기술에 어느 정도 밝은 독자라면 컴퓨터가 감염되었다는 소식을 접했을 때 대개 '악성 실행 코드가 시스템의 핵심 보안 기능을 탈취했다'라고 생각하기 마련입니다. 감염 경로는 다양하지만 한 가지 분명한 사실이 있습니다. 바이러스와 실행 코드의 연관성이 워낙 강해서 JPEG나 PNG 이미지, MP3 파일 같은 형식까지 따로 방어해야 한다고는 잘 생각하지 않는다는 점입니다. 그런데 과연 그럴까요? 의외로 JPEG와 PNG 이미지 파일이 페이스북과 링크드인의 메신저 시스템을 통해 컴퓨터를 감염시키는 데 실제로 사용된 적이 있습니다. Engadget의 Jon Fingas가 2016년 11월 27일 보도한 내용입니다.
무슨 일이 벌어지고 있나?
2016년 2월 18일, 시만텍(Symantec)은 웹을 통해 확산되던 랜섬웨어의 새로운 변종으로 밝혀진 상당히 특이한 소프트웨어를 발견했습니다(랜섬웨어가 무엇인지 모른다면 관련 자료를 참고하세요). '락키(Locky)'로 불리는 이 변종은 첨부 파일이 포함된 스팸 이메일을 통해 확산되었으며, 2016년 1월부터 3월까지 매주 약 1만~2만 명의 피해자를 발생시켰습니다. 이런 방식의 바이러스 확산 자체는 크게 놀라운 일이 아닙니다. ZIP 첨부 파일이 담긴 이메일은 1990년대 초부터 해커들의 단골 침투 전략이었으니까요.
그런데 이후 또 다른 일이 벌어졌습니다.
2016년 11월 말, 페이스북과 링크드인 사용자들이 이미지 파일이 첨부된 메시지를 받기 시작했습니다. 겉보기에는 전혀 위험해 보이지 않았지만, 파일을 열면 락키의 새로운 변종이 시스템 파일을 암호화하고 피해자가 200~400달러의 몸값을 지불해야만 잠금을 해제했습니다. 가장 충격적인 부분은 바이러스가 기존의 실행 코드가 아니라 이미지를 통해 확산되었다는 점입니다.
겉과 속이 다른 이야기
소셜 미디어에서 이미지가 감염 수단으로 활용된 것은 사실이지만, 실상은 조금 다릅니다. 락키의 작동 원리를 좀 더 깊이 들여다본 결과, "여러분을 노리는" JPEG 파일들이 출몰한다는 단순한 이야기 이상의 내막이 있음을 알게 되었습니다.
먼저 짚고 넘어갈 점은, 멀웨어를 누군가에게 보낼 때 실제로 전달되는 것은 소셜 미디어에서 '이미지를 받았다'는 착각이라는 것입니다. 페이스북과 링크드인 코드의 결함 때문에 특정 파일이 이미지 아이콘과 함께 전송될 수 있으며, 받는 사람은 상대방의 고양이 사진이나 새로 꾸민 정원 사진처럼 무해한 그림을 받았다고 믿게 됩니다. 하지만 실제로 다운로드되는 것은 HTA 파일입니다. HTA는 1999년부터 존재해 온 아주 오래된 Windows 실행 프로그램입니다(90년대 소프트웨어가 얼마나 무책임하게 설계되었는지를 보여주는 또 하나의 사례라고 할 수 있죠).
간단히 설명하면, HTA 응용 프로그램은 EXE처럼 작동하지만 "mshta.exe" 위에서 동작하며, 관리자가 시스템을 신속하게 수정하는 용도로 사용되던 도구입니다. 실행되는 시스템의 완전한 '신뢰' 권한을 갖고 있기 때문에, 코드가 허용하는 한 어떤 파괴 행위든 자유롭게 수행할 수 있습니다.
감염 예방 방법
일단 락키에 감염되면, 안전 모드로 부팅한 상태에서 제거할 수 있는 안티멀웨어 프로그램을 찾는 것 외에 뚜렷한 대책이 없습니다. 하지만 처음부터 감염을 예방하는 것은 생각보다 어렵지 않습니다. 페이스북에서 이미지 파일을 받았는데 아래 예시처럼 미리보기 화면이 표시되지 않는다면, 파일 다운로드를 요청받게 될 가능성이 높습니다.
파일을 다운로드한 후에는 반드시 확장자를 확인하세요. JPG, JPEG, PNG 등 이미지로 보이는 확장자가 아니라면 바이러스일 가능성이 큽니다. 락키는 HTA 형식으로 발견되었지만, .COM, .PIF, .SCR, .CPL, .JAR, .APPLICATION, .EXE, .MSI 등 다른 종류의 실행 파일로 위장할 수도 있습니다. 평소 파일 확장자를 유심히 살피고, 낯선 형식의 파일은 경계하는 습관이 중요합니다. 받은 파일이 진짜 이미지인지 확인하는 확실한 방법 중 하나는, 윈도우 탐색기에서 보기 방식을 '큰 아이콘'으로 변경했을 때 미리보기 썸네일이 표시되는지 확인하는 것입니다.
그 밖에 유용한 보안 팁이 있으신가요? 댓글로 공유해 주세요!