BlackX UEFI Bootkit Bypasses Secure Boot on Patched Windows Systems Missing Revocations

핵심 요약

중국 연계 국가 지원 해킹 그룹 APT41이 중앙아시아 외교 기관을 대상으로 BlackX UEFI 부트킷을 이용해 Secure Boot가 적용된 윈도우 시스템을 우회하여 침투한 사건이 발생했습니다. 이 부트킷은 시스템의 펌웨어 레벨에서 작동하며, Secure Boot의 취소 목록(revocation list)이 최신화되지 않은 시스템을 악용하여 영구적인 지속성(persistence)을 확보하는 Pre-OS Boot(T1542) 및 System Firmware(T1542.001) 공격 기법을 사용합니다. 이는 운영체제 수준의 보안 패치만으로는 방어하기 어려운 고도화된 공격으로, 국내 조직은 UEFI 펌웨어 보안 설정, Secure Boot의 취소 목록 관리 현황, 그리고 펌웨어 무결성 검증 프로세스에 대한 전반적인 점검을 통해 유사 공격에 대한 방어 태세를 강화해야 함을 시사합니다.

개선 권고안

• ✔기술적 조치모든 윈도우 시스템에 대해 UEFI 펌웨어의 Secure Boot 기능이 활성화되어 있는지 점검하고, Secure Boot 취소 목록(revocation list)을 최신 상태로 유지하기 위한 정기적인 업데이트 프로세스를 수립 및 적용해야 함을 권고함.
• ✔기술적 조치펌웨어 무결성 검증 솔루션 또는 EDR/XDR 솔루션의 펌웨어 보호 기능을 활용하여 시스템 부팅 과정의 무결성을 지속적으로 모니터링하고, 비정상적인 펌웨어 변경 시 즉시 탐지 및 대응할 수 있는 체계를 구축해야 함을 권고함.
• ✔관리적 조치국가 지원 해킹 그룹(APT)의 공격 동향 및 UEFI 부트킷과 같은 고도화된 공격 수법에 대한 최신 위협 인텔리전스를 지속적으로 수집하고, 이를 기반으로 내부 시스템의 취약점 분석 및 보안 강화 조치를 수행하는 위협 관리 프로세스를 강화할 것을 권고함.
• ✔관리적 조치펌웨어 보안 및 Secure Boot 관리에 대한 내부 지침을 수립하고, 관련 담당자들에게 정기적인 교육을 제공하여 펌웨어 수준의 위협에 대한 이해도와 대응 역량을 향상시킬 것을 권고함.

규정 매핑 · 감사 영향

⚠ 이상 징후 · 감사 질문

감사 실무로 잇기