TNT warez 그룹의 macOS 앱 크랙을 분석한 결과, 살펴본 샘플에서는 악성 동작을 찾지 못했지만 Downie의 우크라이나 지지 메시지와 관련 기능을 비활성화하는 코드를 확인했다. 크랙은 대상 앱의 프로세스 안에서 실행돼 앱에 부여된 파일·네트워크 권한을 사용할 수 있으므로, 분석 결과가 제한된 샘플에만 해당한다는 점과 배포 과정에서 변조될 가능성을 함께 고려해야 한다.
분석 대상은 Downie 4.9.7의 x86_64 크랙 라이브러리와 Lyn 2.1.2의 x86_64·ARM64 크랙 라이브러리다. x86_64 버전은 코드가 난독화돼 있고 디버거 탐지도 포함했지만, ARM64 버전은 상대적으로 난독화가 적었다. 분석 과정에서는 IDA 기반 도구 C4와 semtex, sx4를 사용해 코드와 문자열을 살폈다. IDA 플러그인 navcolor도 제작해 함수의 특징을 시각화했다.
크랙은 앱의 메서드를 바꿔 라이선스 검사를 우회하는 방식으로 작동했다. ARM64 샘플에서는 Objective-C의 method_setImplementation을 사용했고, x86_64 샘플에서는 대상 함수의 시작 부분에 점프 명령을 심는 후킹을 확인했다. 일부 대체 함수는 단순히 0을 반환했다. 크랙 라이브러리는 실행 중 동적으로 주입되며, Downie 사례에서는 Paddle.framework가 라이브러리를 불러오도록 수정돼 있었다.
Downie 원본에는 우크라이나 지지 메시지와 러시아어 로캘을 확인하는 코드가 있었다. 크랙은 toggleShowSolidarityWithUkraine:과 showMoreInformationAboutUkraine: 등 관련 메서드를 후킹하고, 러시아어 로캘을 확인하는 함수도 항상 거짓을 반환하도록 바꿨다. 그 결과 앱의 우크라이나 관련 기능이 비활성화된다. 이는 확인된 크랙 동작이지만, 분석한 샘플에서 악성코드가 발견됐다는 뜻은 아니다.
분석자는 살펴본 소수의 샘플에서 악성 흔적을 찾지 못했다고 밝혔다. 다만 크랙 라이브러리는 앱과 같은 프로세스에서 실행되므로 앱에 허용된 파일 및 네트워크 권한을 물려받는다. 따라서 악성 코드가 추가되면 사용자의 파일을 읽거나 데이터를 외부로 전송할 수 있다. 원본 그룹이 악성 기능을 넣지 않았더라도, 배포 과정에서 다른 사이트가 파일을 변조할 가능성도 있다. 릴리스 서명과 해시가 제공되더라도 이를 확인하는 사용자가 얼마나 되는지는 불분명하다.
글에서는 크랙뿐 아니라 일반 소프트웨어도 공급망 공격에 노출될 수 있다며 출처와 무결성을 확인하라고 강조한다. 이번 분석은 제한된 샘플을 대상으로 했으며, 모든 TNT 크랙이나 유통본의 안전성을 보증하지 않는다.
댓글 (0)
로그인하면 이 기사에 내 생각을 남길 수 있어요