안드로이드폰에 문자 메시지만 보내서 해킹할 수 있는 치명적인 보안 위협이 발견되었다는 소식이 올라왔다.
보안 전문 업체 Zimperium Mobile Security는 블로그를 통해 안드로이드 스마트폰에서 사용자 전화번호만 알고 있으면 원격 코드 실행 권한을 얻을 수 있는 취약점을 발견했다고 밝혔다.
Zimperium은 스마트폰 운영체제로 널리 사용되는 안드로이드 오픈소스 프로젝트에 포함된 소스코드 가운데 미디어 포맷을 처리하는 Stagefright라는 이름의 미디어 라이브러리에 문제가 있다고 설명했다.
미디어 프로세싱은 처리 시간에 민감하기 때문에 안드로이드에서는 Java와 같은 메모리에 안전한 언어보다 메모리 손상 위협이 더 큰 C++ 같은 네이티브 코드에서 구현되는데, MMS로 특수하게 조작된 미디어 파일을 수신할 경우 사용자가 이를 열어보기 전에 OS에서 먼저 내용에 포함된 미디어 파일을 확인하다 악성코드에 감염될 수 있다는 내용이다.
공격자는 사용자의 휴대폰 번호만 알면 해당 번호로 원격 실행 코드를 사용할 수 있는 특수하게 조작된 미디어 파일을 MMS로 보내면 되고, 공격이 성공한 다음에는 수신자가 메시지를 확인하기 전에 삭제할 수 있기 때문에 알림창에 수신 알림 메시지 외에는 볼 수 없다고 한다.
즉, 사용자가 직접 PDF 파일을 열어보거나 공격자가 보낸 링크를 통해 악성코드를 설치하게 되는 일반적인 스미싱 방법과 달리 열어보기도 않은 MMS 수신으로 악성코드에 감염될 위협이 있으며 이를 확인하기도 어렵다는 내용이다.
Zimperium은 전세계 안드로이드 기기 가운데 95%에 달하는 약 9억 5천만대가 Stagefright 취약점에 노출되어 있으며, 안드로이드 2.2 이후 모든 안드로이드 OS 버전에 해당되며 특별히 4.2 젤리빈 버전을 사용하는 장치들이 가장 위험하다고 밝혔다.
외신들은 이 문제가 지난 4월 구글에게 통보되었으며 현재 안드로이드 4.4 킷캣 이후 모든 OS 버전에 패치가 나왔지만 안드로이드폰 소프트웨어 업데이트는 제조사 및 통신사를 통해 배포되기 때문에 현시점에는 소수의 사용자만 이 문제로부터 안전하다고 보도했다. 심지어 구글 레퍼런스 넥서스 시리즈도 넥서스5에서 동작하는 안드로이드 5.1.1 버전은 이 문제에 완전히 노출되어 있고 넥서스6만 부분적인 패치가 이뤄졌다는 주장도 제기됐다.
또한 이미 소프트웨어 지원이 중단되었거나 제조사가 사라진 경우에도 업데이트를 받을 수 없기 때문에 사용자들이 할 수 있는 일은 없으며 가능하면 MMS 첨부파일을 자동 다운로드 하지 않는 메시징 앱을 사용하거나 알 수 없는 번호로 보내지는 메시지를 차단하는 방법을 고려해야 한다고 덧붙였다. |
