Shlayer(슐레이어) 트로이 목마는 놀랍도록 끈질긴 악성코드입니다. 2019년부터 모든 macOS 시스템 중 10대에 하나꼴로 감염시켜 온 존재죠. 2018년 처음 등장한 이 악성코드는 여전히 활발하게 활동하고 있으며, 백신 소프트웨어 기업 카스퍼스키(Kaspersky)에 따르면 2019년 macOS에서 발견된 전체 악성코드의 무려 30%를 차지했습니다.
이 바이러스가 만연해진 주된 이유는 악성코드 자체가 평범하기는 해도 제작자가 사용한 유통 방식이 지나치게 교묘하기 때문입니다. 그럼에도 불구하고 높은 감염률은 맥(Mac)이 본래 갖추고 있다고 여겨졌던 '면역' 신화를 깨뜨리고 있습니다.
어쩌면 그것이 더 나은 일일지도 모릅니다. 악성코드 확산에 대한 최선의 해독제는 사용자 인식이며, 인식 부족こそ 이 성가신 바이러스가 확산되는 데 한몫하는 요인이기 때문입니다.
그렇다면 Shlayer가 지금까지 성공할 수 있었고 이토록 오래 생존한 핵심 특징은 무엇일까요? 답은 의외로 단순합니다.
제휴 네트워크로 치명타를 가하는 단순한 바이러스
Shlayer는 트로이 다운로더(Trojan Downloader)로, 백그라운드에서 악성코드를 설치하고 브라우징 정보를 탈취하며 악성 광고를 표시합니다.
Shlayer의 가장 독특한 특징은 완전히 합법적인 플랫폼에서 웹마스터와 콘텐츠 제작자들이 배포에 적극 가담한다는 점입니다. 실제로 바이러스 제작자들은 유튜버, 위키피디아 편집자, 웹사이트 운영자로 구성된 거대한 제휴 네트워크를 구축해, 사람들을 가짜 플래시(Flash) 다운로드 페이지로 유도하면 건당 4달러의 수수료를 지급했다는 보고가 있습니다. 카스퍼스키는 이 계획에 연루된 파트너 사이트가 1,000개 이상인 것으로 집계했습니다.
파트너들은 여러 가지 방식으로 사람들에게 악성 다운로드 링크를 클릭하도록 유도합니다. 예컨대 유튜버는 영상 설명란에 단축 링크를 추가하고, 위키피디아 편집자는 위험한 링크가 담긴 출처 표기를 활용합니다. 웹마스터의 역할은 상대적으로 간단합니다. 해당 링크가 포함된 안내 문구만 삽입하면 되니까요.
경계심 없는 사용자가 클릭하도록 유혹하는 악성 링크를 만들어 시스템 침투를 시작으로 혼란을 일으키게 하는 것은 해커들의 가장 오래된 수법입니다. 하지만 사이버 범죄자들이 악성코드를 완전한 지속 가능한 비즈니스 모델로 전환한 사례는 드물습니다.
이 비즈니스 모델에서 제작자는 사실상 투자자 역할을 합니다. 스스로 합법적인 콘텐츠 제작자인 파트너들에게 설치당 4달러의 수수료를 지급하는 것이죠. 사용자가 유해한 링크를 클릭한 뒤 발생하는 감염이 상당한 수익 창출 기회로 이어져야, 이들이 투자한 금액을 정당화할 수 있습니다.
Shlayer 자체는 애드웨어, 강제 웹 리디렉션, 브라우저 기록을 추적하는 기타 악성코드로 구성된 페이로드의 운반체일 뿐입니다. 이러한 공격을 통해 사이버 범죄자들은 사용자 트래픽을 유해한 웹 페이지로 우회시키고, 브라우저 기록·쿠키·캐시를 탈취해 광고주에게 판매하며, 스폰서 광고를 노출하는 방식으로 손쉽게 수익을 올립니다.
정확한 수익 규모는 알려져 있지 않지만, 설치당 4달러의 수수료를 기꺼이 지급했고 맥의 10%가 감염됐다는 사실을 고려하면, 가장 보수적으로 추산해도 수백만 달러 규모의 수익이 나옵니다.
바이러스 제작자들은 확실히 사회공학의 걸작을 선보였고, 그 덕분에 바이러스는 지속적인 존재감과 높은 수익 잠재력을 유지하고 있는 것입니다.
공격 예방하기
공정하게 말하자면, 이런 종류의 공격은 애플(Apple) 탓이라 할 수 없습니다. 트로이 목마가 macOS 자체의 취약점에서 비롯된 것이 아니기 때문입니다. 사회공학 공격의 문제점이 바로 여기에 있습니다. 침투 경로가 시스템 내부의 숨겨진 약점이 아니라 사용자 자신이라는 점입니다.
안티멀웨어나 VPN처럼 보안과 프라이버시를 강화하는 프로그램이 웹에서 더 안전하게 활동하는 데 도움은 되지만, 그 어떤 대책도 '인식'에서 비롯된 것만큼 효과적이지 않습니다. Shlayer의 경우 가해자들은 사용자의 무지를 이용했으며, 이 악성코드가 성공하기 위해 어느 정도 그것에 의존했다고까지 말할 수 있습니다.
앞서 언급했듯이 Shlayer는 가짜 플래시 플레이어 다운로드를 이용해 맥에 침투합니다. 그러나 일반 대중이 모르는 사실은, 플래시는 이미 폐기된 프로그램이며 현대의 브라우저는 어떠한 온라인 콘텐츠에 접근할 때도 플래시가 필요 없다는 점입니다.
맥에서 보안과 프라이버시를 유지하기 위해 VPN과 백신 프로그램을 사용하는 것이 여전히 매우 중요하지만, 수많은 악성코드 사태의 가장 큰 원인은 사용자의 무지입니다.
Shlayer 피해자 대부분도 같은 무지 때문에 고통받았습니다. 가짜 플래시 플레이어를 다운로드하는 링크를 클릭했기 때문입니다. 진실은 요즘은 더 이상 플래시가 필요 없다는 것입니다. 이 사실을 조금만 더 많은 사람들이 알았더라면, Shlayer가 수백만 대의 맥을 감염시키며 이렇게 큰 성공을 거두지는 못했을 것입니다.
따라서 Shlayer와 같은 악성코드를 피하기 위해 취할 수 있는 최선의 예방 조치는 단 하나입니다. 수상한 링크를 클릭하지 마세요! 비공식 채널을 통한 라이브 스트리밍 시청이나 무료 콘텐츠를 위해 플래시 플레이어나 다른 소프트웨어를 다운로드하라고 요구하는 웹사이트가 있다면, 그것은 거의 항상 프라이버시를 침해하거나 맥의 안정성을 위협하는 악성 링크입니다.
또한 방문하려는 웹사이트에 대한 정보를 미리 수집하는 것도 도움이 됩니다. 검색을 통해 해당 사이트의 평판과 사용자 후기를 확인하고, 사람들이 신뢰하는 사이트인지 살펴보세요.
마지막으로, 이런 상식적인 조치와 함께 광고 차단 기능을 갖춘 백신 프로그램과 VPN을 결합하세요. 이러한 조합이면 Shlayer처럼 사회공학에 의존하는 악성코드를 포함해 대부분의 악성코드를 충분히 피할 수 있습니다.
결론
macOS는 견고한 운영체제입니다. 하지만 인간의 무지에 대한 유일한 처방약은 인식입니다. macOS든 Windows든 어떤 운영체제도 인터넷 사용자를 기망하는 것을 업으로 삼는 교활한 사이버 범죄자들의 공격으로부터 완전히 안전하지 않습니다. 다음에 나타날 바이러스의 희생자가 되지 않는 유일한 확실한 방법은 비공식 웹사이트에 나타나는 수상한 다운로드 링크를 클릭하고 싶은 유혹을 뿌리치는 것입니다. 아마도 여러분은 인지하지도 못한 채 웹을 떠도는 악성코드의 절반 이상을 이미 피하고 있을지도 모릅니다.
저자 소개: 오사마 타히르(Osama Tahir)는 온라인 프라이버시, 과학, 현대 기술의 사회학적 영향을 다루는 작가입니다. MalwareBytes, Hackernoon, BetaNews에 기고하고 있습니다.