최근 예고 없이 iOS 업데이트 알림을 받으셨을 겁니다. 지금 바로 확인해 보세요. 이미 아이폰을 iOS 9.3.5로 업데이트하셨다면, 공격자가 수많은 앱에서 기밀 정보를 가로채고 훔칠 수 있게 하던 세 개의 제로데이 취약점(통칭 '트라이던트')이 패치된 상태입니다.
자유롭게 날아다닌 페가수스
이 스파이웨어 '페가수스(Pegasus)'는 모바일 보안 연구 기업 룩아웃(Lookout)과 토론토 대학교 시티즌 랩(Citizen Lab)의 협력으로 발견되었습니다. 연구진은 이 스파이웨어가 이미 상당 기간 유포되었으나, 주로 민감한 정보를 보유한 고가치 표적을 노려왔다고 분석합니다.
발견 계기는 저명한 인권 운동가 아흐메드 만수르(Ahmed Mansoor)에게 의문의 SMS가 도착하면서 시작되었습니다. 메시지는 "아랍에미리트 감옥에서 고문당하는 수감자들의 새로운 비밀"이라며 링크 클릭을 유도했습니다. 만수르는 링크를 누르는 대신 시티즌 랩에 분석을 의뢰했습니다.
분석 결과, 자신을 은폐하고 자기 파괴 명령까지 갖춘 매우 정교한 스파이웨어임이 밝혀졌습니다. 시티즌 랩과 룩아웃은 이 해킹 시도가 이스라엘 정보부대 8200 부대 출신들이 설립한 것으로 알려진 그림자 같은 기업 'NSO 그룹'의 소행일 가능성이 높다고 발표했습니다.
우리는 해당 링크가 이스라엘 기반의 '사이버 전쟁' 기업 NSO 그룹과 연결된 익스플로잇 인프라에 속해 있음을 확인했습니다. NSO 그룹은 정부 전용 '합법적 감청' 스파이웨어 제품인 페가수스를 판매합니다. 감염 시 만수르의 전화기는 주머니 속의 디지털 스파이가 되어, 아이폰의 카메라와 마이크로 주변을 엿듣고, 왓츠앱과 바이버 통화를 녹음하며, 모바일 채팅 메시지를 기록하고, 이동 경로를 추적할 수 있게 됩니다.
이번 사례는 "타깃형 공격 캠페인의 일환으로 실제 환경에서 아이폰 원격 탈옥이 사용된 첫 사례"로 여겨지며, 그 발견은 매우 희귀하고 중요합니다. 이 세 개의 제로데이 취약점 모음은 '트라이던트(Trident)'라 명명되었으며 구성은 다음과 같습니다.
- CVE-2016-4657 — 악의적으로 조작된 웹사이트 방문 시 임의 코드 실행 가능
- CVE-2016-4655 — 애플리케이션이 커널 메모리를 유출시킬 수 있음
- CVE-2016-4656 — 애플리케이션이 커널 권한으로 임의 코드 실행 가능
페가수스의 신화적 능력
만수르가 감염된 SMS를 토론토의 보안 연구원들에게 전달하지 않았다면, 우리는 페가수스의 존재조차 몰랐을 것입니다. 연구진은 만수르에게 발송된 링크가 비활성화되기 전에 스파이웨어를 추출하고 격리하는 데 성공했습니다. 그렇다면 페가수스는 정확히 무엇을 할 수 있을까요?
간단히 말해, 최신 고급 스파이웨어에서 기대할 수 있는 거의 모든 기능을 수행합니다. 모바일 기기를 특정 표적으로 삼아 브라우저 기록, 이메일, SMS, 메시징 데이터(iMessage, 왓츠앱 등), 연락처, 캘린더 일정, 위치 기록 등 광범위한 정보를 탈취합니다.
아이폰은 보안 면에서 정평이 나 있습니다. 애플이 아이폰 플랫폼을 엄격히 통제하기 때문에, 기술적으로 정교한 익스플로잇 없이는 아이폰 감시 도구를 원격으로 설치하고 작동시키는 것이 거의 불가능합니다. 이러한 익스플로잇은 희귀하고 고가입니다.
연구진은 페가수스가 장기간 은폐 상태로 유지되는 능력에 감탄했습니다. 룩아웃의 보안 연구 부사장 마이크 머레이(Mike Murray)는 마더보드(Motherboard) 인터뷰에서 다음과 같이 말했습니다.
NSO 그룹의 소프트웨어와 그 구성 및 실행 방식은 모두 '발각되지 않는 것'에 초점을 맞추고 있습니다. 은밀함과 투명성을 위해 설계되었습니다.
고가치 표적을 노린 설계임을 보여주듯, 페가수스는 화면이 꺼져 있을 때만 주변을 녹음하고 사진을 촬영합니다. 또한 특정 상황에서는 자기 파괴 메커니즘이 작동합니다.
페가수스는 모바일 기기가 우리 삶에 얼마나 깊숙이 통합되어 있는지, 그리고 상시 연결(Wi-Fi, 3G/4G), 음성 통신, 카메라, 이메일, 메시징, GPS, 비밀번호, 연락처 등 모바일에만 존재하는 기능들의 조합을 악용합니다. 기능적 모듈성, 감시하는 통신 및 사용자 데이터의 폭, 다른 애플리케이션에 기생하여 데이터를 유출시키는 맞춤형 기법 등에서 볼 때, 현재까지 룩아웃이 모바일 엔드포인트에서 발견한 민간 개발 공격 중 가장 정교합니다.
"합법적 감청(Lawful Intercept)"
페가수스 개발사인 NSO 그룹은 활동가 단체 프라이버시 인터내셔널(Privacy International)의 자료에 따르면 파나마와 멕시코 정부에 이 스파이웨어를 라이선스했습니다. 파나마 정부는 현지 보도에 따르면 페가수스 구매에 800만 달러를 지출했습니다. 이번 폭로로 아랍에미리트(UAE)도 구매국 리스트에 확실히 추가되었습니다.
"합법적 감청" 기술 자체는 새로운 것이 아니며, 많은 국가가 이러한 기술의 오용을 막기 위한 엄격한 법제를 두고 있습니다. 불행히도 현실은 그렇지 않습니다. 만수르의 단일 사례만 봐도, 그를 감시하기 위해 세 번째 "합법적 감청" 도구가 동원되었다는 사실은 이러한 강력한 스파이웨어를 둘러싼 문제점을 여실히 보여줍니다.
내게 무슨 의미인가?
이미 아이폰을 업데이트하셨다면 안전합니다. 대다수 아이폰 사용자가 페가수스와 마주하게 될 접점은 애플이 배포한 긴급 업데이트를 확인하고 설치하는 것뿐일 것입니다. 에라타 시큐리티(Errata Security) 블로그는 다음과 같이 논평했습니다.
사이버 보안 커뮤니티 밖의 사람들에게는 새로울 수 있지만, 내부자들에게는 그다지 뉴스거리도 아닙니다. 그저 활동가들을 노리는 정부 악성코드일 뿐이고, 또 다른 제로데이 세트일 뿐입니다.
하지만 이번 건은 약간 다릅니다. 대다수 제로데이는 보안 연구원이나 당사 기업이 발견하지만, 이 취약점들은 현재 매우 민감하고 즉각적인 위험을 초래할 수 있는 정보를 훔치는 데 활발히 악용되고 있었습니다.
또한 페가수스 개발 배경은 이 사건을 더욱 흥미롭게 만듭니다. 민주 국가인 이스라엘에서 개발된 잠재적으로 위험한 스파이웨어 도구가 UAE 같은 억압적 정권에 판매되었기 때문입니다. 이 도구는 합법적인 "합법적 감청" 도구로 개발되었으나, 이 사례는 그것이 실제 현장에서 어떻게 사용되는지를 보여줍니다. NSO 그룹은 법 테두리 안에서 활동하며, 자사 제품이 "테러와 범죄 퇴치를 돕기 위해 권한 있는 정부에 기술을 제공함으로써 세상을 더 안전하게 만드는 것"이 목적이라고 주장합니다.
그럼에도 불구하고, 자국에서 범죄 행위로 간주되는 인권 운동가를 감시하는 데 사용되었다는 사실은 자사 제품이 "범죄 예방 및 수사에만 사용될 수 있다"는 공식 입장을 정면으로 반박합니다.
OS X 및 사파리에서도 버그 발견
애플은 트라이던트 제로데이 취약점이 데스크톱 플랫폼인 OS X과 메인 브라우저 사파리에도 영향을 미친다는 사실이 드러나자, 조용히 중요 패치를 배포했습니다. 두 플랫폼 간 공유되는 코드가 많기 때문에 한 곳에서 취약점이 발견되면 다른 곳에도 영향을 미칠 가능성이 높다는 점에서 당연한 조치입니다.
엘 캐피탄(El Capitan)과 요세미티(Yosemite)용 패치는 여기에서, 사파리용 패치는 여기에서 찾을 수 있습니다. 이 패치들은 표준 업데이트 메커니즘을 통해 다운로드 및 설치 가능하며, 즉시 적용하실 것을 강력히 권장합니다.
다음번까지 안전하게...
업데이트를 완료하셨다면 귀하의 애플 기기는 안전합니다. 여전히 불안하다면 룩아웃 시큐리티 앱(Lookout Security App)을 다운로드해 시스템을 검사해 보세요. 문제가 발견되면 패치를 설치하면 됩니다. 패치를 원치 않는 사용자(예: 이미 탈옥한 사용자)는 이 튜토리얼을 참고할 수 있습니다. (면책 조항: 필자는 이를 실행해 보지 않았으며, 메이크유즈오프(MakeUseOf)와 어떤 방식으로도 연결, 승인, 보증되지 않습니다.)
제로데이 취약점은 끊임없이 발견되고 패치되며, 그 과정은 보안 연구자나 잠재적 피해자들에게 별다른 알림 없이 진행되곤 합니다. 하지만 아이폰 사용자들은 안심해도 좋습니다. 안드로이드 사용자는 약간의 자신감과 유튜브 영상 시청만으로도 해킹을 시도할 수 있는 '아무 해커'들에게 노출되어 있는 반면, 아이폰은 여전히 국가급 행위자(Nation-state actors)만이 익스플로잇할 수 있는, 일반 소비자가 구매할 수 있는 가장 안전한 전화기입니다.
애플은 버그 바운티 프로그램으로 최대 20만 달러를 지급하지만, 작년 소프트웨어 브로커 제로디움(Zerodium)은 아이폰 접근 권한을 주는 익스플로잇에 100만 달러를 제시했습니다. 문제의 본질이 여기에 있습니다.
여러분과 여러분의 데이터는 안전합니다. 하지만 이것이 활동가나 언론인을 노리는 스파이웨어의 마지막 사례는 아닐 것입니다.
아이폰 업데이트 하셨나요? 국가 행위자들이 '무기화된' 악성코드와 스파이웨어 판매에 더 책임감을 가져야 한다고 생각하시나요? 아래 댓글로 의견을 들려주세요!