랜섬웨어에 맞설 강력한 방어 프로그램을 개발하겠다는 것은 보안 연구자들에게 오랜 숙제였습니다. 그동안 일부 복호화 도구가 선보이기도 했지만, 정작 랜섬웨어의 강력한 암호화 자체를 무력화하는 데에는 성공하지 못했습니다. 이 때문에 랜섬웨어 대응은 갈수록 어려운 과제가 되고 있지만, 그래도 결국 선은 악을 이긴다는 사실은 변함이 없습니다.
최근 Macworld의 시니어 기고자 글렌 플라이시먼(Glenn Fleishman)이 Mac에서 랜섬웨어 공격을 효과적으로 막아줄 수 있는 주목할 만한 애플리케이션 두 가지를 소개했습니다. 바로 산타(Santa)와 리틀 플로커(Little Flocker)입니다. 간단히 말해, 산타는 악성 앱을 식별해 실행을 차단하고, 리틀 플로커는 Mac의 문서와 파일을 손상으로부터 보호하는 역할을 담당합니다. 그렇다면 이 두 앱은 구체적으로 어떤 방식으로 작동할까요?
산타(Santa)의 작동 원리
이름만 들으면 산타클로스를 연상시키지만, 실제로는 당신의 Mac을 지키는 든든한 조력자입니다. 구글(Google)은 다수의 Mac 환경에서 얻은 경험을 바탕으로, 블랙리스트에 등록된 앱이 Mac에 설치·실행되지 못하도록 차단하는 '산타'라는 애플리케이션 개발에 착수했습니다.
지금까지 Mac 보안을 성공적으로 우회한 랜섬웨어는 '키레인저(KeyRanger)' 단 하나뿐입니다. 당시 애플 생태계에서는 감염된 버전의 Transmission 배포를 중단하고 업데이트를 통해 취약점을 수정하는 방식으로 대응했습니다. 하지만 이번에 소개되는 산타는 특정 사건에 반응하는 수준을 넘어, 랜섬웨어 공격 자체를 사전에 원천 차단하는 것을 목표로 하고 있습니다.
일반적인 안티맬웨어 프로그램은 악성 소프트웨어를 식별해 블랙리스트에 올리고 실행을 막는 방식으로 작동합니다. 그러나 이러한 프로그램들은 '시그니처(signature)' 검사로 탐지된 소프트웨어만 차단할 수 있다는 한계가 있습니다. 시그니처란 악성 행위를 찾아내기 위해 안티맬웨어에 미리 입력된 고유 코드 조각을 의미하는데, 요즘 악성코드 제작자들은 이 점을 잘 알고 있기 때문에 시그니처 검사를 우회할 수 있는 변종을 무수히 만들어내고 있습니다.
반면 아직 개발 진행 중인 산타는 한 단계 앞선 접근 방식을 취합니다. 화이트리스트와 블랙리스트 프로그램을 모두 지능적으로 식별하며, 데이터베이스를 서버와 동기화하는 기능도 갖추게 됩니다. 산타에는 두 가지 모드가 있습니다. 첫 번째는 모니터(Monitor) 모드로, Mac에서 실행되는 모든 애플리케이션의 정보를 기록하되 특정 블랙리스트 앱만 차단합니다. 앱을 판별하는 기준은 해당 앱의 알고리즘, 즉 산타의 바이너리 코드와 비교하는 '지문(fingerprint)' 방식이며, 악성 앱으로 판명되면 실행 자체를 막아버립니다.
두 번째는 록다운(Lockdown) 모드입니다. 이 모드에서는 시스템 레벨 앱이든 사용자가 실행한 앱이든 오직 화이트리스트에 등록된 앱만 구동을 허용합니다. 신뢰할 수 있는 개발자 서명이 있는 앱 역시 실행이 허용됩니다. 또한 록다운 모드에서는 특정 디렉터리를 블랙리스트로 지정할 수 있어, Applications나 System 폴더 외부에 설치된 소프트웨어의 실행을 차단할 수도 있습니다.
개발팀은 두 모드 중 우선적으로 모니터 모드에서 앱을 한동안 운영하며 평소의 앱 사용 패턴을 관찰할 것을 권장합니다. 사용 패턴을 충분히 파악한 뒤 자신만의 화이트리스트를 구성하고, 그 다음 록다운 모드로 전환하는 것이 안전한 활용법입니다.
출시를 앞둔 리틀 플로커(Little Flocker)
구글의 악성 소프트웨어 차단 시도만으로 부족하다고 느껴진다면, 리틀 플로커가 그 빈자리를 채워줄 것입니다. 이 애플리케이션은 보안 연구원 조나스 즈지아르스키(Jonathan Zdziarski)가 개발한 결과물로, 현재 베타 테스트 단계에 있습니다. 리틀 플로커는 산타보다 더 포괄적인 시스템 동작 분석기이자 악성 앱 차단 도구입니다. 모든 애플리케이션을 면밀히 감시하여, 무단으로 파일을 수정하거나 삭제하려는 앱의 접근을 제한합니다.
특히 리틀 플로커는 사용자가 수정하는 모든 파일에 대한 전체 접근을 허용하는 것이 아니라, 폴더 계층 구조의 일부 영역에 대해서만 앱의 접근을 승인합니다. 덕분에 이미 신뢰하는 앱이 변조되는 것을 막을 수 있고, 새로 설치된 앱이 사용자 몰래 Mac 내 모든 파일에 갑자기 접근하는 통로도 원천적으로 차단됩니다.
현재 Mac을 방어하는 대부분의 안티맬웨어 소프트웨어는 인바운드와 아웃바운드 네트워크 활동 중 승인되지 않은 트래픽만 감시하거나 차단하는 데 그칩니다. 이는 많은 악성코드가 원격으로 파일에 접근해 범죄자에게 유출하려 하기 때문입니다. 그러나 리틀 플로커는 네트워크 활동을 넘어 모든 애플리케이션의 파일 접근 행위까지 날카롭게 지켜봄으로써, 보안 취약점이 남을 틈을 없앱니다.
지금까지 애플(Apple)은 컴퓨터에 높은 수준의 보안 체계를 유지해 왔고, 그 덕분에 Mac 사용자들은 상대적으로 안전할 수 있었습니다. 산타와 리틀 플로커의 등장은 이 방어선을 한층 더 강화할 것으로 기대됩니다. 다만 안타깝게도 랜섬웨어 범죄자들의 최대 표적인 Windows를 위한 이런 종류의 앱은 아직 등장하지 않았습니다. 구글과 즈지아르스키, 그리고 다른 연구자·개발자들이 Windows용 확실한 랜섬웨어 예방책도 조속히 내놓아 이러한 악행이 더 이상 퍼지지 않기를 바랍니다.