Mac은 상대적으로 보안이 강력하고 바이러스가 침투할 가능성이 거의 없는 운영체제로 알려져 있습니다. 하지만 일부 악성코드 제작자들은 여전히 관리자 권한을 우회하여 웹 브라우저의 기본 설정을 변경하는 방법을 찾아내곤 합니다. 최근 Apple 시스템을 위협하는 Bing 리디렉션 Mac 바이러스가 바로 그 대표적인 사례입니다.
이른바 'Bing 바이러스'는 사용자의 웹 검색을 정상적인 bing.com으로 강제 전환합니다. Yahoo나 Google 같은 검색 엔진에서 단어를 검색하려고 할 때마다 교묘하게 작동하는 코드가 페이지를 Bing 검색 결과로 바꿔버리는 것입니다. 더 큰 문제는 일반적인 방법으로는 브라우저 설정을 되돌릴 수 없다는 점입니다. 선호하는 검색 공급자를 직접 지정해도 브라우저를 다시 실행하면 설정이 초기화되고 Bing 리디렉션이 다시 나타납니다.
그 원인은 의외로 간단합니다. 리디렉션 바이러스가 사라지지 않고 백그라운드에서 계속 작동하고 있기 때문입니다. 아무리 설정을 변경해도 바이러스가 다시 덮어쓰기 때문에, 문제를 근본적으로 해결하려면 원인이 되는 프로그램을 찾아 Mac에서 완전히 제거해야 합니다. Bing 리디렉션 바이러스의 배후에 있는 악성코드 제작자들의 목적은 트래픽 수익화입니다. 이들은 광고주와 제휴하여 고유 클릭수와 페이지 조회수로 이익을 얻습니다.
Bing 리디렉션 바이러스의 유포 경로
이 악성코드에 감염되는 것은 대부분 피해자가 스스로 설치하면서 발생합니다. 즉, 본인도 모르는 사이에 감염을 허용하는 경우가 많습니다. 악성 애플리케이션은 정상적인 소프트웨어에 숨어 함께 Mac에 침투하는 경우가 많으며, 이 방식을 '번들(bundling)'이라고 합니다. 하나의 소프트웨어처럼 위장해 여러 프로그램을 몰래 설치하는 수법입니다.
실제로 MS Office를 설치한 사용자들 사이에서 Bing 감염 사례가 다수 보고되었습니다. 가짜 Adobe Flash Player 업데이트 역시 주요 유포 통로 중 하나입니다. 또한 Mac Cleanup Pro와 유사한 불량 백신 프로그램이나 시스템 최적화 도구와 함께 감염된 사례도 있습니다. 아이콘 디자인 도구 같은 무료 브라우저 확장 유틸리티를 설치하다가 감염되는 경우도 흔합니다.
감염 증상
브라우저 리디렉션은 이 공격의 가장 두드러진 증상이지만, 유일한 피해는 아닙니다. 웹사이트에 가짜 광고가 삽입되는 것도 대표적인 증상입니다. 게다가 Bing 리디렉션 바이러스는 사용자의 검색 기록, 위치 정보(GEO), 시스템 정보 등 개인 데이터까지 수집합니다.
스캐어웨어(scareware) 방식의 활동도 특징적입니다. 가짜 광고로 사용자에게 악성코드 제거 라이선스 구매를 압박하고, 수많은 보안 문제가 담긴 가짜 진단 결과를 보여줍니다. Mac에 바이러스가 있다고 알리는 것은 물론, 기기 메모리가 부족하다는 알림까지 표시하기도 합니다. 결국 이 모든 행위의 목적은 피해자가 돈을 지불하도록 만드는 것입니다.
바이러스의 잔존성
브라우저를 업데이트한다고 해서 Bing 리디렉션 바이러스가 사라지지 않습니다. 브라우저나 시스템을 수동으로 재설정해도 다음 재부팅까지만 효과가 있을 뿐입니다. Bing 리디렉션의 핵심 잔존 요소는 바로 기기 구성 프로파일(configuration profile)입니다. Mac 악성코드가 손쉬운 제거를 막기 위해 자주 사용하는 수법입니다.
Mac에서 Bing 리디렉션 바이러스 제거 방법
아래의 상세 지침에 따라 제거 과정을 진행하세요. 반드시 안내된 순서대로 모든 단계를 따라야 합니다.
1) Mac의 Finder에서 이동(Go) 메뉴를 클릭한 후 유틸리티(Utilities)로 이동합니다.
2) 활성 상태 보기(Activity Monitor)를 찾아 더블클릭합니다.
3) 활성 상태 보기 내에서 의심스러운 프로세스를 찾습니다. 익숙하지 않으면서 시스템 자원을 많이 소모하는 항목에 주목하세요. 프로세스 이름이 악성코드의 실제 모습과 관련이 없을 수 있으므로 스스로 판단해야 합니다. 의심되는 프로세스를 찾았다면 해당 항목을 클릭하고 좌측 상단의 중지(Stop) 버튼을 선택합니다.
4) 프로세스를 종료할 것인지 묻는 대화상자가 나타나면 강제 종료(Force Quit)를 클릭합니다.
5) 다시 Finder의 이동(Go) 아이콘을 선택하고, 이번에는 폴더로 이동(Go to Folder)을 클릭합니다.
6) 폴더 검색창에 /Library/LaunchAgents를 입력하고 이동(Go)을 클릭합니다.
7) LaunchAgents 폴더에서 의심스러운 항목을 찾습니다. Bing 검색 리디렉션이 생성한 파일 역시 겉보기에 악성으로 보이지 않을 수 있으므로, 최근 추가된 모든 항목을 꼼꼼히 살펴보는 것이 좋습니다. 수상한 파일을 발견하면 휴지통(Trash)으로 드래그합니다.
다음은 Bing 리디렉션과 관련된 불량 LaunchAgents의 예시입니다.
8) 다시 폴더로 이동을 클릭하고 ~/Library/Application Support를 입력합니다. 이때 시작 부분의 물결표(~) 기호도 반드시 포함해야 합니다.
9) Application Support 폴더에서 최근 생성된 폴더를 모두 찾아 휴지통으로 이동합니다. 잘 알지 못하는 앱과 관련 없는 파일은 삭제하세요.
10) 폴더로 이동 입력란에 ~/Library/LaunchAgents를 입력합니다. 여기서도 물결표(~) 기호를 빠뜨리지 마세요.
11) 이제 OS가 홈(Home) 디렉터리에 있는 모든 LaunchAgents를 표시합니다. 여기에서도 Bing 검색 악성코드와 관련된 의심 파일을 찾아야 합니다. 발견하면 수상한 항목들을 휴지통으로 옮깁니다.
12) 이번에는 /Library/LaunchDaemons로 이동합니다.
13) LaunchDaemons 폴더에도 악성코드가 사용하는 파일이 저장되어 있을 수 있습니다. Mac 악성코드가 사용하는 항목의 예로는 com.startup.plist, com.pplauncher.plist 등이 있습니다. 의심스러운 파일은 휴지통으로 이동하세요.
14) 이동(Go) 아이콘을 클릭하고 응용 프로그램(Applications)을 선택합니다.
15) 관리자 비밀번호를 입력합니다. 본인이 의도적으로 설치하지 않은 앱을 확인하여 휴지통으로 보냅니다.
16) Apple 메뉴로 이동하여 시스템 환경설정(System Preferences)을 클릭합니다.
17) 사용자 및 그룹(Users & Groups)으로 이동한 후 로그인 항목(Login Items)을 선택합니다.
모든 시작 프로그램이 이 목록에 표시됩니다. 불필요한 앱을 찾아 마이너스('-') 버튼을 눌러 제거합니다.
18) 이제 시스템 환경설정 아래의 프로파일(Profiles)로 이동할 차례입니다. 좌측 사이드바에 현재 구성 프로파일이 모두 표시됩니다. 대부분의 경우 정상적인 프로파일은 하나뿐입니다. 악성코드가 생성한 추가 프로파일이 있다면 삭제하세요. Chrome Settings, AdminPrefs 등이 악성 구성 프로파일의 대표적인 예입니다. 해당 항목을 클릭하고 마이너스('-') 버튼을 선택해 제거합니다.
웹 브라우저에서 Bing 검색 리디렉션 제거하기
악성코드가 Mac 시스템에 침투하면 시스템에서 바이러스와 그 구성 요소를 제거했더라도 설치된 모든 브라우저가 이미 오염되어 있는 경우가 많습니다. Bing 광고와 리디렉션을 완전히 없애려면 모든 브라우저를 기본 설정으로 복원해야 합니다.
이 글에 대한 생각이 있으신가요? 아래 댓글로 의견을 남겨주시거나 Twitter, Facebook에서 토론에 참여해 보세요.