또입니까, 레노버. 진심으로요?
예상하셨겠지만, 레노버가 다시 한번 프라이버시를 위협하는 악성코드가 탑재된 컴퓨터를 고객에게 배송하다 적발되었습니다. 슈퍼피시(Superfish) 사건으로 여론의 뭇매를 맞았던 교훈을 전혀 배우지 못한 모습입니다.
이번에 발견된 악성코드는 매일 실행되며 개인 사용 데이터를 수집한 뒤, 2009년 어도비(Adobe)에 인수된 온라인 마케팅·웹 분석 업체인 옴니처(Omniture)로 은밀히 전송합니다.
더 놀라운 점은 이 악성코드가 레노버의 씽크패드(ThinkPad), 씽크센터(ThinkCentre), 씽크스테이션(ThinkStation) PC에서 발견되었다는 사실입니다. 이 제품군은 레노버 라인업 중 최고급형으로, 동급 애플 컴퓨터에 맞먹는 가격대에 파워 유저와 기업 사용자를 겨냥해 판매되는 제품입니다.
그렇다면 대체 무슨 일이 있었던 걸까요?
레노버는 당신을 감시하고 있습니다
이 악성코드를 처음 발견한 사람은 ComputerWorld 칼럼니스트이자 '디펜시브 컴퓨팅(Defensive Computing)' 칼럼을 집필하는 마이클 호로위츠(Michael Horowitz)였습니다.
호로위츠는 최근 IBM에서 노트북 두 대를 구매했습니다. 하나는 씽크패드 T520, 다른 하나는 씽크패드 T420이었으며, 두 대 모두 리퍼브 제품으로 윈도우 7 프로페셔널이 새로 설치되어 배송되었습니다.
구매 직후 그는 TaskSchedulerView를 설치했습니다. NirSoft에서 제공하는 이 무료 프로그램은 윈도우에 예약된 작업을 손쉽게 확인할 수 있게 해줍니다. 그런데 두 노트북 모두에서 의심스러운 항목을 발견했습니다. 매일 컴퓨터에서 "Lenovo Customer Feedback Program 64"라는 프로그램이 실행되고 있었던 것입니다.
이 프로그램의 제작자는 명백합니다. 작성자가 "Lenovo"로 표기되어 있었고, 설명에는 "이 작업은 고객 피드백 프로그램 데이터를 레노버로 업로드합니다"라고 적혀 있었습니다. 하지만 실제로는 앞서 언급한 마케팅 회사인 옴니처로 데이터가 전송되고 있었습니다. 정확히 어떤 데이터를 수집했는지는 불분명합니다.
그러나 분명한 사실은 하나 있습니다. 아마도 아무도 끝까지 읽지 않을 페이지 수십 장짜리 EULA(최종 사용자 라이선스 계약서)에 이를 숨겨놓음으로써 이런 행태가 가능했다는 점입니다. EULA를 꼼꼼히 읽는 사람은 없으니까요.
글 후반부에서 영향을 받은 기기를 사용 중일 때 레노버 고객 피드백 프로그램을 제거하는 방법을 알아보겠습니다. 다만 그 전에, 지난 몇 달간 레노버가 저질러 온 프라이버시 관련 문제들을 먼저 짚고 넘어가는 것이 좋겠습니다.
슈퍼피시(SuperFish) 사건
지난 한 달간 레노버가 저지른 자충수 중 올해 2월의 슈퍼피시 스캔들만큼 공개적이고 참담한 사건은 드물었습니다. 자세한 경위가 궁금하다면 크리스찬 카울리(Christian Cawley)의 훌륭한 보도를 확인해보시기 바랍니다.
간단히 요약하면, 작년 레노버는 슈퍼피시라는 소프트웨어가 탑재된 중저가 노트북을 대량 출시했습니다. 레노버의 공식 입장으로는 소비자가 "시각적으로 제품을 찾고 발견할 수 있도록" 돕기 위한 조치였다고 합니다. 하지만 실체는 사용자의 웹 브라우저를 가로채 자사 광고를 삽입하는 악질적인 악성코드였습니다.
문제는 거기서 끝나지 않았습니다. 슈퍼피시는 자체 서명된 루트 HTTPS 인증서를 주입해 모든 암호화 트래픽을 가로챌 수 있게 만들었습니다. HTTPS는 인터넷 뱅킹과 온라인 쇼핑의 보안을 책임지는 핵심 기술인데, 슈퍼피시는 사실상 이 기반을 무너뜨린 셈입니다.
HTTPS를 깨뜨림으로써 아마존 같은 보안 웹사이트에도 광고를 삽입할 수 있게 되었습니다. 필자의 동료 단 앨브라이트(Dann Albright)가 올해 초 SSL 하이재킹에 대한 설명 기사를 작성한 바 있습니다. 더 심각한 것은 이것이 개인 보안 자체를 근본적으로 훼손한다는 점입니다. 게다가 감염된 모든 기기에 동일한 암호화 키를 사용했다는 치명적인 결함까지 있었습니다.
끔찍한 관행에, 끔찍한 보안입니다. 하지만 믿어주세요. 상황은 훨씬, 훨씬 더 나쁩니다.
지울 수 없는 BIOS 기반 악성코드
올해 8월, 레노버가 컴퓨터를 포맷해도 제거할 수 없는 원치 않는 악성코드를 노트북에 탑재해 왔다는 사실이 밝혀졌습니다.
잘 생각해보세요. 하드 드라이브를 교체하고 윈도우를 재설치해도 악성코드는 여전히 남아있었다는 뜻입니다. 선택지는 노트북을 제조사에 반품하거나, 리눅스나 BSD 같은 대체 OS를 설치하는 것뿐이었습니다.
이 악성코드는 노트북의 펌웨어에 숨겨져 있었고, 윈도우 8과 10의 도난 방지 기능을 악용했습니다. 노트북이 부팅될 때마다 실행 파일이 펌웨어에서 추출되어 설치되었습니다. 펌웨어에 존재했기 때문에 삭제되지 않고 계속 남아있었던 것입니다.
레노버는 이를 통해 소비자에게 원키 옵티마이저(OneKey Optimizer)를 강제로 설치했습니다. Ars Technica가 지적했듯이, 이 프로그램은 시스템 드라이버 업데이트 같은 유용한 유지 관리 기능도 일부 수행합니다. 하지만 성능 "최적화"나 "시스템 정크 파일" 청소처럼 실질적 가치가 의심스러운 작업도 함께 수행합니다.
설상가상으로 원키 옵티마이저는 보안 취약점으로 가득 차 있었습니다. 버퍼 오버플로우와 불안전한 네트워크 연결이 곳곳에 존재했습니다. 결코 자발적으로 설치하고 싶은 프로그램이 아니었던 셈입니다.
레노버는 해당 펌웨어가 탑재된 노트북의 출하를 중단했고, 영향을 받은 노트북용 교체 펌웨어를 배포했습니다.
보시다시피, 레노버는 고객의 프라이버시를 존중하지 않는 데 있어서는 재범률이 상당한 업체입니다. 그렇다면 이번 레노버의 실수에는 어떻게 대처해야 할까요?
해결 방법
아는 것이 첫 번째 전투입니다. 사용 중인 노트북이 씽크스테이션, 씽크센터 또는 씽크패드라면 감염 가능성이 있습니다. 먼저 TaskSchedulerView를 내려받아 "Lenovo Customer Feedback Program 64"가 실행 중인지 확인하세요.
만약 해당 항목이 있다면 운이 없으신 겁니다. 레노버가 당신을 감시해 왔던 것입니다. 하지만 몇 가지 선택지가 있습니다:
- 제어판에서 수동으로 제거합니다. 프로그램 및 기능 목록에 표시되어 있으며, 제거를 클릭하고 안내 대화상자를 따라가면 완료됩니다.
- 90일이 지나면 악성코드가 결국 스스로 삭제됩니다. 다만 어떤 정보를 외부로 전송하는지 알 수 없으므로 그렇게 오래 기다리는 것은 권장하지 않습니다.
- 주도권을 쥐고 윈도우를 GNU/리눅스로 교체할 수 있습니다. 범용 데스크톱 OS로는 우분투(Ubuntu)를 추천합니다.
부디 레노버 제품 구매를 멈춰주세요
레노버는 교훈을 얻지 못했습니다. 그들은 고객을 존중하지 않습니다. 당신의 프라이버시와 보안도 존중하지 않습니다. 그들의 제품을 구매해서는 안 됩니다.
게다가 이는 사용자에 대한 노골적인 무례함을 보여줍니다. 노트북을 구매하면(씽크패드는 값이 비싸다는 점을 기억하세요), 보증과 지원 사항을 제외하고는 소유권을 넘겨받는 시점에 거래 관계가 끝나야 마땅합니다. 노트북 제조사가 자신들의 이익을 위해 당신을 능동적으로 감시할 것이라고 기대해서는 절대 안 됩니다.
그러니 부디, 다시 한번 말합니다. 레노버 제품 구매를 멈춰주세요. 그것이 그들이 깨달을 수 있는 유일한 방법입니다.
이 악성코드가 설치된 컴퓨터를 사용 중이시거나, 레노버 대신 추천할 만한 PC 제조사가 있다면 의견을 들려주세요. 아래에 댓글을 남겨주시면 함께 이야기 나누겠습니다.
사진 출처: VedMe85의 Chip on Motherboard (Shutterstock 제공)