맥OS를 노리는 멀웨어들이라고 하면 애드웨어 정도를 떠올리는 게 보통이었다. 더는 아니다. 이제는 기본 방어 시스템을 우회하는 고급 멀웨어들까지도 속속 등장하는 중이다.
[보안뉴스 문정후 기자] 정보 탈취형 멀웨어의 진화 속도가 심상치 않다. 비교적 ‘저급한’ 멀웨어가 판치던 맥OS 환경에서도 고급 정보 탈취 멀웨어가 등장하기 시작하더니, 이제는 애플의 기본 보안 장치인 엑스프로텍트(XProtect)까지도 우회한다고 한다. 애플의 생태계가 멀웨어로부터 안전하다고 믿고 있다가는 큰코 다칠 확률이 높아지고 있다.
현재 맥OS를 위협하는 정보 탈취형 멀웨어는 크게 세 가지로 분류된다.
1) 키스틸(KeySteal)
2) 아토믹 인포스틸러(Atomic Infostealer)
3) 체리파이(Cherry Pie)
보안 업체 센티넬원(SentinelOne)이 조사한 바에 따르면 키스틸과 아토믹 인포스틸러의 변종들이 특히 능숙하게 엑스프로텍트를 비껴간다고 한다.
맥OS 플랫폼에서 활동하기 위해 만들어진 정보 탈취형 멀웨어가 심각한 위협으로 부상하기 시작한 건 작년 전반부부터다. 그리고 1년만에 본격적인 위협이 되기에 이르렀다. 센티넬원의 위협 연구원인 필 스톡스(Phil Stokes)는 “최근 애플이 엑스프로텍트를 업데이트 했는데, 아마도 최근 정보 탈취형 멀웨어가 활개치고 있는 걸 알고 있는 것으로 보인다”고 말한다.
엑스프로텍트, 어떤 건 잘 막고 어떤 건 못 막고
위의 세 가지 멀웨어 모두 이전부터 존재해 왔던 위협거리지만, 발견된 당시와 지금은 전혀 다른 멀웨어라고 봐도 될 만큼 진화했다고 센티넬원은 경고한다. “키스틸은 2021년에 발견된 멀웨어인데, 지금은 너무나 달라져서 애플도 그에 맞게 엑스프로텍트를 업데이트 했을 정도입니다. 1년 전의 엑스프로텍트로는 아예 탐지가 되지 않고요. 다만 C&C 요소가 하드코딩 되어 있다는 점에서는 예전과 같습니다.”
아토믹 인포스틸러는 작년에 처음 발견됐는데, 이미 공격자들 사이에서는 여러 버전들이 돌아다니고 있다고 센티넬원은 지적한다. 여러 버전이 있다는 건 다양한 공격자들이 이 멀웨어를 자유롭게 구해 사용하고 있다는 걸 암시한다. “그렇기 때문에 각 버전이 제각각의 방향으로 발전할 가능성이 높습니다. 수많은 버전들이 기하급수적으로 파생하기도 할 것이고요. 따라서 아토믹 스틸러라는 이름 아래 이들을 항목화 하고 탐지한다는 게 불가능해지는 시점이 올 겁니다.” 스톡스의 설명이다.
세 번째 주요 정보 탈취형 멀웨어인 체리파이의 경우 개리스틸러(Gary Stealer)라고도 불리는데, 엑스프로텍트가 아직까지는 잘 차단한다. 다만 엑스프로텍트 외의 다른 맥OS용 정적 탐지 솔루션들 중 체리파이를 막지 못하는 게 상당수라고 한다. 체리파이는 고 언어로 만들어졌고 윈도와 맥OS 모두에서 활용이 가능한, 크로스플랫폼 유형의 멀웨어이기도 하다.
맥OS 사용자들, 경계심 높여야
최근 들어 맥OS는 여러 가지 ‘고급 멀웨어’에 자꾸만 감염되는 모습을 보이고 있다. 여태껏 맥OS는 비교적 안전한 플랫폼이라는 인식 속에 사용되어 왔고, 실제로 애드웨어 정도에만 괴롭힘을 받아 왔었다. 이에는 여러 가지 이유가 있지만 윈도 기반 시스템에 비해 사용자 수가 턱없이 적었기 때문에 공격자들이 애써 연구하지 않았던 것이 크게 작용했다. 그러나 얼마 전부터 북한의 해킹 그룹들을 필두로 하여 맥OS를 본격적으로 노리는 움직임이 유행하기 시작했고, 그러면서 맥OS용 멀웨어들의 우후죽순 등장하는 상황이다.
그러므로 맥OS 사용자와 관리자들도 이제는 여느 OS 및 플랫폼의 사용자들처럼 경계심을 높여야 한다고 스톡스는 강조한다. “뿐만 아니라 애플 역시 엑스프로텍트를 보다 부지런히 보강해야 할 것입니다. 시그니처 기반이기 때문에 한계가 있는 솔루션이고, 따라서 조금 더 새로운 대책이 필요하지 않을까 합니다.” 스톡스의 설명이다.
3줄 요약
1. 요즘 맥OS 생태계에도 고급 멀웨어들이 흔히 발견됨.
2. 특히 정보 탈취형 멀웨어들의 발전에 주목해야 할 필요 있음.
3. 윈도 등 공격 빈번한 플랫폼 사용자들처럼 맥OS 사용자들도 경계심 높여야 함.
[국제부 문정후 기자(globoan@boannews.com)]
[보안뉴스 문정후 기자] 정보 탈취형 멀웨어의 진화 속도가 심상치 않다. 비교적 ‘저급한’ 멀웨어가 판치던 맥OS 환경에서도 고급 정보 탈취 멀웨어가 등장하기 시작하더니, 이제는 애플의 기본 보안 장치인 엑스프로텍트(XProtect)까지도 우회한다고 한다. 애플의 생태계가 멀웨어로부터 안전하다고 믿고 있다가는 큰코 다칠 확률이 높아지고 있다.
[이미지 = gettyimagesbank]
현재 맥OS를 위협하는 정보 탈취형 멀웨어는 크게 세 가지로 분류된다.
1) 키스틸(KeySteal)
2) 아토믹 인포스틸러(Atomic Infostealer)
3) 체리파이(Cherry Pie)
보안 업체 센티넬원(SentinelOne)이 조사한 바에 따르면 키스틸과 아토믹 인포스틸러의 변종들이 특히 능숙하게 엑스프로텍트를 비껴간다고 한다.
맥OS 플랫폼에서 활동하기 위해 만들어진 정보 탈취형 멀웨어가 심각한 위협으로 부상하기 시작한 건 작년 전반부부터다. 그리고 1년만에 본격적인 위협이 되기에 이르렀다. 센티넬원의 위협 연구원인 필 스톡스(Phil Stokes)는 “최근 애플이 엑스프로텍트를 업데이트 했는데, 아마도 최근 정보 탈취형 멀웨어가 활개치고 있는 걸 알고 있는 것으로 보인다”고 말한다.
엑스프로텍트, 어떤 건 잘 막고 어떤 건 못 막고
위의 세 가지 멀웨어 모두 이전부터 존재해 왔던 위협거리지만, 발견된 당시와 지금은 전혀 다른 멀웨어라고 봐도 될 만큼 진화했다고 센티넬원은 경고한다. “키스틸은 2021년에 발견된 멀웨어인데, 지금은 너무나 달라져서 애플도 그에 맞게 엑스프로텍트를 업데이트 했을 정도입니다. 1년 전의 엑스프로텍트로는 아예 탐지가 되지 않고요. 다만 C&C 요소가 하드코딩 되어 있다는 점에서는 예전과 같습니다.”
아토믹 인포스틸러는 작년에 처음 발견됐는데, 이미 공격자들 사이에서는 여러 버전들이 돌아다니고 있다고 센티넬원은 지적한다. 여러 버전이 있다는 건 다양한 공격자들이 이 멀웨어를 자유롭게 구해 사용하고 있다는 걸 암시한다. “그렇기 때문에 각 버전이 제각각의 방향으로 발전할 가능성이 높습니다. 수많은 버전들이 기하급수적으로 파생하기도 할 것이고요. 따라서 아토믹 스틸러라는 이름 아래 이들을 항목화 하고 탐지한다는 게 불가능해지는 시점이 올 겁니다.” 스톡스의 설명이다.
세 번째 주요 정보 탈취형 멀웨어인 체리파이의 경우 개리스틸러(Gary Stealer)라고도 불리는데, 엑스프로텍트가 아직까지는 잘 차단한다. 다만 엑스프로텍트 외의 다른 맥OS용 정적 탐지 솔루션들 중 체리파이를 막지 못하는 게 상당수라고 한다. 체리파이는 고 언어로 만들어졌고 윈도와 맥OS 모두에서 활용이 가능한, 크로스플랫폼 유형의 멀웨어이기도 하다.
맥OS 사용자들, 경계심 높여야
최근 들어 맥OS는 여러 가지 ‘고급 멀웨어’에 자꾸만 감염되는 모습을 보이고 있다. 여태껏 맥OS는 비교적 안전한 플랫폼이라는 인식 속에 사용되어 왔고, 실제로 애드웨어 정도에만 괴롭힘을 받아 왔었다. 이에는 여러 가지 이유가 있지만 윈도 기반 시스템에 비해 사용자 수가 턱없이 적었기 때문에 공격자들이 애써 연구하지 않았던 것이 크게 작용했다. 그러나 얼마 전부터 북한의 해킹 그룹들을 필두로 하여 맥OS를 본격적으로 노리는 움직임이 유행하기 시작했고, 그러면서 맥OS용 멀웨어들의 우후죽순 등장하는 상황이다.
그러므로 맥OS 사용자와 관리자들도 이제는 여느 OS 및 플랫폼의 사용자들처럼 경계심을 높여야 한다고 스톡스는 강조한다. “뿐만 아니라 애플 역시 엑스프로텍트를 보다 부지런히 보강해야 할 것입니다. 시그니처 기반이기 때문에 한계가 있는 솔루션이고, 따라서 조금 더 새로운 대책이 필요하지 않을까 합니다.” 스톡스의 설명이다.
3줄 요약
1. 요즘 맥OS 생태계에도 고급 멀웨어들이 흔히 발견됨.
2. 특히 정보 탈취형 멀웨어들의 발전에 주목해야 할 필요 있음.
3. 윈도 등 공격 빈번한 플랫폼 사용자들처럼 맥OS 사용자들도 경계심 높여야 함.
[국제부 문정후 기자(globoan@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
문가용기자 기사보기
[2024-12-22] 
.jpg)
.jpg)
