SYMPOOL: Automating Pool Overflow Vulnerability Detection Using Symbolic Execution in Windows Kernel Driver

SYMPOOL: 기호 실행 기법을 통한 윈도우 커널 드라이버 풀 오버플로우 취약점 탐지 자동화

디바이스 드라이버는 운영체제가 마우스, 키보드, 하드디스크 등 하드웨어와 상호작용할 수 있게 해주는 소프트웨어이며, 공급 업체가 하드웨어를 판매하면서 써드파티 디바이스 드라이버도 함께 배포하고 있다. 그러나 기업의 내부망까지 전달되어 사용된다는 점을 악용하여 공급망 공격에 사용되고 있다. 최근 북한의 해킹 조직으로 알려져 있는 Lazarus 그룹은 드라이버의 취약점을 이용하는 공격인 BYOVD(Bring Your Own Vulnerable Driver) 기법을 사용하여 국내 사용자 및 기업의 시스템에 공격을 시도하였다. 윈도우 디바이스 드라이버 취약점 탐지 자동화에 대한 연구들이 진행되고 있으며, 특히 커널 스택 버퍼 오버플로우 혹은 메모리 임의/쓰기 취약점 탐지 연구들이 존재한다. 본 논문에서는 윈도우 커널 메모리 중 동적할당 된 커널 풀 메모리 버퍼 오버플로우 취약점 탐지 자동화를 연구하였다. 기호 실행 도구로 잘 알려진 Angr 프레임워크를 사용하였으며, 연구 결과 취약점을 탐지하는 것을 확인하였다.