SimJacker, 심카드로 스마트폰 해킹
SIM Tool Kit(STK)의 취약점
2019.9.12일 AdaptiveMobile Security는 SIM 카드에 명령을 보내 스마트폰을 해킹하는 방법인 SimJacker에 대한 보고서를 발표했다. 심재커는 정부와 협력 관계에 있는 특정 민간 기업에 의해 실제로 활용되고 있었다. 몇몇 국가에서 2년 이상, 소수의 VIP에 대해 위치 정보를 탈취하는 데 사용됐다.통신사는 가입자들에게 여러 서비스를 유연하게 제공하기 위해 심 툴킷을 사용한다. 설치된 앱 목록에서 확인할 수 있다. 심 카드에 직접 설치되기 때문에, 저장 공간상 크기는 0 바이트로 나타난다.
이 취약점은 심 카드에 있는 심 툴킷의 것이기 때문에, 운영체제나 휴대폰 제조사에 영향을 받지 않는다. 아이폰이든 안드로이드 스마트폰이든 관계 없고, 심지어 심 카드를 사용하는 IOT 기기도 취약하다. 즉 취약한 심 카드를 사용하는 모든 스마트 기기가 위험에 노출된 상태다.
S@T browser
이번에 발견된 취약점은 구체적으로는 심 툴킷의 구성 요소 중 하나인 S@T 브라우저에 있었다. 즉 S@T 브라우저를 채택한 심 카드는 모두 취약하다. 이것은 전세계 30개 국 이상에서 널리 사용되고 있다.이것은 다음과 같은 기능을 한다.
기기의 위치 정보와 IMEI 정보 획득.
메시지 발송. 피해자 몰래 가짜 뉴스를 퍼뜨리는 데 악용될 수 있다.
전화 발신. 무단으로 유료 콜을 걸어 요금을 탈취할 수 있다. 또한 피해자 몰래 해커에게 전화를 걸면, 주변 소리를 도청하는 데 악용할 수 있다.
스마트폰의 웹 브라우저 실행. 임의로 악성 웹 페이지를 열어 악성코드를 설치할 수 있다.
심카드를 작동 불능 상태에 빠지게 하여 DOS 공격.
언어, 무선 통신 유형, 배터리 잔량 등 기기의 각종 정보 수집.
이렇게 다양한 기능을 하기 때문에, 실제 사례가 발견된 위치 추적 외에도 스파이웨어 같은 악성코드 역할을 할 수가 있다.
이 기능들은 SMS를 통해 작동되는데, 일반 SMS와는 달리 명령어와 코드를 포함하고 있다. 그리고 사용자에게 알림을 내보내지 않기 때문에, 피해자는 이런 특수한 SMS가 왔는지 조차도 알지 못한다. 결국 해커는 문자 메시지 한 통으로 스마트폰을 해킹할 수 있는 셈이다.
WIB browser
이 보고서가 발표되고 얼마 후에, 다른 전문가에 의해 WIB 브라우저라는 심 툴킷 역시 동일한 취약점이 있다는 것이 밝혀졌다. 이 역시 AT&T, Tmobile, 보다폰 등 전세계 200여 개 이상의 통신사에서 사용되고 있다.이는 이미 예견된 일이었다. 보고서에 따르면, 심 카드 규격은 2009년 이후로 한번도 업데이트되지 않았다. 낡은 기술 표준이 근본적인 원인이므로, 대부분의 심 카드가 취약할 것으로 본 것이다.
해결은 통신사의 몫
이 취약점은 통신사들의 모임인 GSM Association과 심카드 제조사들의 모임인 SIM alliance에 통보됐다. 이들은 각 통신사에 보안 조치를 권고하고, 심카드에 보안 수단을 추가하게 했다.보고서에 따르면, 통신사는 이런 특수한 SMS를 차단하여 가입자를 보호할 수 있다. 가입자 측으로서는 취약한 심카드의 교체를 요구하는 것 외에는 달리 방법이 없다고 한다.
SimJacker나 OMA CP 메시지(관1) 등 특수한 SMS를 이용하는 해킹은 통신 인프라 차원의 문제이므로, 통신사의 적극적인 조치가 필요하다.
또 하나의 문제점이라면, 최근 구글의 정책이 보안 앱의 발목을 잡고 있다는 것이다. 얼마 전까지만 해도 보안 앱이 SMS 등 메시지를 검색할 수 있었다. 악성코드가 포함된 메시지를 차단할 방법이 있었던 것이다.
그러나 최근엔 개인정보 보호를 위해 앱의 권한을 엄격하게 제한하면서, 많은 보안 앱이 메시지 검사 기능을 빼고 있다. 공인된 보안 앱에는 좀더 많은 권한을 주는 것이 좋지 않을까 싶다.
관련 자료
참고 자료
댓글
댓글 쓰기