky나 Flipper Zero처럼 '키보드인 척하는 공격 도구'들이 쭉 나왔죠. 다만 이런 도구들은 결국 누군가 물리적으로 기기를 꽂아야 한다는 한계가 있었어요. 이번 연구가 한 발 더 나아간 지점은, 이미 정상적으로 쓰이던 기기를 소프트웨어만으로 돌변시킨다는 거예요. 공급망 공격이나 펌웨어 공격의 결이 합쳐진 느낌이라 방어가 훨씬 까다롭습니다. 안티바이러스는 보통 파일을 검사하지, '키보드가 진짜 키보드인지'까지는 잘 따지지 않으니까요.
한국 개발자에게 주는 시사점
실무에서 바로 떠올릴 만한 대응이 몇 가지 있어요. 첫째, USB 기기 화이트리스트 같은 정책이에요. 윈도우 그룹 정책이나 macOS의 보안 설정, 리눅스의 USBGuard 같은 도구로 '새로 등장한 키보드'를 차단하거나 승인받게 만들 수 있거든요. 회사 PC에서 갑자기 키보드가 하나 더 인식되면 경고가 뜨도록 하는 거죠.
둘째, 펌웨어 업데이트 경로를 점검하는 거예요. 우리가 만드는 IoT 기기나 주변기기가 있다면, 펌웨어 재기록에 서명 검증이 들어가 있는지 꼭 확인하세요. 서명이 없으면 누구나 가짜 펌웨어를 밀어 넣을 수 있어요. 셋째, 보안 담당자라면 EDR(엔드포인트 탐지) 도구에서 'HID 장치가 비정상적으로 빠르게 입력하는 패턴'을 탐지 룰로 넣어두는 것도 현실적인 방어가 됩니다.
마무리
한 줄로 정리하면, 이제 USB 기기는 '꽂는 순간'뿐 아니라 '꽂혀 있는 내내' 위험할 수 있다는 거예요. 우리가 신뢰하던 평범한 스피커가 가장 안쪽에서 배신할 수 있다는 거죠.
여러분 회사나 개인 PC에서는 USB 기기를 어떻게 관리하고 계세요? 화이트리스트까지 적용하는 건 현실적으로 너무 빡빡할까요, 아니면 이런 연구들을 보면 이제는 필요한 수준일까요?
🔗 출처: Hacker News