애플은 2000년대 초반 마이크로소프트 시스템을 괴롭히던 각종 악성코드로부터 자사 제품은 안전하다는 이미지를 오랫동안 강조해 왔습니다. 하지만 아이폰의 인기가 급격히 높아지면서 해커들의 주요 표적이 되기 시작했습니다.
보도에 따르면 '수천 대'의 아이폰에 영향을 미치는 맬웨어가 App Store 계정 정보를 탈취할 수 있다고 합니다. 다만 대다수 iOS 사용자는 여전히 안전한 상태입니다. 맬웨어의 개념과 애플의 모바일 보안 전략에 대해 반드시 알아야 할 내용을 정리했습니다.
맬웨어란 무엇인가?
'맬웨어(Malware)'는 '악성(malicious)'과 '소프트웨어(software)'를 합친 용어로, 기기에 강제로 침입해 데이터를 수집하거나 정상 작동을 방해하는 소프트웨어 전반을 가리킵니다. 그 결과는 종종 심각한 피해로 이어집니다.
맬웨어의 행동 양식과 감염 피해의 심각성은 종류에 따라 천차만별입니다. 크립토락커(CryptoLocker)나 호주에서 유행한 토렌트락커(TorrentLocker)처럼 파일을 암호화하고 복구 조건으로 몸값을 요구하는 랜섬웨어도 있고, 사용자의 모든 키 입력을 몰래 기록해 공격자에게 전송한 뒤 아이디, 비밀번호, 신용카드 정보를 찾아내는 키로거도 있습니다.
이런 악성 소프트웨어는 오랫동안 데스크톱 운영체제와 연관되어 왔습니다. 그런데 흥미롭게도 iOS는 그동안 최악의 피해를 비교적 잘 피해 왔습니다. 그 비결은 무엇일까요? 바로 애플의 세심한 설계 덕분입니다.
iOS는 왜 안전한가?
애플은 처음부터 보안을 최우선으로 삼고 iOS를 설계했으며, 근본적으로 안전한 시스템이 되도록 여러 구조적 결정을 내렸습니다. 그 결과 iOS에서 맬웨어는 예외적인 사례일 뿐 일상적인 위협이 되지 못했습니다.
월드 가든(Walled Garden)
애플은 플랫폼에 대한 통제력을 매우 강하게 유지해 왔으며, 이는 사용자가 앱을 내려받을 수 있는 경로까지 포함합니다. 서드파티 앱을 공식적으로 설치할 수 있는 곳은 오직 애플의 공식 App Store뿐입니다.
덕분에 사용자가 인터넷의 어두운 구석을 돌아다니다 실수로 맬웨어를 받는 일을 크게 줄일 수 있었습니다. 여기서 끝이 아닙니다. 애플은 맬웨어가 App Store에 올라오지 못하도록 엄격한 보안 절차를 운영하며, 제출된 모든 소스 코드에 대한 정적 분석 등을 수행합니다.
물론 이 시스템도 완벽하지는 않습니다. 2013년 조지아공과대학(Georgia Tech) 연구진은 'Jekyll'이라 불리는 악성 프로그램을 App Store에 성공적으로 등록하는 데 성공했습니다. Jekyll은 사용자 동의 없이 트윗을 올리고, 이메일을 보내고, 전화를 걸 수 있었습니다. 해당 앱은 이후 App Store에서 빠르게 삭제되었습니다.
샌드박싱(Sandboxing)
아이폰에 설치된 모든 앱은 서로 격리되어 있을 뿐 아니라 운영체제 자체와도 분리되어 있습니다. 따라서 설치된 앱은 중요한 시스템 파일을 삭제하거나, 승인된 API 호출 외의 방법으로 타사 앱에 허가받지 않은 작업을 수행하는 것이 물리적으로 불가능합니다.
이 기술을 '샌드박싱'이라 부르며, iOS 보안 체계의 핵심 축입니다. 모든 iOS 앱이 서로 샌드박스 처리되어 있어 악성 활동이 발생할 수 있는 경로 자체가 크게 제한됩니다.
권한(Permissions)
iOS의 핵심에는 BSD라 불리는 UNIX 계열 운영체제가 자리하고 있습니다. 사촌 격인 리눅스와 마찬가지로 BSD 역시 설계 단계부터 보안을 고려한 시스템입니다. 그 배경에는 'UNIX 보안 모델'이 있는데, 요약하면 세밀하게 통제된 권한 관리입니다.
UNIX에서는 누가 어떤 파일을 읽고, 쓰고, 삭제하고, 실행할 수 있는지가 '파일 권한'으로 명확히 지정됩니다. 일부 파일은 'root'라는, 사실상 신과 같은 모든 권한을 지닌 사용자의 소유입니다. 이런 권한을 변경하거나 파일에 접근하려면 root 사용자로 열어야 합니다.
root 권한은 임의의 코드를 실행하는 데도 쓸 수 있어 시스템에 위험할 수 있습니다. 애플은 의도적으로 사용자에게 root 권한을 주지 않습니다. 대부분의 iOS 사용자에게는 굳이 필요하지 않은 권한이기 때문입니다.
이러한 보안 아키텍처 덕분에 iOS 기기를 노리는 맬웨어는 놀랄 만큼 드뭅니다. 물론 예외가 하나 있습니다. 바로 탈옥(jailbreak)된 기기입니다.
탈옥이란 무엇이며, 왜 위험할까?
'탈옥(Jailbreaking)'은 애플이 운영체제에 걸어 둔 제한을 제거하는 과정을 말합니다.
탈옥을 하면 기존에는 접근할 수 없던 운영체제 영역에 접근할 수 있고, Cydia 같은 서드파티 저장소에서 앱을 내려받거나, 애플이 금지한 앱(그루브샤크 앱 등)을 사용하거나, OS 코어를 수정·커스터마이징할 수 있습니다.
하지만 iOS 기기를 탈옥하면 심각한 보안 위험에 노출됩니다. 애플의 엄격한 보안 검증을 거치지 않은 앱은 위험할 수 있고, 이미 설치된 앱의 보안마저 위협할 수 있습니다. 또한 iOS의 기본 root 비밀번호는 널리 알려져 있고 이를 변경하는 사용자도 드물어, 서드파티 경로로 소프트웨어를 설치하는 사람에게는 실질적인 우려 사항입니다. 애플의 입장도 분명합니다. 탈옥 상태에서는 업데이트를 설치할 수 없으며, 순정 iOS로 되돌려야만 합니다.
현재 탈옥 기기를 노리는 AppBuyer라는 맬웨어가 실재하는 위협으로 존재하며, 감염될 경우 큰 피해를 입을 수 있습니다.
실제로 확인된 아이폰 맬웨어
유명 네트워크 보안 회사 팔로알토네트웍스(Palo Alto Networks)는 실제 환경에서 수천 대의 iOS 기기를 감염시킨 바이러스를 발견했습니다. App Store 계정 정보를 훔쳐 앱을 구매하는 방식 때문에 'AppBuyer'라는 이름이 붙었습니다.
감염 경로는 아직 확실히 밝혀지지 않았지만, 알려진 바로는 탈옥된 기기만 감염시킬 수 있습니다. 설치되면 AppBuyer는 피해자가 정품 App Store에 접속할 때를 기다렸다가 전송 중인 아이디와 비밀번호를 가로채 명령·제어(command and control) 서버로 전달합니다.
이후 이 맬웨어는 .GZIP 파일 압축 해제 유틸리티로 위장한 추가 악성 소프트웨어를 내려받고, 탈취한 계정 정보로 공식 App Store에서 여러 앱을 구매합니다.
AppBuyer를 확실하게 제거하는 방법은 아직 마련되어 있지 않습니다. 팔로알토네트웍스의 공식 권고는 애초에 iOS 기기를 탈옥하지 말라는 것입니다. 만약 감염되었다면 Apple 계정 정보를 즉시 재설정하고 순정 iOS를 재설치하는 것이 좋습니다.
AppBuyer의 작동 원리에 대한 세부 기술 사항은 팔로알토네트웍스의 블로그 포스트에서 자세히 확인할 수 있습니다.
명확하진 않지만 분명 존재하는 위협
결론부터 말하면, 네, 아이폰도 맬웨어에 감염될 수 있습니다. 다만 현실적으로는 탈옥을 했을 때만 가능합니다. 안전한 아이폰을 원한다면 탈옥하지 마세요. 한층 강력한 보안을 원한다면 '하드닝(hardening)'에 대해 알아보는 것도 좋습니다.
휴대폰을 탈옥해서 사용하시나요? 보안 문제를 겪은 적이 있다면 아래 댓글로 알려주세요.
PhotoCredit: Denys Prykhodov / Shutterstock.com, Kilmainham Gaol (Sean Munson), 360b / Shutterstock.com