아이메시지로 사용자 몰래 아이폰 감염시킨다

보안 취약점 4개 연계한 '삼각측량' 공격, iOS 16.3 이상 업데이트 필요

아이폰의 아이메시지를 이용해 하드웨어를 우회해 침투하는 공격 방식이 공개됐다. 이 방식은 iOS 16.2까지 적용되는 만큼 상위 버전으로 업데이트가 요구된다.

실리콘앵글 등 외신에 따르면 카스퍼스키랩은 제37차 카오스 커뮤니케이션 콩그레스(37C3)에서 ‘삼각측량(Operation Triangulation)이라고 명명한 공격 기법을 소개했다.

삼각측량 공격은 아이폰의 4가지 보안 취약점을 연계해 하드웨어 기반 보안 보호를 우회하는 기법이다. 특정 앱을 다운받거나 링크를 클릭하지 않고도 대상 장치를 감염시킬 수 있어 제로클릭 방식이라고도 불린다.

삼각측량 공격 프로세스(이미지=카스퍼스키)

사용되는 보안 취약점은 애플 전용 애드저스트 트루타입 글꼴 명령의 원격 코드 실행 취약점(CVE-2023-41990), XNU의 메모리 매핑 시스템 호출 부분 취약점(CVE-2023-32434), 커널 수정 취약점(CVE-2023-32434), 사바리 웹 콘텐츠 취약점(CVE-2023-32435) 등이다.

공격자는 해당 취약점을 이용해 악성 코드가 담긴 첨부 파일을 피해자들에게 아이메시지로 배포한다. 이로 인해 첨부파일이 전송된 스마트폰은 사용자에게 어떠한 신호도 표시하지 않은 채 악성코드를 바로 실행하게 된다.

카스퍼스키 연구원들은 애드저스트 트루타입 글꼴의 보안 취약점은 1990년대 초반부터 존재했지만 최근 들어 패치로 제거됐다고 밝혔다.

악성코드 설치로 접근 권한을 얻은 후에는 XNU 보안 취약점으로 자바스크립트 코어의 라이브러리 환경을 변경하고 메모리를 조작해 기본 API 기능을 실행할 수 있는 확보한다.

이어서 커널 수정 취약점을 사용해 장치의 전체 물리적 메모리에 대한 읽기/쓰기 권한을 탈취한다. 더불어 아이폰의 기존 코드가 수정되지 않도록 방지하는 페이지 보호 레이어(PPL)도 우회할 수 있다.

이 작업만으로도 악성코드 실행을 포함하여 장치에 원하는 모든 작업을 수행하는 것이 가능하다.

하지만 공격자들은 사파리의 취약점을 발생시켜 침투 흔적까지 지우는 것으로 확인됐다.

연구원은 “우리는 이 연계 공격에 대해 모든 부분에서 리버스 엔지니어링 실시해 거의 마무리 작업 중”이라며 “이들이 애플의 하드웨어 기반 보안을 우회하는 과정에서 추가적으로 하드웨어를 사용한 흔적이 발견돼 이를 조사하고 있다”고 밝혔다.

이어서 “해당 기능은 펌웨어에서 사용되지 않은 요소이기 때문에 공격자가 해당 기능을 사용하는 방법을 어떻게 알 수 있는지 파악이 어려운 상황”이라며 “집중적인 분석을 마친 후 내년에 각 취약점이 어떻게 악용됐는지 보다 자세하게 발표할 예정”이라고 전했다.