취약점보다 신뢰를 노린 한 해 — 2023년 맥 악성코드가 보여준 것
취약점보다 신뢰를 노린 한 해 — 2023년 맥 악성코드가 보여준 것
분류: Security · 바이너리·리버싱 · 악성코드 동향 [정보성]
덱. Objective-See의 Patrick Wardle이 매년 발행하는 연간 맥(Mac) 악성코드 리뷰의 2023년판을 재구성합니다. 랜섬웨어부터 정보탈취형 악성코드(인포스틸러), 국가배후 그룹의 백도어까지 수십 개 샘플을 다룬 원문에서, 개별 사례를 나열하는 대신 전체를 관통하는 공통 패턴 세 가지만 추려봤습니다.
리드
macOS는 오랫동안 “상대적으로 안전한 플랫폼”이라는 인식이 있었습니다. 그런데 2023년 리뷰가 보여주는 그림은 새로운 커널 취약점이나 정교한 익스플로잇 체인이 아니라, 대부분 훨씬 단순한 방식 — 사용자가 스스로 실행하게 만드는 사회공학, 브라우저·키체인(macOS의 자격증명 저장소)에서 값진 정보를 훔쳐 바로 튀는 정보탈취, 그리고 macOS의 실행 차단벽 자체를 정면 돌파하기보다 우회하거나 그 앞단(공급망)을 노리는 시도였습니다. 취약점 헌팅 관점에서 보면 오히려 담백한 그림입니다.
01 개념 30초 — macOS의 실행 차단벽
macOS는 기본적으로 서명되지 않았거나 애플의 검사를 거치지 않은 앱은 경고 없이 실행되지 않도록 막아 둡니다. 핵심 요소 둘입니다. 코드서명은 개발자가 자신의 인증서로 앱에 서명해 “이 앱을 만든 게 나”라는 걸 증명하는 것이고, **공증(notarization)**은 그 서명된 앱을 애플이 자동으로 악성코드 스캔한 뒤 통과시키는 절차입니다. Gatekeeper는 이 둘을 확인해서 통과 못 한 앱은 실행을 막는 macOS의 문지기 기능입니다. 이 셋이 잘 작동하면, 사용자가 다운로드한 임의의 실행파일이 그냥 실행되는 일은 원칙적으로 없어야 합니다.
02 빈틈 — 늘어난 물량, 달라진 무게중심
원문 저자는 2023년 새로 확인된 macOS 악성코드 샘플 수가 전년 대비 약 100% 늘었다(원문 표현으로는 대략 두 배)고 밝히고 있습니다. 다만 이 수치를 산출한 구체적 집계 기준(신규 샘플 정의, 중복 제거 방식 등)까지는 원문에 별도로 설명돼 있지 않아, 저자 개인의 연간 집계 방법론에 의존한 수치라는 점은 감안할 필요가 있습니다. 원문이 다룬 샘플의 구성 자체는 뚜렷한 방향을 보여줍니다 — 새로운 커널 익스플로잇이나 권한 상승 취약점을 활용한 사례는 드물고, 대부분 사용자를 속여 직접 실행시키는 방식이었습니다. macOS가 기업 환경에서 점유율을 넓히는 흐름과 맞물려, 공격자 입장에서도 이 플랫폼을 계속 겨냥할 유인이 커지고 있는 것으로 보입니다.
03 메커니즘 — 관통하는 공통 패턴 세 가지
원문이 다룬 개별 샘플(랜섬웨어 2건, 인포스틸러 다수, 국가배후 그룹 배후로 지목된 백도어들, 공급망 침해 사례 등)을 하나하나 나열하는 대신, 실제로 본문에서 반복 확인되는 패턴 세 가지로 묶었습니다.
A. 정상 앱·업데이트로 위장한 트로이목마화. 가짜 블록체인 게임, 가짜 트레이딩 플랫폼 업데이트, 가짜 브라우저(사파리·크롬) 업데이트, 크랙(정품 인증 우회) 버전 앱 등으로 위장해 유포된 사례가 여러 건입니다. 이 경로들의 공통점은 별도의 익스플로잇이 필요 없다는 것 — 사용자가 “정상 프로그램”이라 믿고 직접 다운로드해 실행하게만 만들면 됩니다.
B. 정보탈취형 악성코드(인포스틸러)의 급증. 원문에서 다룬 신규 샘플 중 가장 큰 비중을 차지한 유형입니다. 노리는 대상은 대체로 겹칩니다 — 브라우저에 저장된 로그인 정보·쿠키, 암호화폐 지갑 파일, macOS 키체인에 저장된 자격증명입니다. 특징적인 점은 이런 악성코드 대부분이 지속성(persistence) 메커니즘을 아예 갖추지 않는다는 것입니다. 재부팅 뒤에도 살아남을 필요 없이, 한 번 실행돼 정보를 긁어 서버로 보내면 목적이 끝나기 때문입니다.
C. 실행 차단벽을 정면 돌파하기보다 우회하거나 그 앞단을 노림. 애드혹 서명(정식 인증서 없이 최소한의 서명만 한 것)만 된 바이너리는 공증을 통과하지 못해 Gatekeeper가 기본적으로 막습니다. 이런 경우 원문에 나온 사례들은 기술적으로 이 차단벽을 뚫는 대신, 사용자에게 “보안 설정에서 직접 열어달라”는 식의 안내를 제공해 사람이 스스로 차단벽을 해제하게 만드는 방식을 택했습니다. 반면 원문이 다룬 공급망 침해 사례 하나는 이보다 훨씬 심각합니다 — 공격자가 정상 소프트웨어의 빌드 서버 자체에 침투해 악성 라이브러리를 끼워 넣은 뒤, 그 빌드가 실제로 정식 서명과 애플 공증까지 정상적으로 통과해 배포된 것으로 보고돼 있습니다. ⚠️미확인 — 애플이 이 사안에 정확히 언제, 어떻게 대응했는지는 원문에 구체적으로 나와 있지 않아 이 초안에서 확증하지 못했습니다.
이 외에도 원문은 국가배후 그룹으로 지목된 여러 그룹의 다단계 백도어, 오픈소스 침투 프레임워크를 macOS용으로 이식한 사례, 랜섬웨어 초기 실험작 등 훨씬 다양한 사례를 다룹니다. 개별 기술 세부는 원문을 참고하시기 바랍니다.
04 왜 반복되는가 — 우리 논평
세 패턴을 관통하는 하나의 축은 “플랫폼의 기술적 방어벽이 튼튼할수록, 공격자는 그 벽을 부수기보다 사람 또는 그 벽을 세우는 절차 자체를 노린다”는 것입니다. Gatekeeper·공증이 낯선 실행파일을 잘 막을수록, 공격자는 사용자를 설득해 직접 열게 만들거나(A, C 앞부분), 애초에 실행 여부와 무관하게 값진 정보만 훔쳐 지속성 없이 빠지거나(B), 아예 그 방어벽을 발급하는 절차(빌드·서명·공증 파이프라인) 자체를 장악합니다(C 뒷부분). 이건 코드 레벨 취약점을 파고드는 저희의 다른 CVE 분석글들과는 결이 다른 문제입니다 — 여기서 깨지는 건 특정 함수의 경계 검사가 아니라, “이 앱은 검증됐다”는 신뢰 그 자체입니다. 다만 그 신뢰가 깨지는 지점(공급망 침해)은, 결국 신뢰를 발급하는 절차의 무결성이 지켜지지 않으면 방어벽 전체가 한 번에 무력화된다는 걸 보여줍니다.
05 남는 교훈
2023년 macOS 악성코드 수십 개를 한 줄씩 기억할 필요는 없습니다. 남는 건 세 가지입니다 — 대부분은 사용자를 속이는 사회공학으로 들어오고, 목적은 대부분 정보 탈취라 오래 머물 필요조차 없으며, 방어벽 자체를 뚫기보다 그 벽을 세우는 절차를 노리는 시도가 가장 위험한 예외라는 것. 도구가 아니라 이 패턴을 기억하는 게 다음 해의 새 샘플에도 그대로 적용됩니다.
References / 참고자료
- Patrick Wardle, “The Mac Malware of 2023”, Objective-See — 이 글이 재구성한 원 분석. 2023년 신규 확인된 macOS 악성코드 샘플들을 유형별로 정리한 연간 리뷰. https://objective-see.org/blog/blog_0x77.html
이 글은 위 원 분석을 우리 관점에서 다시 쓰고 짧은 논평을 더한 정보성 초안입니다. 특정 문장·코드·스크린샷을 그대로 옮기지 않았으며, 개별 샘플의 세부 기술 분석은 다루지 않고 공통 패턴만 재구성했습니다. ⚠️미확인 표시 항목은 발행 전 독립 팩트체크에서 확증·정정되어야 합니다.