맥(Mac) 악성코드 위협이 갈수록 커지고 있는 요즘, 보안 도구는 더 이상 선택이 아닌 필수입니다. 다행히 적절한 도구만 갖추면 충분히 스스로를 보호하고 안도감을 되찾을 수 있습니다. 그 해답이 바로 Objective-See가 무료로 공개한 다양한 보안 도구입니다.
Objective-See는 보안 연구원 패트릭 워들(Patrick Wardle)이 자신의 컴퓨터를 보호하기 위해 만든 도구 모음에서 출발한 프로젝트입니다. 그는 이 도구들을 모두 무료로 공개했으며, 연구 및 교육 목적으로 알려진 맥 악성코드 저장소도 함께 운영하고 있습니다.
그럼 지금부터 이 도구들이 각각 어떤 기능을 하는지, 그리고 이를 활용해 맥을 더욱 안전하게 지키는 방법을 하나씩 살펴보겠습니다.
1. Do Not Disturb
주요 기능: 맥북에 대한 물리적 접근 공격 발생 시 알림을 받습니다.
맥북을 들고 자주 이동하거나 직장에서 "개인 기기 사용(BYOD)" 방식을 따른다면, 물리적 접근 공격이 노트북에 가장 큰 위협이 될 수 있습니다. 많은 사람들이 커피 한 잔 마시러 갈 때 노트북을 자리에 두고 나오지만, 악성 USB 장치나 다른 사용자가 만들 수 있는 현실적인 위협은 쉽게 간과되곤 합니다.
Do Not Disturb는 상시 실행되는 런치 프로세스를 통해 알려진 모든 '덮개 열림(lid open)' 이벤트를 기록하며, 알림을 보내거나 사용자가 지정한 동작을 실행할 수 있습니다. iOS 전용 동반 앱과 함께 사용하면 더욱 강력해집니다. 웹캠으로 침입자의 사진을 찍거나 맥을 원격으로 종료하는 등의 대응이 가능하기 때문입니다.
앱을 설치한 뒤에는 iOS 앱 없이도 물리적 접근 이벤트 로그를 확인할 수 있습니다. 눈에 띄지 않게 실행하는 패시브 로깅(경고 없음) 모드나 메뉴 막대 아이콘 숨김 같은 환경설정 옵션도 제공합니다.
다운로드: Do Not Disturb
2. KnockKnock
주요 기능: 맥에서 지속형 악성코드의 흔적을 검색합니다.
단순한 악성코드 검사기를 넘어, KnockKnock은 지속형(persistent) 악성코드, 즉 컴퓨터가 재시작될 때마다 반복해서 자신을 설치하는 악성 코드의 흔적을 찾아냅니다. 온라인 검사 서비스 VirusTotal과 연동되어 있어, 이미 알려진 악성코드는 감지 즉시 빨간색으로 표시됩니다.
VirusTotal 연동 외에도 이 앱은 지속적으로 설치된 다른 프로그램들까지 보고합니다. 대부분의 결과는 무해하지만, 목록을 훑어보며 평소와 다른 항목이 있는지 점검할 좋은 기회가 됩니다. 플러그인, 브라우저 확장 프로그램, 실행·로그인 항목, 커널 확장 등 다양한 유형의 지속형 설치 요소를 감지합니다.
다운로드: KnockKnock
3. TaskExplorer
주요 기능: 애플의 활성 상태 보기(Activity Monitor)를 보안 중심으로 강화한 버전입니다.
TaskExplorer는 맥에 기본 포함된 활성 상태 보기 앱과 매우 유사하지만, VirusTotal 연동 기능이 추가되어 현재 실행 중인 프로세스 중 알려진 악성 프로세스를 표시해 줍니다. 생소한 프로세스는 VirusTotal 서버로 전송해 분석을 의뢰할 수도 있습니다.
실행 중인 프로세스의 서명 상태를 빠르게 확인하고, 로드된 동적 라이브러리, 네트워크 연결 세부 정보, 해당 작업이 현재 사용 중인 파일까지 살펴볼 수 있습니다. KnockKnock과 비슷하지만, KnockKnock이 실행 코드 자체에 초점을 맞춘다면 TaskExplorer는 이미 실행된 프로세스에 초점을 맞춥니다.
다운로드: TaskExplorer
4. BlockBlock
주요 기능: 악성코드 설치 시도를 탐지하고 차단합니다.
KnockKnock이 악성코드를 설치하는 주체를 찾아낸다면, BlockBlock은 애초에 설치 자체를 막으려 합니다. 백그라운드에서 상시 실행되며 흔히 악성코드가 자리 잡는 위치들을 감시하다가, 수상한 변화를 감지하면 즉시 알림을 표시합니다.
예상대로 BlockBlock 역시 VirusTotal과 연동됩니다. 알려진 악성코드는 표시되지만, BlockBlock이 감지하는 항목 대부분은 일상적인 작업을 수행하는 정상 앱입니다. 감지된 설치를 차단할지 여부는 사용자가 직접 결정할 수 있으며, 해당 설치 프로그램이 Apple 서명, 서드파티 서명, 아니면 완전히 미서명 상태인지도 함께 보고합니다.
다운로드: BlockBlock
5. RansomWhere?
주요 기능: 새로 생성되는 암호화 파일을 감시해 랜섬웨어 공격을 예방합니다.
랜섬웨어는 데이터 접근을 차단한 뒤 파일을 돌려받는 대가로 금품을 요구하는 특수한 유형의 악성코드입니다. 이런 악성코드의 대표적인 특징 중 하나는 수상한 프로세스에 의해 암호화된 파일이 대량으로 생성된다는 점입니다.
RansomWhere?는 시스템에서 랜섬웨어의 알려진 징후를 감시하다가 해당 프로세스를 차단하고, 가능한 위협을 허용할지 종료할지 묻습니다. 신뢰할 수 없는 프로세스가 짧은 시간 내에 암호화된 파일을 빠르게 생성하면 표시하며, Apple 서명 소프트웨어와 앱 설치 이전부터 존재하던 소프트웨어는 명시적으로 신뢰합니다.
다른 Objective-See 앱과 마찬가지로 RansomWhere?는 악성코드 자체가 아니라 악성코드를 시사하는 '행위'를 찾습니다. 정상 프로세스가 표시될 가능성도 있지만, 개발자가 오탐(false positive)을 최소화하도록 노력했습니다.
다운로드: RansomWhere?
6. OverSight
주요 기능: 마이크나 카메라가 활성화되면 즉시 알려줍니다.
Objective-See 앱 중 가장 단순한 편에 속하는 OverSight는 맥의 마이크나 웹캠이 켜질 때 알림을 보냅니다. 사용자를 몰래 촬영하거나 스트리밍하려는 맥 악성코드 사례가 실제로 존재하기 때문에, 많은 사용자가 예방 차원에서 웹캠을 테이프로 가리기도 합니다.
OverSight는 웹캠 또는 마이크 이벤트를 감시하고 보고합니다. 알림에는 프로세스 이름과 프로세스 식별자가 함께 표시되며, 요청을 허용(Allow)할지 차단(Block)할지 선택할 수 있습니다. 안전한 애플리케이션을 화이트리스트에 등록해 매번 승인하는 번거로움을 덜 수도 있습니다.
가장 흥미로운 점은, 정상적인 웹캠·마이크 요청에 기생하려는 보조 프로세스까지 탐지하려 한다는 것입니다. 완벽하지는 않지만, 없는 것보다는 분명히 나은 보호 장치입니다.
다운로드: OverSight
7. KextViewr
주요 기능: 현재 로드된 커널 확장 목록을 표시합니다.
커널 확장(kext)은 macOS에서 최고 권한을 부여받는 요소이므로, 신뢰할 수 없는 모듈이 실행되고 있지 않은지 확인하는 것이 중요합니다. KextViewr는 현재 로드된 모든 kext를 서명 상태와 설치된 파일 경로와 함께 표시하며, 무엇보다 각 항목의 해시를 VirusTotal과 대조한 결과도 보여줍니다.
다음 해시태그로 항목을 손쉽게 필터링할 수 있습니다: #apple, #nonapple, #signed, #unsigned, #flagged. 생각보다 간단하죠!
다운로드: KextViewr
8. What's Your Sign
주요 기능: 앱의 서명 상태를 확인해 신뢰성을 판단합니다.
서명되지 않은 앱이 모두 위험한 것은 아닙니다. 많은 오픈소스 프로젝트와 무료 프로그램은 개발자가 개발자 라이선스 비용을 부담하지 못해 서명되지 않은 경우가 많습니다. 그래도 보안 관점에서 보면, 서명된 앱이 서명되지 않은 앱보다 더 신뢰할 만한 것은 분명합니다.
What's Your Sign은 우클릭 컨텍스트 메뉴에 Signing Info(서명 정보)라는 새로운 옵션을 추가합니다. 클릭하면 해당 앱이 Apple 서명, 서드파티 서명, 미서명 중 어디에 해당하는지 바로 알 수 있습니다. 딱 그 기능 하나지만, 의심스러운 앱을 빠르게 검증하는 데 매우 유용합니다.
다운로드: What's Your Sign
맥 사용자를 위한 그 외 유용한 Objective-See 도구
위의 도구들 외에도 Objective-See는 특정 사용자에게 유용할 수 있는 몇 가지 도구를 더 제공합니다:
- Lockdown: El Capitan용으로 개발된 도구로, 알려진 취약한 서비스를 잠가 맥의 노출 영역(공격 표면)을 빠르게 줄이는 데 사용됩니다. 현재 High Sierra에서는 작동하지 않습니다.
- Ostiarius: 역시 El Capitan용 앱으로, Gatekeeper를 우회하던 악성코드의 보안 허점을 막기 위해 만들어졌습니다. macOS Sierra 이후 Apple이 이 문제를 수정했기 때문에 더 이상 필요하지 않습니다(다만 El Capitan 이상으로 업그레이드할 수 없는 맥이라면 여전히 유용할 수 있습니다).
- dylib Hijack Scanner: Objective-See의 첫 번째 도구로, 마지막 업데이트는 El Capitan 시절입니다. 유사한 기능은 위의 TaskExplorer에 포함되어 있습니다.
보안 도구는 악성코드 감염을 예방하고 탐지하는 데 큰 도움이 되지만, 평소의 건강한 의심 습관 역시 감염을 피하는 데 놀라운 효과를 발휘합니다. 관리자 암호를 요구하는 프로세스는 항상 경계하고, Gatekeeper 우회를 요구하는 미서명 앱은 조심하며, 시스템 무결성 보호(SIP)는 항상 활성화 상태로 유지하세요.