회원님들 안녕하십니까? 저는 오늘 최근에 발견한 Row Hammer에 관해 글을 남깁니다.

마침 어제 네이버 검색어도 1위가 랜섬웨어이고 잠도 안오고 그래서 아직 제 기준에 내름대로 정리되지 않았지만 실패기(?)겸 글을 남겨드립니다.

어느날 존경하고 경이로운 여친느님께서 노트북이 멈춘다고 연락을 주셔서 고치기 시작하였습니다.

노트북은 한성 컴퓨터 u13s 모델로서 대략적으로 인텔 셀러론1037u, 4g 램, 500GB HDD입니다.

증상을 보니 거의 8, 9할 정도는 인터넷 익스플로러를 사용하다가 멈추고 나머지는 컴퓨터를 키자마자 멈추더라구요.

그래서 단순히 익스플로러 재설치를 했는데 실패했습니다. 이후로 이벤트 창 확인, 바이러스 검사, 하드웨어 온도 검사, HDD검사, 윈도우 7, 8, 8.1, 10 재설치 등 안해본게 없는데 멈추더라구요.

그래서 일단 지켜보자라는 마음으로 시스템 모니터링을 하고 기다렸습니다. 메모리 사용량이 33%인 순간, 갑자기 윈도우 메모리 부족증상이 떴습니다.

보통 제가 알고 있는 인식으로는 메모리는 고장이 잘 나지 않는다는 인식이 있어서 '아 메인보드 교체 각인가? 하드를 SSD로 바꿔? 램을 바꿔볼까?'라는 생각을 하고 있을때 마침 떠준 경고창 때문에 메모리 검사를 시작하였습니다. 윈도우메모리 검사를 스탠다드 기준으로 했을때는 이상없다고 떴지만 상세검사를 했을때는 갑자기 멈추고 계속 다음으로 넘어가지 않더라구요.

그래서 차선책으로 Passmark사의 프로그램을 쓰기로 했습니다. usb iso파일을 굽기 좋게 usb 굽는 프로그램도 넣어주고 iso 파일 용량자체도 적어서 금방 굽고 실행시켰습니다.

인터페이스도 무료치고 상당히 깔끔해서 맘에 들었습니다.

우측 상단을 기준으로 초록색 글자는 테스트 항복이 약 1~15단계까지 이루어지는데 그 단계의 총 진행량이고 갈색은 매 단계 테스트 항목마다 진행률입니다. 갈색 밑의 항목은 테스트명이구요. 1~15단계의 테스트를 총 4번 반복하더군요.

그렇게 멍하게 있다가 

저기 [Note]보이시죠? 사진에는 한개만 떴지만 검사 완료시엔 3개가 떴었습니다.

Row Hammer?? 전~~~혀 뭔지 몰라서 찾아봤습니다~~~!!(이하 Row Hammer를 'rh'로 칭하겠습니다)

이미 해외 포럼에서는 꽤 질문되어져 왔던 내용들이었고 국내에서는 알약블로그에 잘 나와 있었습니다.

rh는 2014년도에 나타난 공격방식으로서 기술 발전에 따라 램의 셀 밀집도가 높아지면서 한 row에 대한 반복적 접근으로 인접 메모리에 병목현상 비슷하게 일어나게 유도하는거 같았습니다.

감염경로는 인터넷이며 자바 스크립트를 이용해 공격하고 구조, 언어, os환경 상관없이 모두 공격이 가능하고 직접적 물리적 접근(정확히 이해를 못했습니다;; 죄송합니다;; 아마 원격 공격 같습니다.)

2010~2014년도에 제작된 DDR3가 상당히 취약하며 이때문에 DDR4에선 이것에 대해 대비책을 설정하였지만 최근엔 DDR4에도 증상이 발견된다고 합니다.

해결방법에 대해 결국은 바이러스라는 생각에 알약과 v3를 사용해봤지만 못잡았습니다. 카스퍼키등은 시간 부족으로 아쉽게도 해보지 못했지만 나중에 해보고 싶습니다.

그리고 해외 포럼에서 이 이슈에 관해서 새로 램을 사면 된다. 아니다. 이건 램 뿐만 아니라 메인보드까지 감염되었기 때문에 소용없다, 아니다! 현재 rh에 노출된 램의 동일 모델로 새로사면 다시 노출되니 다른 회사의 램을 구매해야 된다 등등 말이 많네요.

하....포기하기 10분전의 마음으로 아주 이상하게 다시 윈도우 10을 설치하고 '마지막이다.'라는 생각에 네이버웨일 브라우저를 설치하고 메모리 세이브 설정을 하니 이상하게 잘되네요. 크롬도 안되고 스윙브라우저도 안되고 파이어폭스도 안되고 엣지도 안되고 그랬는데 왜 그럴지;; 혹시나 싶어 다시 램 검사 해봤는데 여전히 rh는 남아있었습니다.

이 사실을 여친에게 말하니 여친이 오늘 네이버 검색에 1위가 랜섬웨어라고 겁을 먹어서 용산가서 중고 4g짜리 싸게 하나 업어왔습니다.

이상 저의 실패기를 마치겠습니다. 감사합니다.

P.S.

이 이슈에 대해 제 나름대로 이것에 대해 쓸데없이 궁금해지기도 하고 그래서 안랩과 이소프트시큐리티에 문의를 남기니 안랩에서는 바이러스리포트 형식으로 하라하고 알약은 공식홈페이지에 관련 피드백을 남기는 곳이 없었는데 마침 rh에 관해 알약블로그에 포스팅되어 있어서 궁금증을 방명록에 남겼는데 아직 답이 없네요ㅎㅎ