제 4의 웜 바이러스 창궐지「인스턴트 메신저」

지난해 몇몇 악성 웜, 바이러스가 3종류의 보편적인 전송 매체인 이메일, 네트워크 스캐닝, 파일 공유를 통해 전파됐다. 양질의 패치 정책과 강력한 보안 태세를 갖춘 업체는 대규모 감염 사태를 방지할 수 있었지만 몇 번의 공격은 허점을 파고들어 네트워크에 문제를 야기시켰다.

인스턴트 메신저는 이제 어디에서나 흔하게 볼 수 있다. 현재 출시된 윈도우는 자동으로 최소 하나 이상의 인스턴트 메신저 클라이언트를 설치하며 PDA와 휴대폰에도 인스턴트 메신저가 탑재되고 있다.

인스턴트 메신저를 이용한 공격이 특히 위험한 이유는 감염 여부가 잘 드러나지 않기 때문이다. 인스턴트 메시저를 통해 감염시키는 것은 기존 공격방식보다 아주 적은 수의 접속만 이뤄지면 된다.

현재 횡행하고 있는 웜 바이러스는 전파되는데 시간이 걸린다. 스캐닝, 이메일 배포, 파일 공유를 감염 경로로 이용하려면 호스트를 찾아내야 하기 때문이다. 이런 과정은 대량의 비생산적인 트래픽을 유발한다.

예를 들어 가장 전파속도가 빠른 웜 중 하나엿던 MS블래스트는 너무나 많은 트래픽을 유발해 ISP를 서비스 불능 사태에 빠뜨렸으며 911 응급 전화와 같은 우선 순위가 높은 서비스에까지도 영향을 미쳤다.

이와 대조적으로 인스턴트 메신저 기반 공격은 트래픽을 거의 유발시키지 않는다. 일단 한 컴퓨터를 감염시키기만 하면 대화 목록에 직접 접근할 수 있기 때문에 누가 온라인인지 쉽게 알 수 있다. 단지 몇몇 대화상대에게 요청을 보내기만 하면 된다.

감염되지 않은 대화 상대가 온라인에 들어오면 웜은 새로 요청을 보내고 해당 대화상대를 목록에서 제거한다. 효율성을 높이기 위해 웜은 호스트와 사용자 감염 리스트를 분산 관리하고 이미 감염된 호스트를 재감염시키는 불필요한 노력은 하지 않을 것이다.

게다가 감염과 전파를 위해 쓸데없는 시도들로 인터넷이 막히는 일이 없기 때문에 경보도 울리지 않을 것이다. 또한 감염된 컴퓨터는 성능 저하나 동작의 변화도 전혀 없을 것이다.

이런 공격은 사회공학적인 측면에서 두가지 색다른 가능성을 보여주고 있다.

인스턴트 메신저를 사용하는 사람의 PC를 감염시키려면 특정 행위를 해야 한다고 가정해보자. 인스턴트 메신저 서비스들은 대부분 다른 사용자의 프로필을 볼 수 있도록 허용하고 있다. 프로필에는 직장 동료, 친구와 같은 분류정보부터 시작해 성별, 나이, 직업과 같은 주관적인 정보도 올라와 있다.

이것을 이용하면 악성 코드는 몇가지 가능성을 타진해볼 수 있다. 직장 동료들에게는 특정 문서를 검토해보라는 메시지를 보내고 친구에게는 지난주 가졌던 파티 사진을 보낼 수도 있다. 또한 기록 기능까지 갖고 있다면 자주 사용되는 대화내용을 탐색, 반복함으로써 감염의 위험을 높일 수 있게 된다.

사용자가 시스템 감염에 거의 책임이 없다는 것도 매우 위험한 점이다. 그러나 일단 감염되기만 하면 확산 가능성은 끝도 없이 커진다.

더 나쁜 사실은 많은 조직들이 인스턴트 메신저를 네트워크상에서 차단시키고 있다는 점이다. 인스턴트 메신저 사용을 금지당한데 불만을 품은 직원들은 HTTP 프로토콜과 같은 보편적인 애플리케이션을 통해 인스턴트 메신저를 사용하려 할 것이다.

이런 경우 인스턴트 메신저 통신은 보편적이고 사용빈도가 높은 애플리케이션에 포함돼 흘러들기 때문에 일반적인 네트워크 감시 툴은 정상 트래픽으로 간주해버린다. 게다가 감염 사실을 노출시키는 비정상적인 접속 시도 또한 없다.

암호화도 웜 검출 문제를 야기시킨다. 데이터 상실이나 도난에 대한 두려움 때문에 인스턴트 메신저의 통신 내용이 암호화되면 네트워크 기반 서명 모델을 사용하는 인스턴트 메신저 웜의 검출은 사실상 불가능해진다.

인스턴트 메신저를 통한 초기 공격이 현재까지는 적은 피해만을 줬을지 모르지만 공격 횟수가 갈수록 늘어난다는 것은 명약관화다. 인스턴트 메신저를 공격 툴로 사용하는데 따른 이점과 인스턴트 메신저를 수용하는 기기가 갈수록 증가하는 추세로 인해 인스턴트 메신저 기술은 차세대 웜의 전파방법에 가장 유력한 것으로 꼽히고 있다.

기업들은 항상 내부 전용 인스턴트 메신저 시스템을 설치하도록 결정할 수 있다. 그러나 이런 조치가 개인적으로 사용하는 다른 메신저를 완전히 금지시키는 것과 같지는 않다.

네트워크, 보안 관리자가 취할 수 있는 가장 안전한 방법은 인스턴트 메신저 사용에 강력한 정책을 수립, 행사하고 직원들이 따르도록 유도하는 것이다. 이럴 때에만 새로운 약점이 발견되거나 바이러스가 공격할 때 어떤 패치를 적용해야 할지 바로 알 수 있다. 

윌리엄 ‘샌디’ 버드는 Q1 랩스를 공동으로 창업했으며 현재 CTO로 재직중이다
 　

블루투스 폰, 해킹에「무방비 노출」

핀란드의 휴대폰 제조업체 노키아는 블루투스 기술을 탑재한 자사 일부 휴대폰이 ‘블루스나핑(bluesnarfing)’ 공격에 취약하다는 사실을 공식 확인했다. 블루스나핑은 휴대폰 보안 취약점을 이용, 폰에 저장된 전화번호목록이나 일정표를 읽고 변형시키고 복사하는 등의 해킹을 말한다. 휴대폰에는 아무런 침투 흔적도 남지 않는다.

이에 앞서 네트워크·보안업체인 AL디지털은 무선 데이터 기술인 블루투스에 보안 취약점이 존재하며, 이를 이용해 블루스나핑과 같은 해킹이 가능하다는 사실을 밝혀냈다고 9일 발표했다.

AL디지털은 노키아, 소니에릭슨, 에릭슨 등에서 발표한 일부 블루투스 휴대폰이 이 같은 취약점을 갖고있지만 특히 노키아의 일부 제품들은 블루투스 연결을 차단하는 ‘인비저블(invisible) 모드’에서도 해킹을 당할 수 있기 때문에 훨씬 더 위험하다고 경고했다.

이와 관련, 한 노키아 관계자는 ZDNet UK에 “일부 블루투스 폰에 사용자 모르게 전화번호부, 일정표와 그외 폰에 저장된 여러가지 정보를 열람하고 변형시킬 수 있는 보안 문제가 있다는 점을 알고 있다”고 말해, 보안 취약점 존재를 인정했다.

이 관계자는 “그러나 이 같은 해킹은 휴대폰이 블루투스 연결을 허용하는 ‘비저블(visible)’ 모드에 있을 때, 또는 다른 블루투스 기기를 검색중인 상황일 때만 가능하다”고 주장했다. “비저블 모드, 또는 블루투스 기능이 활성화된 상태에서 일부 제품이 블루스나핑 공격을 받을 수 있다. 다른 업체의 휴대폰들도 노출되긴 마찬가지”라고 노키아측은 밝혔다.

노키아는 “공격자가 7650 모델에 실제로 접속한다면 단순한 블루스나프 공격뿐 아니라 단문메시지(SMS)를 보내거나 심지어 이를 통해 인터넷도 이용할 수 있다”고 전했다.

실험결과 6310 모델에서는 이 같은 공격이 이뤄지지 않았다고 노키아 측은 밝혔으나, 그외 다른 제품들에 대해서는 언급하지 않았다.

한편 노키아는 6310i 휴대폰은 ‘감염된' 블루투스 메시지를 수신할 경우 서비스거부(DoS) 공격을 받을 수 있다고 경고했다. 회사 관계자는 “악의적인 해커가 6310i를 대상으로 감염된 블루투스 메시지를 전송해 재부팅을 시도할 경우 DoS 상황이 발생할 수 있다”고 밝혔다.

그는 “실제로 6310i를 다운시키는 메시지를 확인했다”면서 DoS로 휴대폰이 다운될 경우 리셋하면 다시 정상적으로 동작한다고 밝혔다.

한편 소니에릭슨 측은 “이 문제에 대해 연구 중이며 곧 공식 성명을 발표할 것”이라고 ZDNet UK에 전했다.

휴대폰이 가장 취약…노트북도 노출되긴 마찬가지
영국에 소재한 AL 디지털은 특히 노키아의 4가지 휴대폰 모델이 블루스나프 공격에 취약하다고 밝혔다. 이중 일부는 인비저블 모드에서도 다른 모델보다 더 취약한 것으로 드러났다. 인비저블 모드는 블루투스 휴대폰이 자신의 ID를 숨겨 다른 블루투스 기기와의 연결을 사전에 차단하는 모드다.

AL디지털 최고보안책임자(CSO) 아담 로리는 “일부 모델은 비저블 모드에서만 해킹 위험이 있지만 인비저블 모드에서도 위험한 모델이 있다”고 말했다.

그는 AL디지털이 몇가지 개념증명(proof-of-concept) 유틸리티들을 개발했지만 아직 발표는 하지 않았다고 밝혔다. 그 중 하나인 ‘블루스텀블러’는 비저블 모드 상태인 블루투스 기기를 모니터링하면서 ID와 MAC 주소, 신호 강도, 기능 등의 정보를 기록하고 MAC 주소검색을 통해 제조사를 확인할 수 있으며, ‘블루스나프’는 대상 기기에서 데이터를 복제할 수 있다.

		CDMA·블루투스 동시지원 휴대폰「T608」

AL디지털이 운영하는 블루스텀블러 사이트에서는 에릭슨 T68, 소니에릭슨 R52m, T68i,T610, Z1010과 노키아 6310, 6310i, 7650, 8910, 8910i 등이 보안에 취약한 모델로 지목되고 있다.

로리는 “블루투스 장비가 보안상 안전한지 테스트해달라는 요구가 들어와 이를 시행하는 가운데 이번 보안 취약점을 발견하게 됐다”면서 “나는 고객이나 직원을 위해 어떤 새로운 기술을 설치하기전 그 기술을 검토·사용해보고 안전함을 확인해야 할 책임이 있다”고 말했다.

그는 이어 “제조업체들의 말을 액면 그대로 믿지 않는다. 실제로 시험해본 결과 블루투스 기기가 보안상 결코 안전하지 않다는 사실이 입증됐다”고 덧붙였다.

로리는 자신의 노트북으로도 블루투스 모드에서 블루스나핑 공격을 간단히 실행할 수 있다고 설명했다. 그는 “이 노트북은 흔한 제품이다. 한가지 다른 점이 있다면 블루투스 기능을 이용하기 위해 설치한 소프트웨어 뿐”이라면서 “이 소프트웨어의 블루투스 스택(stack)을 약간 변형시킨 것 만으로도 블루스나핑 공격을 할 수 있다” 고 말했다.

그는 또 “블루스나핑은 공격 후 아무런 흔적도 남기지 않기 때문에 공격받은 사용자는 어떤 데이터가 유출됐는지도 알 수 없다. 즉, 사용자가 공격받은 사실조차도 눈치챌 수 없는 잠재 위험성이 상당히 큰 해킹"이라고 경고했다.

휴대폰 외에 노트북과 같은 다른 블루투스 기기도 블루스나핑 공격에 노출될 수는 있지만 휴대폰에 비해 시스템이 복잡하기 때문에 공격 대상으로 삼기가 상대적으로 어렵다.

로리는 “휴대폰 메뉴구조와 사양은 한정적이라 공격받을 위험이 노트북보다 훨씬 높다. 휴대폰 업체들이 블루투스 사용법을 쉽게 만들기 때문에 옵션도 얼마 없어 사실 대부분 핸드폰에서 블루투스 옵션은 활성화/비활성화 정도 뿐”이라고 말했다.

현재로서는 이 같은 불루스나핑 공격을 막을 수 있는 방법은 없기 때문에 안전을 보장하려면 블루투스 기능을 꺼두는 수 밖에 없다고 로리는 전했다.

노키아 측은 “블루스나핑 공격은 일부 모델에만 국한된데다 대규모로 발생할 확률도 작기 때문에 즉각 이에 대한 수정을 발표하지는 않을 것”이라고 밝혔다. 이 회사는 “공공장소에 있을 때는 휴대폰을 인비저블 모드로 하거나 블루투스 기능을 끄라”고 사용자들에게 권고하고 있다.