보안 기업 Calif의 연구팀이 중국 메신저 앱 WeChat에서 '제로클릭(사용자가 아무것도 하지 않아도 감염되는)' 취약점을 발견했습니다. 이 취약점을 이용하면 공격자가 WeChat으로 전화를 거는 것만으로도 상대방 계정을 완전히 탈취하고, 그 연락처를 통해 수백만 명에게 빠르게 퍼져나가는 웜(자가 전파 악성코드)을 만들 수 있습니다. 피해자가 전화를 받지 않아도 감염되며, 거절하더라도 공격자가 다시 전화를 걸면 됩니다. 연구팀은 이 취약점을 WeChat 운영사 Tencent에 비공개로 신고했고, Tencent는 iOS·Android 앱 업데이트와 서버 측 조치를 통해 이미 패치를 완료했습니다. 사용자는 별도 조치 없이 보호되지만, AI를 활용한 고급 공격 기법이 비전문 공격자에게도 퍼질 수 있다는 경고가 주목됩니다.
Calif 연구팀이 WeChat VoIP(인터넷 전화) 스택의 메모리 손상 취약점을 발견하고, 이를 이용해 전화 한 통으로 계정을 탈취하고 연락처 전체로 자동 전파되는 웜 'WeWorm'을 제작했다.
공격자는 피해자의 WeChat 계정을 완전히 장악해 메시지 읽기·전송, 통화, 계정 대리 행위가 가능하며, 추가 Android·iOS 버그와 연계 시 기기 전체 제어로 이어질 수 있다. WeChat 이용자 10억 명 이상이 잠재적 위험에 노출됐다.
WeChat의 VoIP 스택 내 메모리 손상(memory corruption) 취약점이 원인이며, AI 도구를 활용해 약 이틀 만에 RCE(원격 코드 실행) 익스플로잇이 작성됐다.
Tencent는 iOS·Android 앱 신버전 배포 및 서버 측 익스플로잇 차단 조치를 완료했다. 사용자는 별도 행동 없이 보호된다. 연구팀은 기술 세부 정보를 비공개로 유지 중이다.
현재 Tencent가 패치를 완료했으나, 유사한 VoIP 제로클릭 공격은 다른 메신저에도 적용될 수 있으므로 기업 환경에서 WeChat 포함 메신저 앱의 최신 버전 유지 정책을 재점검해야 한다. AI를 활용한 취약점 개발 가속화로 기존보다 빠른 패치 적용 주기가 필요하다.
본문
보안 기업 Calif의 연구팀이 Tencent에 중요 취약점을 발견·무기화하고 비공개로 신고했다. 이 취약점을 이용해 WeChat 통화만으로 사용자 개입 없이 전파되는 웜 "WeWorm"을 제작하는 데 성공했다.
WeWorm은 활동 중 각 사용자의 WeChat 계정을 탈취하고, 저장된 연락처를 이용해 추가 전파를 이어나가며 수 시간 내에 수백만 대의 기기에 도달할 수 있다.
이 웜은 iOS와 Android 모두에서 스마트폰 간 전파가 가능하며, 아래 데모 영상에서 확인할 수 있다:
"WeWorm은 피해자에게 전화를 거는 것만으로 계정을 탈취하고 피해자의 친구들에게 전화를 겁니다," 연구팀은 설명했다.
"익스플로잇은 단 몇 초 만에 완료되며, WeChat 계정을 완전히 제어할 수 있습니다. 메시지를 읽고 전송하고, 통화를 하고, 피해자를 대신해 행동할 수 있습니다. 우리가 보고하고 수정을 지원 중인 다른 Android·iOS 버그와 연계하면 기기 전체 제어로 이어질 수 있습니다."
피해자가 전화를 받든 받지 않든 웜은 전파된다. 피해자가 몇 초 내로 전화를 거절해야만 실패하지만, 공격자는 피해자가 잠들었거나 거절할 수 없는 상황일 때 다시 전화를 걸면 된다.
WeChat VoIP 스택의 취약점
WeChat은 다양한 기능을 하나로 통합한 중국의 "슈퍼앱"이다:
- 문자·음성·영상 메시지
- 모바일 결제
- 쇼핑, 차량 호출, 음식 배달, 정부 서비스
- 소셜 미디어 등.
이 앱은 10억 명 이상의 이용자를 보유하며, 대부분 중국에 거주한다.
"AI와 협력해 팀이 버그를 발견하고 최초의 원격 코드 실행(RCE) 익스플로잇을 약 이틀 만에 작성했습니다. 웜을 만드는 데는 추가로 일주일이 더 걸렸습니다," 연구팀은 밝혔다.
연구팀이 결함을 Tencent에 신고했고, Tencent는 iOS·Android용 WeChat 앱 신버전을 배포해 버그를 완화하고 이후 서버 측에서 모든 사용자에 대해 익스플로잇을 차단했다. 사용자는 WeChat 계정과 스마트폰을 보호하기 위해 별도 조치를 취할 필요가 없다. 연구팀은 기술적 세부 사항을 비공개로 유지하고 있다.
다만 "WeChat VoIP 스택의 메모리 손상(memory corruption) 문제"임을 확인했다.
"우리는 공공 인식 제고를 위해 연구 결과를 공개합니다. 이러한 공격 능력은 자금력이 풍부한 정교한 공격자들의 손에 오래전부터 존재해 왔습니다. 지금 달라진 점은 AI가 이 능력을 숙련도가 낮은 공격자들도 사용할 수 있게 만들어, 일반 사용자가 전례 없는 위험에 처하게 됐다는 것입니다," 연구팀은 지적하며, 각국 정부가 민간 산업과 협력해 "모든 사람에게 더 안전한 세상을 만들기 위해 AI를 개발·배포"할 것을 촉구했다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
