전화·통신 기능 무력화하는 'SMS of Death' 공격 전격 공개
갤럭시 A시리즈 등 다수 삼성 단말기에서 동일하게 작동 확인
"안드로이드 12·13 이하 버전은 패치 불가로 무방비 노출"

삼성 갤럭시 일부 기기에서 문자 수신만으로 통화가 끊기는 안드로이드 취약점이 재현됐다는 보안 연구자 주장이 나왔다. 전화번호만 알면 메시지를 열어보거나 누르지 않아도 스마트폰의 통신 기능을 완전히 마비시킬 수 있는 치명적인 보안 취약점이 발견됐다는 얘기다.

 

1일 글로벌 엔터테인먼트·기술 전문매체 '마틴 시드 매거진'(Martin Cid Magazine)에 따르면 'Mark B'라는 보안 연구원은 안드로이드의 핵심 통신 시스템을 강제로 다운시키는 '죽음의 SMS(SMS of Death)' 공격 코드를 공개했다. 이 코드는 구글 픽셀 기기뿐만 아니라 보급형 A시리즈를 포함한 여러 삼성 갤럭시 스마트폰에서도 예외 없이 작동하는 것으로 확인됐다.

 

▲ 문자 수신만으로 스마트폰 통신기능이 마비될 수 있다는 소식을 전하는 마틴 시드 매거진 1일 기사.

 

갤럭시 기기를 겨냥한 '죽음의 SMS' 작동 방식은 다음과 같다.

통신사 설정 규격(WAP Push) 악용

 

죽음의 SMS는 통신사가 백그라운드에서 기기 설정값을 전달할 때 쓰는 고전 규격인 WAP Push의 허점을 파고든다. 비정상적인 데이터 메시지를 수신한 안드로이드 기기는 음수(-) 크기의 메모리를 할당하려다 오류를 일으키고, 결국 통신과 통화를 관장하는 핵심 프로세스가 강제로 종료된다.

통화 중단과 무한 부팅 루프

 

메시지가 들어오는 순간 진행 중이던 일반 통화나 긴급 통화가 즉시 끊긴다. 수신함에는 아무런 흔적도 남지 않지만, 통신사 서버가 미수신 메시지를 계속 재전송하면서 피해 갤럭시는 수일간 간헐적 통신 끊김을 겪거나 심할 경우 90초마다 복구 모드로 진입하며 무한 재부팅(루프)에 빠지게 된다. 

제조사 무관 안드로이드 공통 결함

이번 취약점은 특정 브랜드 고유의 문제가 아니라 모든 제조사가 탑재하는 안드로이드 운영체제 공통의 코어 텔레포니(Telephony) 코드에 내재된 결함이기 때문에 갤럭시 사용자들도 직격탄을 맞았다.

보안 대책과 갤럭시 사용자 대처법

구글은 해당 취약점을 접수한 뒤 최신 운영체제(안드로이드 14~17)를 위한 보안 패치를 완성해 배포했다. 삼성전자 역시 순차적으로 패치를 적용하고 있다.

 

그러나 공식 보안 업데이트 지원이 종료된 안드로이드 12 및 13 이하 버전의 갤럭시 구형 기기들은 패치를 받을 수 없어 영구적인 보안 사각지대에 놓이게 됐다.

내 갤럭시 안전 확인은 '스마트폰의 설정 소프트웨어 정보'에서 안드로이드 보안 패치 날짜를 확인해야 한다. 업데이트 지원이 종료된 구형 모델을 사용 중이라면 유사시 무한 재부팅이나 통신 차단 피해를 막기 위해 보안 업데이트가 지원되는 기기로 교체하는 것이 안전하다.

 

 

KPI뉴스 / 류순열 기자 ryoosy@kpinews.kr

 

[ⓒ KPI뉴스. 무단전재-재배포 금지]