최근 발표된 보고서에서 정부의 스파이 행위 가능성 지적

[보안뉴스 문가용] 최근 카스퍼스키랩(Kaspersky Lab)과 시티즌 연구소(Citizen Lab)에서 따로 발표한 보고서에 의하면 세계 곳곳의 정부기관에서 시민들의 전화기에 침입해 감시하는 행위가 더 쉬워졌다.

이 두 곳의 연구원들은 ‘합법적인’ 멀웨어의 대량 이식을 위한 비밀 C&C 인프라의 지형을 파악했을 뿐 아니라 모바일용 트로이목마가 어떤 방식으로 사용자의 정보를 캐내 전송하는지도 밝혀냈다. 이번 보고서에서 특히 주목할만한 것은 안드로이드와 iOS에서 활동하는 트로이목마들을 분석한 부분으로 이전까지 그 존재에 대해서는 여러 가지 이야기가 있긴 했지만 확실하게 분석해낸 건 이번이 처음이다.

연구원들은 원래 어떤 RCS(원격 통제 시스템) 툴을 꾸준히 분석해왔다. 이 툴은 이탈리아의 ‘해킹팀(HackingTeam)’이라는 곳에서 갈릴레오(Gallileo)라는 이름으로 홍보하고 있었으며 정부기관을 주 고객으로 하고 있었다. 카스퍼스키랩의 연구원들은 이미 이 RCS의 C&C 서버를 찾아내는 방법을 발견하고 작년에 발표까지 한 바 있다. 이것을 통해 RCS의 C&C 서버가 어디에 있는지 짚어내는 것이 가능해졌고, 그것이 발전해 이 보고서가 시작된 것이라고 볼 수 있다.

서버는 세계 곳곳에 있었다. 특히 북미, 남미, 유럽, 아시아에 집중적으로 퍼져 있었고 미국, 카자흐스탄, 에콰도르가 제일 많은 서버를 보유하고 있었다. “서버가 많은 지역 혹은 나라라고 해서 정부가 비밀리에 시민들을 감시하고 있다고 볼 수는 없습니다.” 카스퍼스키랩의 수석 보안연구원인 세르게이 골로파노프(Sergey Golovanov)가 설명을 덧붙였다. “하지만 상식적으로 봤을 때 그런 서버가 있다는 건 가까운 곳에 사용자가 있다는 뜻이죠. 그래야 여러 가지 법적인 소요가 줄고 기술 지원이 가능해지니까요.”

시티즌 연구소 측은 익명의 제보자로부터 서류를 받은 것으로부터 추적이 시작되었다고 했다. 이 서류에는 RCS 인프라가 어떤 방식으로 작동하는지가 상세히 나와 있었다고 한다. 서버가 분산된 정도나 방법에 따라 다르지만 RCS를 활용하면 인터넷 공급자와의 긴밀한 협조를 통한 네트워크 침투, ‘미끼 앱’ 활용, 모바일 인스톨러, QR 코드, WAP 푸시 메시지 등 수십 가지의 방법으로 사용자를 감시하는 게 가능해진다고.

두 기관의 연구원들은 이 수십 가지의 방법 중 안드로이드와 iOS의 트로이목마들을 집중해서 분석했다. 이 트로이목마들은 굉장히 눈에 안 띄며 음성녹음 기능을 한다거나 특정 네트워크에 연결됐을 때만 작동하게 한다는 등 특정 조건에서만 발동할 수 있도록 세밀하게 조정하는 게 가능하기 때문이다.

그렇게 한 번 발동한 트로이목마는 서버로 사용자의 위치정보, 전화에 저장된 사진, 문자메시지 기록, 스카이프나 왓츠앱 등을 통한 통화기록 등을 서버로 전송한다. iOS 트로이목마의 경우 ‘탈옥한’ 전화기에만 침투가 가능한데, 이는 정부가 마음만 먹으면 사용자 기기의 강제 탈옥도 감행할 수 있어 큰 장애가 되지 않는다.

“그렇게 모바일 기기로 침투한 후에는 대상의 컴퓨터로도 침투가 가능해진다”고 카스퍼스키랩 보고서는 경고하고 있다. “컴퓨터로 침투해서 마이크를 몰래 활성화시키거나 사진을 주기적으로 찍는 방식으로 대상을 감시하는 게 가능하다. 이는 우리가 영화에서 보던 첩보영화보다 훨씬 간편하고 효율적이다.” 시티즌 연구소 측은 해킹팀이 개발한 RCS 툴의 놀라운 점은 기술력이 아니라 잠재 고객에게 제공하는 편의성이라고 한다. 파급력에 비해 기술력 자체는 그리 높지 않다는 평.

“사실 이 소프트웨어 자체는 매일 잠재 범죄인들 혹은 보안위협 요소들을 감시하기 위한 목적으로 만들어졌습니다. 자연히 이런 감시로부터 자신을 더 꽁꽁 감싸는 사람들이 생겨났고, 더 단단해지는 방어막을 뚫어야 하다보니 오로라(Aurora)처럼 더 강력한 기능을 가진 소프트웨어도 등장하고 있고요. 문제는 이전엔 이런 ‘스파이’ 행위가 굉장히 비싸서 아무나 할 수 없었는데 이젠 여러 정부에서 충분히 생각해봄직한 수단이 되어버렸습니다.” 범죄를 억제하려고 만들어진 툴이 정치적으로도 얼마든지 활용(혹은 악용)이 가능해지고 있어서 또 다른 의심을 낳고 있다.

ⓒDARKReading

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>