2017년 5월 영국 NHS(국민보건서비스) 컴퓨터를 마비시킨 랜섬웨어 'WannaCry'와 같은 해 6월 말에 이어진 'Petya' 공격을 기억하시나요? 이러한 대형 사건은 당시 Windows PC 사용자에게만 위협이 되었지만, 맥 사용자라면 이런 위협으로부터 자신을 지켜야 할 필요가 있는지, 만약 감염된다면 어떻게 대처해야 하는지 궁금해질 것입니다.
이 글에서는 맥에서 랜섬웨어를 탐지하고, 예방하고, 제거하는 데 알아야 할 모든 내용을 정리했습니다.
랜섬웨어란 무엇인가?
랜섬웨어(Ransomware)는 사용자의 의사와 무관하게 파일을 암호화한 뒤, 파일을 다시 풀어주는 조건으로 금전을 요구하는 일종의 악성코드 공격입니다.
앞서 언급했듯이 랜섬웨어는 주로 Windows 사용자에게 문제가 되는 위협이며, WannaCry와 Petya가 그 대표적인 사례입니다. 그렇다면 맥 사용자도 걱정해야 할까요?
맥에서 부트캠프 등으로 Windows를 사용한다면 일반 PC에서 Windows를 쓸 때만큼 주의해야 하는 것은 당연합니다. 하지만 macOS만 사용한다면 Apple이 여러 보안 장치를 기본으로 탑재하고 있어 안전하지 않을까요?
아쉽게도 맥 역시 랜섬웨어 공격에 노출된 적이 있습니다. 매우 드문 일이지만, 아래에서 살펴보겠습니다.
참고로 Macworld는 맥 보안 관련 심층 기사를 여러 편 운영하고 있습니다. 백신 구매 가이드가 필요하면 '최고의 맥 백신'과 '맥도 바이러스에 걸릴까?' 기사를, 일반적인 보안 팁은 '맥 보안 팁'을, 이미 바이러스에 감염된 것으로 의심된다면 '맥 바이러스 제거 방법' 기사를 확인해 보세요. 또한 전체 맥 바이러스 목록도 제공하고 있습니다.
맥도 랜섬웨어에 감염될 수 있을까?
맥이 랜섬웨어에 감염된 사례가 실제로 있었을까요?
답은 '그렇다'입니다. 다만 발생 빈도가 극히 드뭅니다. 지금까지 보안 연구자들이 확인한 맥 랜섬웨어는 몇 건 되지 않으며, 어느 것도 대규모 유행으로 번지지 않았고 실제 피해를 입은 맥도 거의 없습니다. 하지만 이 목록은 향후 랜섬웨어가 어떤 경로로 확산되고 어떻게 작동할 수 있는지 이해하는 데 흥미로운 단서가 됩니다.
ThiefQuest / EvilQuest (2020년 6~7월)
Malwarebytes는 러시아 토렌트 포럼 Rutracker에서 유통되던 Little Snitch 등 유명 맥 프로그램의 불법 복제본에 악성 코드가 심어져 퍼지고 있음을 확인했습니다.
이 악성 프로그램은 'com.apple.questd', 'CrashReporter' 같은 이름으로 위장해 시스템 여러 곳에 자신을 설치하려 합니다. 실행하면 파일 암호화가 시작되고, 이후 50달러 상당의 비트코인을 요구하는 협박 메시지가 화면에 나타납니다.
흥미로운 점은 이 악성코드의 랜섬 기능이 전부가 아니라는 것입니다. 파일을 암호화하기 전에 특정 파일 형식을 먼저 찾아 중앙 서버로 전송하는 동작을 보이기 때문에, 데이터 유출이 진짜 목적일 가능성도 제기되었습니다.
FileCoder / Filezip / Patcher (2017년 2월)
보안 연구자들은 불법 다운로드 사이트에서 '패처(patcher)' 앱으로 위장해 유포되는 Filezip 랜섬웨어를 발견했습니다. 패처 앱은 Adobe Photoshop이나 Microsoft Office 같은 상용 소프트웨어를 구매나 라이선스 없이 사용할 수 있게 불법적으로 변조하는 도구입니다.
사용자가 패처 앱을 실행하면 Filezip은 대신 사용자의 파일을 암호화하고, 각 폴더에 'README!.txt', 'DECRYPT.txt', 'HOW_TO_DECRYPT.txt' 같은 파일을 남겨 몸값(0.25 비트코인, 당시 약 33만 원)을 요구합니다. 특히 많은 Windows 랜섬웨어와 마찬가지로 Filezip은 실제로 파일을 복호화할 능력조차 없었기 때문에 몸값을 지불해도 소용이 없었습니다.
KeRanger (2016년 3월)
보안 연구자들이 BitTorrent 클라이언트 Transmission의 정식 업데이트 파일 안에서 KeRanger 랜섬웨어를 발견했습니다. 최초의 실질적인 맥 랜섬웨어 사례로, 개발자들이 명백히 진짜 위협을 만들려고 공들인 흔적이 보입니다.
KeRanger는 정식 보안 인증서로 서명되어 있어 macOS의 Gatekeeper 보안 시스템에도 차단되지 않았습니다. 파일을 암호화한 뒤 디렉터리에 README_FOR_DECRYPT.txt 파일을 남기고 몸값(1비트코인, 당시 약 133만 원)을 요구하는 방식이었습니다.
다행히 연구자들과 Apple의 신속한 대응, 특히 Apple이 즉시 해당 보안 인증서를 철회하면서 KeRanger는 큰 위협이 되기 전에 저지되었습니다. 만약 양측의 대응이 늦었다면 상황은 완전히 달라졌을 수 있습니다.
Gopher (2015년 9월)와 Mabouia (2015년 11월)
두 명의 보안 연구자가 독립적으로 각각 Gopher와 Mabouia라는 맥 전용 랜섬웨어를 제작했습니다. 다만 두 사례 모두 '개념 증명(PoC)' 시연용으로, 맥에서도 완성형 랜섬웨어가 충분히 가능하다는 점을 보여주기 위한 것이었습니다.
연구자들이 학습 목적으로 공유한 사본을 제외하면 외부로 유출된 적이 없기 때문에 확산되지 않았습니다.
FileCoder (2014년 6월)
보안 연구자들은 바이러스 검사 사이트 Virus Total을 통해 FileCoder를 발견했는데, 사실 이 악성코드는 이미 2년 전 같은 사이트의 검색 엔진에 처음 적발된 오래된 것이었습니다.
OS X/macOS를 겨냥한 FileCoder는 미완성 상태였고 실제로 사용자 데이터를 암호화하지 않기 때문에 실질적인 위협은 아니었습니다. 다만 몸값 30유로를 요구하는 앱 창을 띄우긴 했는데, 재미있게도 PayPal이나 Western Union 대신 신용카드로 결제하면 20유로로 깎아주는 '할인'까지 제공했습니다.
FileCoder의 출처나 의도된 확산 경로는 끝내 밝혀지지 않았습니다.
FBI 사칭 스캠 (2013년 7월)
10년 넘게 웹 기반 랜섬웨어는 순진한 Windows 사용자를 상대로 브라우저를 가짜 '법 집행 기관 웹사이트'에 가두는 방식으로 돈을 갈취해 왔습니다. 물론 이는 허풍에 불과해 쉽게 벗어날 수 있는 수법이었습니다.
그런데 2013년 7월, 맥의 Safari 브라우저를 겨냥한 유사한 스캠이 발견되었습니다. 사용자는 닫을 수 없는 대화상자를 통해 가짜 'FBI' 페이지에 갇혔고, 시스템 잠금을 풀기 위해 300달러의 '벌금'을 요구당했습니다.
브라우저 종료조차 불가능하게 만들었고, 강제 종료하더라도 Safari를 다시 실행하면 랜섬 페이지가 그대로 다시 로딩되었습니다.
Apple은 이후 맥과 아이폰/아이패드의 Safari를 수정해 이런 브라우저 기반 랜섬웨어가 작동하기 어렵게 만들었습니다. 다만 덜 정교한 유사 사례에는 여전히 노출될 수 있습니다.
맥도 WannaCry에 감염될 수 있을까?
결론부터 말하면 '아니요'입니다. WannaCry는 Microsoft Windows의 네트워크 파일 공유 기술인 SMB의 취약점을 악용합니다. 네트워크상 한 대의 컴퓨터에 침투하면(주로 누군가 악성 이메일 첨부파일을 열었기 때문입니다) SMB의 버그를 이용해 패치되지 않은 나머지 컴퓨터에 스스로를 퍼뜨립니다.
맥도 기본 네트워크 파일 공유 기술로 SMB를 사용하기 때문에 언뜻 영향을 받을 것 같지만, Apple은 자체 구현 방식의 SMB를 사용합니다. Microsoft 버전과 완벽하게 호환되면서도 동일한 버그나 보안 허점이 없기 때문에 WannaCry의 영향을 받지 않습니다. 적어도 당시의 WannaCry 형태로는 그렇습니다.
아이폰, 아이패드, Apple TV, Apple Watch는 SMB 파일 공유를 아예 사용하지 않으므로 이론상으로도 WannaCry의 위험에서 자유롭습니다.
맥도 Petya에 감염될 수 있을까?
Petya는 WannaCry와 유사한 랜섬웨어 공격으로, 2017년 6월 말 유럽과 미국의 컴퓨터들을 덮쳤습니다.
Petya는 여러 대기업에 피해를 입혔고, 영국 NHS를 공격했던 앞선 WannaCry처럼 같은 네트워크의 Windows 컴퓨터로 빠르게 확산되었습니다.
감염 경로는 Microsoft가 패치를 배포한 Windows 취약점이었습니다.
대부분의 백신 업체는 Petya에 대응하도록 자사 소프트웨어를 업데이트했습니다.
Petya는 컴퓨터 접근권을 되찾기 위해 300달러 상당의 비트코인을 요구했습니다. 하지만 모든 피해자에게 동일한 비트코인 주소를 안내하고 연락용 이메일 주소도 하나뿐이었으며, 그마저 곧 차단되는 등 범인들이 아마추어로 추정됩니다.
일각에서는 이 공격이 돈벌이보다는 우크라이나 정부를 겨냥한 것이라는 분석도 나왔습니다.
맥을 랜섬웨어로부터 보호하는 방법
글을 쓰는 시점 기준 맥(또는 Apple 하드웨어 전반)에서 대규모 랜섬웨어 유행이 발생한 적은 없지만, 보안 전문가들은 충분히 가능성 있는 시나리오로 보고 있습니다.
WannaCry 사태 직후 CNBC 'Squawk Box'에 출연한 SecurityScorecard CEO 알렉산드르 얌폴스키(Aleksandr Yampolskiy)는 해당 공격이 Windows만 노린 것이지만 Apple 사용자도 유사한 공격에 취약하다고 강조했습니다.
"이번 공격이 Windows 컴퓨터를 겨냥한 것에 불과합니다. 하지만 Apple 역시 같은 유형의 공격에 충분히 취약합니다."라고 그는 말했습니다.
그렇다면 가정해 봅시다. 만약 감염되었다면 무엇을 해야 할까요?
1단계: 당황하지 않기
서두르지 말고 성급한 반응을 삼가세요.
2단계: 시스템 정리
무료로 제공되는 Bitdefender Virus Scanner 같은 악성코드 검사 도구를 사용해 랜섬웨어를 찾아 제거하세요.
당신 혼자만 피해를 입었을 가능성은 낮습니다. Macworld 같은 사이트를 주시하며 해당 랜섬웨어의 성격에 대한 추가 정보를 확인하세요. 백신으로 해결되지 않더라도 구체적인 제거 방법을 찾을 수 있을 가능성이 높습니다.
경우에 따라서는 보안 연구자가 파일을 무료로 복호화하는 방법을 찾아내기도 합니다. 실제로 지금까지 확인된 맥 랜섬웨어 중 최근 사례에서 그런 일이 있었습니다.
3단계: 몸값을 지불하지 않기
앞서 살펴본 맥 랜섬웨어 사례들에서 보듯이, 몸값을 지불해도 파일을 되찾지 못할 가능성이 상당히 높습니다!
4단계: 저장장치 분리 및 연결 해제
맥에서 실제로 효과를 발휘했던 유일한 랜섬웨어인 KeRanger는 Time Machine 백업까지 암호화하려 시도해, 사용자가 백업으로 파일을 복원하지 못하도록 만들려 했습니다.
따라서 맥이 랜섬웨어에 감염된 사실을 발견하면 즉시 외장 하드디스크 같은 이동식 저장장치를 분리하고, Finder 사이드바의 꺼내기 아이콘을 클릭해 네트워크 공유 연결도 모두 해제해 백업까지 암호화되는 사태를 막아야 합니다.
5단계: RansomWhere? 앱 설치
RansomWhere? 앱 설치를 고려해 보세요. 이 무료 앱은 백그라운드에서 실행되며 랜섬웨어 공격 시 나타나는 것 같은 대량 파일 암호화 활동을 감시합니다. 의심스러운 프로세스를 차단하고 무슨 일이 일어나는지 알려줍니다. 일부 파일은 암호화될 수 있지만, 다행히 그 수는 많지 않기를 바랄 뿐입니다.
6단계: 기본 피싱 방지 수칙 준수
많은 랜섬웨어와 악성코드가 그렇듯 WannaCry도 피싱 공격을 통해 네트워크에 처음 침투했습니다. 받을 것으로 예상하지 못한 이메일 첨부파일은 절대 열지 마세요. 아무리 지인에게서 온 것처럼 보이고, 아무리 중요하거나 흥미로워 보여도 마찬가지입니다.
7단계: 출처 불명의 소프트웨어 사용 금지
최근의 맥 랜섬웨어는 상용 소프트웨어를 무료로 쓰게 해주는 '크랙' 앱이나 패처 앱을 통해 확산되려 했습니다. 따라서 이런 불법 소프트웨어는 모두 멀리하세요.
8단계: 시스템과 앱 항상 최신 상태 유지
맥에서 자동 업데이트를 설정하려면 Finder의 응용 프로그램 목록에서 시스템 환경설정 앱을 열고 App Store 아이콘을 선택하세요. 그런 다음 '자동으로 업데이트 확인'에 체크하고, 그 아래 항목들도 모두 체크하면 됩니다.
9단계: 공식 웹사이트에서만 설치
예컨대 브라우저 플러그인이 오래되었다는 팝업이 갑자기 뜨면, 반드시 해당 플러그인의 공식 웹페이지(Flash 플러그인이라면 Adobe 웹사이트 등)에서만 업데이트하세요. 팝업 창에 제공된 링크는 절대 믿지 마세요! 해커들은 이런 팝업과 가짜 웹사이트를 이용해 랜섬웨어와 기타 악성코드를 퍼뜨리곤 합니다.
10단계: 자주 백업하고 백업 후 분리
파일 백업이 있다면 랜섬웨어에 걸려도 복원만 하면 되므로 피해가 훨씬 줄어듭니다. 다만 KeRanger가 Time Machine 백업까지 암호화하려 했던 전례가 있으므로, Carbon Copy Cloner 같은 서드파티 앱으로 백업하는 방법도 고려할 만합니다.
하지만 백업만으로는 부족합니다. 진정으로 안전하려면 백업이 끝난 후 백업 드라이브를 분리하세요. 그래야 공격 시 드라이브가 함께 암호화되는 일을 막을 수 있습니다.
아이폰과 아이패드는 어떻게 보호할까?
아이폰, 아이패드 같은 iOS 기기는 처음부터 맥보다 훨씬 안전하게 설계되어, 악성코드 감염을 통한 진짜 랜섬웨어 공격은 사실상 불가능에 가깝습니다. 실제로 지금까지 그런 사례는 없었으며, 적어도 탈옥(jailbreak)하지 않은 iOS 기기에서는 없었습니다.
그러나 아이폰, 아이패드, 심지어 맥도 'iCloud 탈취'에 노출될 수 있습니다. 이는 해커가 수많은 대규모 보안 유출 사건에서 확보한 비밀번호를 재사용해 사용자의 iCloud 계정에 로그인해 장악한 뒤, 비밀번호를 변경하고 '나의 iPhone 찾기' 서비스를 이용해 기기나 맥을 원격으로 잠그고 몸값을 요구하는 랜섬 공격입니다.
흔히 기기나 맥을 원격 초기화하겠다고 협박하기도 합니다. 이런 유형의 첫 공격은 2014년의 Oleg Pliss 사건이었습니다.
iCloud 탈취는 2단계 인증(2FA)만 설정해도 손쉽게 막을 수 있으니, 지금 바로 설정하세요!
실제 랜섬웨어 감염 가능성과 별개로, 아이폰이나 아이패드를 항상 최신 버전으로 유지하는 것이 잠재적 위협에 대한 최선의 방어입니다. 새 iOS 업데이트가 배포되면 설정 앱 옆에 알림이 표시되며, 설정 > 일반 > 소프트웨어 업데이트로 들어가 업데이트할 수 있습니다. (참고로 iOS에서는 시스템 자동 업데이트를 설정할 수 없습니다.)
iOS 기기용 백신 검사를 제공한다고 주장하는 앱은 대체로 신뢰할 수 없습니다. 모든 iOS 앱은 샌드박스 방식으로 격리되어 있어 시스템이나 다른 앱을 검사할 수 없기 때문입니다.
백신 앱을 항상 실행해야 할까?
의외로 들릴 수 있지만, 맥에는 이미 Apple이 제공하는 악성코드 방지 기능이 내장되어 있습니다.
XProtect는 백그라운드에서 보이지 않게 실행되며, 표준 파일 격리 과정의 일환으로 다운로드한 파일을 검사합니다. Apple은 XProtect를 새로운 악성코드 정의로 수시로 업데이트하며, 다음 단계로 업데이트 빈도를 확인할 수 있습니다:
- Apple 메뉴 > '이 Mac에 관하여'를 클릭한 뒤 '시스템 리포트' 버튼을 눌러 시스템 정보 앱을 엽니다.
- 왼쪽 목록에서 '소프트웨어' 항목을 선택하고, 그 아래 '설치' 항목을 클릭합니다.
- '설치 날짜' 열 제목을 클릭해 최신순으로 정렬한 뒤, XProtectPlistConfigData 항목을 찾습니다.
XProtect 덕분에 Apple은 지금까지 가장 심각한 맥 랜섬웨어 위협이었던 KeRanger가 만연해지기 전에 막을 수 있었습니다. 최근의 맥 랜섬웨어인 Filezip 역시 XProtect에 추가되었습니다.
여기에 파일 격리와 Gatekeeper 같은 기본 보안 장치, 즉 사용자가 낯선 웹사이트에서 내려받은 앱이나 문서를 무심코 실행하지 못하도록 막는 장치들이 결합되어, 맥은 생각보다 랜섬웨어에 잘 방어되어 있습니다.
그럼에도 Bitdefender Virus Scanner 같은 수요 시(on-demand) 바이러스 검사 도구를 가끔 실행하는 것은 나쁘지 않습니다. 메일 첨부파일 속 Windows 바이러스가 오탐(false positive)으로 많이 잡힐 수 있지만, Windows 바이러스는 맥 사용자에게 무해합니다. 최고의 맥 백신 소프트웨어에 대한 자세한 내용은 관련 기사를 참고하세요.