핵심 요약: 러시아 연계 의심 해커들이 우크라이나의 아이폰 사용자를 표적으로 새로운 익스플로잇 툴킷 ‘다크소드(Darksword)’를 활용한 공격을 벌인 정황이 포착됐다. 보안업계는 18일 공개된 분석에서 다크소드가 사파리 브라우저 제로데이를 악용해 비밀번호·사진·메시지·암호화폐 지갑 정보를 수분 내 탈취했다고 밝혔다. 이번 공격은 파일리스 성격으로 흔적을 최소화하며, 애플은 긴급 패치와 최신 iOS 적용을 권고했다.
핵심 사실
- 공격 포착 시점: IT 매체 테크크런치 보도(현지시간 18일)와 보안사 분석을 바탕으로 확인됐다.
- 공격 도구: ‘다크소드’라는 해킹 툴킷이 사용됐으며, 비밀번호·사진·메시지·브라우저 기록·암호화폐 지갑 정보 등을 수집한다.
- 공격 경로: 애플 사파리 브라우저에서 악성 HTML이 자바스크립트를 내려받아 실행하는 방식으로, 웹 방문만으로 감염될 수 있다.
- 악용된 취약점: JavaScriptCore의 메모리 손상 취약점과 포인터 인증 코드(PAC) 우회 취약점 등 두 가지 제로데이가 이용됐다.
- 데이터 전송: 수집된 데이터는 ECDH(타원곡선 디피-헬만)과 AES 암호화로 해커 서버에 전송되어 보안 분석을 어렵게 한다.
- 작전 특성: 감염·탈취가 수분 내 완료되도록 설계됐으며, 흔적을 최소화하는 파일리스 유사 기법을 사용한다.
- 연계 가능성: 보안업계는 다크소드가 구글이 지난 3월 공개한 ‘코루나(Coruna)’와 개발자 수준에서 연관될 가능성을 제기한다.
- 대응 권고: 애플은 취약점 패치를 배포했고, 사용자에게 최신 iOS로 업데이트하고 락다운 모드 활성화를 권장했다.
사건 배경
모바일 기기가 공격 표적이 된 배경에는 원격 웹 익스플로잇의 효율성과 피해 확대 속도가 있다. 데스크톱보다 사용자 패치율이 낮고, 브라우저·메시징·지갑 등 민감 데이터가 한 기기에 집중돼 있어 단일 성공으로 큰 정보 유출이 가능하다. 특히 우크라이나를 겨냥한 사이버 활동은 지정학적 긴장 상황과 맞물려 왔으며, 과거에도 양측을 둘러싼 정보전·사이버공격 사례가 보고됐다. 따라서 특정 지역 사용자만을 노린 ‘물 타기’ 캠페인이나 맞춤형 유포는 비용 대비 높은 효과를 낼 수 있다.
과거 전례를 보면 고도화된 제로데이 익스플로잇은 주로 민감한 표적에게 제한적으로 배포되어 탐지를 회피해 왔다. 이번 다크소드 사례도 표적형 웹사이트에 악성 코드를 숨겨놓는 방식으로 작동해 일반적인 대규모 유포와는 다른 양상을 보인다. 이해관계자로는 공격자(해커 그룹), 표적 사용자, 웹사이트 운영자, 보안업체, 플랫폼 사업자(애플) 등이 있으며 각 주체의 대응 능력이 피해 확산을 좌우한다. 국제적 맥락에서는 국가 연계 의혹이 제기될 경우 외교·안보 차원의 파장이 커질 수 있다.
주요 사건
보안업체 룩아웃(Lookout)과 iVerify, 그리고 구글 연구진이 공동 분석을 통해 다크소드의 작동 방식을 규정했다. 우선 감염된 웹페이지에 삽입된 악성 HTML이 방문자의 사파리에서 자바스크립트를 내려받아 실행시키고, 이후 추가 페이로드를 설치해 시스템 권한을 획득한다. 이 과정에서 JavaScriptCore의 메모리 손상과 PAC 우회 등 제로데이를 연속적으로 악용해 탈취 루틴을 실행한다.
실제 공격은 방문 후 수분 내 데이터 수집과 암호화된 전송이 완료되도록 설계됐다. 수집 대상은 i메시지·왓츠앱·애플 헬스 데이터·브라우저 쿠키와 기록, 그리고 암호화폐 지갑 정보 등으로 보고됐다. 공격자들은 전송 전에 ECDH로 세션 키를 협상하고 AES로 페이로드를 암호화해 유출 트래픽을 위장·난독화했다.
보안업계는 다크소드의 코드 일부가 구글이 공개한 코루나와 기술적으로 유사한 점이 있어 개발자 또는 툴셋의 공유 가능성을 지적한다. 다만 직접적 증거는 공개되지 않았고, 연계 여부는 추가 분석이 필요하다. 애플은 보안 패치를 긴급 배포하고 사용자에게 업데이트 적용과 락다운 모드 사용을 권고했다.
분석 및 의미
첫째, 이번 사건은 모바일 브라우저 제로데이가 현실적인 고위험 벡터임을 재확인시킨다. 사파리 등 모바일 기본 브라우저 취약점이 성공하면 대량의 민감 정보가 한 번에 노출될 수 있어 플랫폼 수준의 방어 강화가 중요하다. 둘째, 파일리스 유사 행태와 암호화 전송으로 탐지·추적이 어렵다는 점에서 기존 엔드포인트 중심 보안 모델만으로는 대응에 한계가 드러난다. 네트워크 수준의 이상행위 탐지와 플랫폼 공급자의 신속한 패치 배포가 병행돼야 한다.
셋째, 우크라이나를 겨냥한 표적 공격이라는 점에서 지정학적 맥락이 보안 위협의 우선순위를 바꿀 수 있다. 국가 연계 의혹이 제기될 경우 법적·외교적 대응과 더불어 민간 중심의 사이버 방어 역량 강화가 요구된다. 넷째, 암호화폐 지갑 탈취 시 금융 피해와 추적 난이도 등 실질적 경제적 손실이 발생할 수 있어 가상자산 보관·관리 방식에도 변화가 필요하다.
마지막으로 이번 사건은 제로데이의 유통 경로와 상업적 거래 가능성에 대한 감시 필요성을 높인다. 제로데이를 이용하는 그룹이 반복적으로 등장하면 취약점 시장의 동태를 면밀히 관찰해야 하며, 취약점 공개·패치 주기 단축과 정보공유 체계 강화를 통해 피해를 줄여야 한다.
비교 및 데이터
| 항목 | 코루나(Coruna) | 다크소드(Darksword) |
|---|---|---|
| 공개 시점 | 지난 3월(구글 공개) | 테크크런치 보도 기준 18일(현지시간) |
| 주요 취약점 | 사파리 제로데이·JavaScriptCore 계열 | JavaScriptCore 메모리 손상·PAC 우회 |
| 주요 표적 | 제한적 표적형 iOS 사용자 | 우크라이나 내 아이폰 사용자 |
| 패치 상태 | 현재 패치 완료 | 애플 패치 배포 및 권고 |
위 표는 공개된 기술 분석을 바탕으로 코루나와 다크소드의 핵심 차이를 요약한 것이다. 표에서 보듯 두 툴킷 모두 사파리·JavaScriptCore 계열 취약점을 악용하지만, 다크소드는 PAC 우회 등 추가 기반을 활용해 기기 내부 보호를 무력화한 점이 특징이다. 패치와 대응의 시점 차이는 실제 피해 확산의 크기를 결정하는 중요한 변수로 작용했다. 향후 유사 공격에 대한 비교 분석은 탐지·차단 전략 수립에 기초자료로 활용될 수 있다.
반응 및 인용
공식·전문가·대중의 반응은 경고와 권고 중심으로 형성됐다. 보안업계 관계자는 모바일이 새로운 주요 유출 경로로 떠올랐다고 지적했고, 플랫폼 사업자는 사용자 업데이트를 강조했다.
“모바일 기기가 데이터 유출의 주요 경로로 부상하고 있다.”
스티브 콥, SecurityScorecard CISO
SecurityScorecard의 스티브 콥은 이번 공격을 계기로 기업과 개인이 모바일 보안에 더 많은 자원을 투입해야 한다고 촉구했다. 그는 특히 엔드유저의 업데이트 지연과 기기 내 민감 데이터 집중이 위험을 키운다고 설명했다.
“사용자는 가능한 한 빨리 iOS 최신 버전으로 업데이트하고 락다운 모드를 활성화해야 한다.”
애플(보안 권고)
애플의 권고는 실무적 대응으로, 패치 배포와 함께 락다운 모드가 제로데이 공격 완화에 도움이 된다고 안내했다. 다만 락다운 모드의 제한적 기능과 사용자 불편을 고려한 보완 조치도 병행돼야 한다.
“다크소드의 일부 전술은 이전에 관찰된 툴킷과 유사한 구조를 보인다.”
룩아웃·iVerify 연구진(공동 분석)
룩아웃과 iVerify의 공동 분석팀은 코드·행동양식의 유사성을 근거로 코루나와의 연관 가능성을 제기했지만, 직접적 개발자 연계 증거는 더 많은 포렌식이 필요하다고 밝혔다.
보조 모듈
불확실한 부분
- 러시아 정부 직접 개입 여부는 현재 공개된 기술적 증거만으로 확정할 수 없다. 추가 외교·정보 분석이 필요하다.
- 다크소드와 코루나의 개발자 연계성은 코드·전술 유사성으로 지목되었지만, 직접적 증거는 아직 공개되지 않았다.
- 감염 경로로 지목된 특정 우크라이나 웹사이트의 운영자 연루 여부는 조사 중이며, 공개된 정보로는 판단이 불충분하다.
총평
다크소드 사건은 모바일 제로데이에 의한 표적형 공격이 여전히 현실적 위험임을 보여준다. 사파리와 같은 플랫폼 기본 브라우저의 취약점이 성공하면 개인과 기관 모두 큰 피해를 입을 수 있으므로, 공급자 차원의 신속한 패치와 사용자 수준의 즉각적인 업데이트가 핵심 방어 수단이다.
지정학적 요인이 결합된 표적 공격의 특징을 고려할 때, 단순한 기술적 대응을 넘어 정보공유·국제 협력·법적 대응까지 포함한 다층적 전략이 필요하다. 이용자들은 즉시 iOS 업데이트를 적용하고, 민감 자산 관리를 재점검해야 한다.
출처
- 디지털투데이 (언론)
- TechCrunch (언론)
- Lookout (보안업체 분석)
- iVerify (보안 연구)
- SecurityScorecard (보안업체)
- Apple 지원·보안 권고 (공식)