NetChek은 UDP 9034 포트에서 Realtek UDPServer(일명 MP Daemon)의 진단 응답과 일치하는 반응을 확인하면 서비스 노출 가능성을 알린다. 이 결과는 취약점 악용이나 기기 감염을 확인한 것이 아니며, 기기 모델과 펌웨어를 별도로 점검해야 한다.
Realtek Jungle SDK 일부 구현에는 CVE-2021-35394로 추적되는 명령 주입 및 메모리 손상 취약점이 있다. Cling/ClingSTUN 봇넷은 여러 침투 경로 가운데 이 취약점을 이용한 바 있다. 취약한 서비스가 노출됐더라도 기기가 감염됐다고 단정할 수 없으며, 서비스를 닫은 뒤에도 감염이 지속될 수 있다.
NetChek은 확인된 IP의 UDP 9034 포트에 짧은 데이터그램 하나를 보낸다. 여기에는 NetChekProbe, 무작위 16진수 표식, 널 종료 문자가 들어가며 셸 명령이나 진단·설정 요청은 포함되지 않는다. ONEKEY가 문서화한 진단 구현은 인식하지 못한 입력 뒤에 ok를 붙여 되돌려 보낸다. NetChek은 현재 표식과 접미사가 정확히 일치하는 응답을 확인하며, 끝에 붙은 CR/LF/NUL 바이트만 무시한다. 응답은 대상 UDP 소켓을 통해 와야 하고, 읽기는 256바이트 및 3초 응답 시간 제한을 따른다.
일반 UDP 스캔에서 열린 포트가 발견되지 않아도 이 검사는 실행된다. 일반 스캔은 상위 100개 UDP 포트를 대상으로 하며 9034를 안정적으로 확인하지 못하기 때문이다.
양성 결과는 네트워크에서 접근 가능한 서비스가 문서화된 UDPServer 진단 구현과 비슷하게 동작했다는 뜻이다. 같은 응답을 내는 다른 서비스일 수도 있으므로 Realtek 제품으로 판단하기 전에 기기 모델, 하드웨어 리비전, 펌웨어 빌드, UDPServer 실행 여부를 확인해야 한다. NetChek은 명령 주입을 시험하거나 펌웨어에 제조사 수정 사항이 적용됐는지 확인하지 않는다.
시간 초과나 일치하지 않는 응답은 안전하다는 증거가 아니라 검사 결과를 얻지 못했거나 판단이 불확실하다는 뜻이다. 방화벽, 속도 제한, NAT, 패킷 손실, 비활성 진단 서비스, 펌웨어 차이 등이 응답을 막을 수 있다. 일부 기기는 특정 조건에서만 UDPServer를 실행하며, 이 검사는 서비스를 직접 시작하지 않는다. 검사 범위는 UDP 9034뿐이므로 Cling이 악용한 다른 진입점은 확인하지 않는다.
이 외부 검사는 프로세스나 펌웨어 파일, 외부로 나가는 네트워크 트래픽을 살펴보지 않으므로 Cling 감염 여부를 판정할 수 없다. 일반적인 STUN 트래픽, Google STUN 주소 또는 열린 STUN 포트도 감염 증거가 아니다.
확인할 때는 공개 IP와 포트 전달 규칙이 점검하려는 기기를 가리키는지 살펴보고, WAN 방화벽 규칙에서 UDP 9034가 전달되거나 허용되는지 확인한다. 제조사의 관리 인터페이스에서 모델, 하드웨어 리비전, 설치된 펌웨어, 지원 상태를 기록한 뒤 제조사 보안 권고와 펌웨어 릴리스 노트에 대조한다. 칩셋 이름만으로는 충분하지 않다. 권한이 있는 로컬 관리 세션에서 UDPServer/MP Daemon 프로세스와 수신 소켓을 확인하고, 취약점을 입증하려고 원격으로 진단 명령을 실행하지 않는다.
감염이 의심되면 로컬 점검이나 사고 대응 도구를 활용해야 한다. 관련 연구는 .cling 실행 파일, 변경된 시작 파일, wget 교체, 비정상적인 STUN 통신을 설명하지만, 이를 확인하려면 기기나 트래픽에 대한 증거가 필요하다. 검사 중 의심스러운 실행 파일을 실행하지 말고, 단일 지표만으로 감염을 확정하지 않는다.
대응 방법은 WAN에서 UDP 9034 접근을 차단하고 포트 전달 규칙을 제거하는 것이다. 제조사가 지원하면 진단 데몬을 비활성화하고, 정확한 모델과 하드웨어 리비전에 맞는 펌웨어 업데이트를 설치한다. SDK 수정 사항은 기기 펌웨어에 반영돼야 보호 효과가 있다. 지원이 종료된 기기는 교체하거나 격리한다. 침해가 의심되면 기기를 격리하고, 신뢰할 수 있는 펌웨어 이미지와 자격 증명 변경을 포함해 제조사의 복구 지침을 따른다. 펌웨어 업데이트나 포트 하나를 닫는 것만으로 악성코드 제거를 입증할 수는 없다.
수정 후에는 기기에서 설치된 펌웨어와 방화벽·포트 전달 설정을 확인하고, 외부 네트워크에서 NetChek 재검사를 요청한다. WAN 제한 뒤에는 해당 응답에 접근할 수 없어야 한다. 검사 결과가 건너뛰기로 표시되더라도 해당 프로브가 응답을 관측하지 못했다는 뜻일 뿐이므로 설정 확인과 함께 판단해야 한다. Cling 활동이 의심되면 호스트 및 네트워크 모니터링을 별도로 이용한다.
- 9034/UDP는 실행 중이며 외부에서 접근 가능한 경우 Realtek UDPServer 진단 서비스에 해당한다.
- Cling이 사용하는 STUN 트래픽은 별도의 외부 통신 동작이며, 이 검사는 공개 STUN 인프라를 조사하지 않는다.
참고 자료: ONEKEY의 Realtek SDK 취약점 연구 및 UDPServer 프로토콜, Realtek SDK 보안 권고, NVD의 CVE-2021-35394 항목, Nozomi Networks의 Cling 악성코드 연구, FortiGuard Labs의 ClingSTUN 연구
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요