DarkSword malware planted on Ukraine.gov infrastructure leaves an estimated 220 million iPhones vulnerable, according to iVerify's threat research findings.

아이폰 해킹 2억 대 위협 — 러시아가 우크라이나 정부 사이트에 심은 DarkSword

작성자:
아이폰 해킹 DarkSword 스파이웨어 개념도
DarkSword는 클릭 한 번으로 아이폰 전체를 장악하는 풀체인 익스플로잇 킷이다 — Generated by OpenAI DALL-E 3
💡 Key Takeaways

  • DarkSword는 3개 제로데이를 포함한 6개 iOS 취약점을 자바스크립트만으로 연쇄 활용하는 신종 익스플로잇 킷으로, 클릭 한 번에 아이폰을 완전 장악한다
  • 러시아 연계 APT 그룹 UNC6353이 우크라이나 정부 도메인(gov.ua 포함)에 워터링홀을 심어 암호화폐 지갑·이메일·위치정보 등 디지털 신원 전체를 탈취했다
  • iOS 18.7.6 또는 26.3.1로 즉시 업데이트해야 한다 — 패치 미적용 기기는 iVerify 추산 기준 2억 2천만 대가 넘는다

2억 2천만 대 — 지금 이 순간 아이폰 해킹에 완전히 노출된 기기의 수입니다. 보안 분석 업체 iVerify는 iOS 18.4~18.6.2를 사용 중인 기기의 약 14.2%가 DarkSword라는 신종 익스플로잇 킷에 무방비 상태라고 밝혔습니다. 단순한 버그 하나가 아니라 제로데이 3개를 포함한 6개 취약점이 연쇄적으로 결합된 풀체인 공격입니다.

이 킷을 실전에 투입한 핵심 공격자는 러시아 정보기관의 요구 방향과 일치하는 APT(Advanced Persistent Threat, 지능형 지속 위협) 그룹 UNC6353으로, 우크라이나 정부 도메인(.gov.ua 포함) 수십 개를 침해해 워터링홀(watering hole, 특정 사이트를 함정으로 삼아 방문자를 감염시키는 기법)을 심었습니다. 사이트를 방문하는 것만으로 이메일·암호화폐 지갑·위치정보가 수초 안에 빠져나갑니다.

DarkSword란 무엇인가 — 아이폰 해킹의 새로운 기준

DarkSword는 구글 클라우드 산하 보안 연구팀 Mandiant가 명명한 iOS 풀체인 익스플로잇 킷입니다. 단 하나의 버그를 파고드는 기존 스파이웨어와 달리, 6개의 CVE를 단계별로 연결해 아이폰의 샌드박스 방어 구조 전체를 무너뜨립니다. 전 과정이 순수 자바스크립트로 구현됐다는 점이 이 킷을 특히 위험하게 만드는 핵심입니다.

공격 경로는 6단계로 구성됩니다. JavaScriptCore(iOS 브라우저 엔진)의 JIT(Just-In-Time 컴파일러) 메모리 취약점(CVE-2025-43529)으로 초기 코드 실행을 확보한 뒤, GPU 프로세스를 경유해 dyld의 포인터 인증(PAC) 우회(CVE-2026-20700)로 이어집니다. 마지막으로 커널 메모리 취약점(CVE-2025-43510, CVE-2025-43520)으로 최상위 권한을 획득합니다.

세 번째 제로데이 CVE-2025-14174는 ANGLE(그래픽 렌더링 라이브러리) 메모리 손상 취약점으로, 커널 권한 상승을 보조합니다. 이 6단계 체인은 iOS의 PPL(Page Protection Layer)과 SPTM(Secure Page Table Monitor)이라는 핵심 완화 기술 두 가지를 모두 우회하도록 설계됐습니다. Pegasus·Predator에 이어 등장한 iOS 풀체인 익스플로잇 킷으로 보안 업계가 주목하는 배경입니다.

우크라이나 정부 사이트가 함정이 됐다

UNC6353은 2025년 11월부터 활동이 확인된 러시아 연계 첩보 그룹입니다. 금전적 이익과 정보 수집 두 가지를 동시에 추구하며, 러시아 정보기관의 요구와 방향이 일치하는 특성을 보입니다. 이들이 선택한 공격 방식은 워터링홀로, 목표 집단이 즐겨 방문하는 사이트를 먼저 침해한 뒤 그 사이트를 트랩으로 삼습니다.

iVerify의 분석에 따르면 침해된 사이트 중에는 우크라이나 정부 도메인(.gov.ua)이 포함돼 있습니다. 정부 서버 자체가 공격 거점으로 전락했다는 의미입니다. 우크라이나 공무원이 업무상 해당 사이트를 방문하는 순간, 별도의 파일 다운로드나 링크 클릭 없이도 기기가 감염됩니다.

사이버보안 위협 국가 해킹 그룹
워터링홀 공격은 목표 집단이 정기적으로 방문하는 신뢰할 수 있는 사이트를 함정으로 삼는다 — Photo by Jefferson Santos on Unsplash

GHOSTBLADE·GHOSTKNIFE·GHOSTSABER — 3개 악성코드 패밀리

DarkSword가 기기를 장악하면 세 개의 악성코드 패밀리가 순서대로 작동합니다. 첫 번째는 GHOSTBLADE로, 주요 시스템 프로세스에 접근해 이메일·iCloud 파일·비밀번호·SMS·브라우저 기록·위치정보·앱별 데이터를 수집하는 1차 수집기입니다. 탈취 작업은 수초에서 수분 안에 완료되며, 완료 즉시 흔적을 지워버립니다.

두 번째 GHOSTKNIFE는 암호화폐 지갑 시드 구문과 거래 내역 탈취에 특화된 자바스크립트 백도어입니다. 세 번째 GHOSTSABER는 기기 정보를 열거하고 지속적인 데이터 유출 채널을 유지합니다. 세 모듈 모두 순수 자바스크립트로 구현돼 기존 iOS 완화 기술을 우회하도록 설계됐습니다.

이 구조가 갖는 의미는 단순한 데이터 유출을 넘어섭니다. 이메일부터 암호화폐 지갑, 실시간 위치까지 디지털 신원 전체가 단 한 번의 사이트 방문으로 통째로 복사됩니다. 피해자는 감염 사실조차 알 수 없는 구조입니다.

💡 함께 읽으면 좋은 글
시리 재건 또 실패? iOS 26.4 출시 좌초, 구글 Gemini 손잡은 애플의 승부수

국가 스파이만의 무기가 아니다 — 터키 감시 기업 PARS Defense도 사용

DarkSword가 더 위험한 이유는 단 하나의 국가 기관이 독점하지 않는다는 점입니다. SecurityWeek와 Mandiant의 분석에 따르면, 터키 상업 감시 업체인 PARS Defense의 고객들이 사우디아라비아와 말레이시아 사용자를 대상으로 DarkSword 기반의 별도 캠페인을 운영했습니다. 또 다른 위협 그룹 UNC6748도 2025년 11월 사우디 표적 공격에 이 킷을 활용했습니다.

이는 Pegasus 스파이웨어 사태 이후 재차 확인된 ‘상업 감시 플랫폼의 다중 고객 모델’ 문제입니다. 국가 APT 그룹이 활용하는 제로데이 기술이 민간 감시 기업의 라이선스 구조를 통해 복수의 정부·고객에게 공급됩니다. DarkSword의 현재 확인된 표적만 우크라이나·사우디아라비아·터키·말레이시아 4개국에 이릅니다.

스마트폰 모바일 보안 위협
상업 감시 기업이 국가 첩보 기술을 라이선스화해 판매하는 구조가 전 세계 모바일 보안 위협을 증폭시키고 있다 — Photo by Andre DM on Unsplash

수억 대 아직 노출 중 — 패치 현황과 피해 규모

Apple은 DarkSword가 활용한 6개 CVE 전체에 대한 패치를 iOS 18.7.6과 iOS 26.3.1에서 배포 완료했습니다. 문제는 패치 속도보다 사용자 적용 속도가 훨씬 느리다는 점입니다. iVerify의 추산에 따르면 iOS 18.4~18.6.2를 여전히 사용 중인 기기는 전체의 약 14.2%로, 수억 대가 지금도 DarkSword에 완전히 노출된 상태입니다.

탈취 가능한 데이터 범위는 이메일 전체, iCloud에 저장된 파일, 암호화폐 지갑 시드, 저장된 모든 비밀번호, 브라우저 방문 기록, SMS 메시지, 실시간 위치 정보에 이릅니다. 단순한 개인정보 유출이 아니라 디지털 신원 전체가 복사되는 수준입니다. 공격이 수초~수분 안에 흔적 없이 완료된다는 점을 고려하면, 피해를 인지하는 시점 자체가 늦어질 수밖에 없습니다.

💡 함께 읽으면 좋은 글
ChatGPT 언인스톨 295% 폭증, 오픈AI 펜타곤 딜의 대가는 하드웨어 수장 사임이었다

내 아이폰은 안전한가 — 지금 당장 해야 할 것

Apple이 패치를 배포했으니 대응 방법은 명확합니다. 설정 → 일반 → 소프트웨어 업데이트에서 iOS 18.7.6 또는 26.3.1 이상으로 즉시 업데이트해야 합니다. 자동 업데이트를 꺼둔 기기라면 지금 바로 수동 확인이 필요하며, 이미 감염됐는지 확인하려면 iVerify 같은 모바일 위협 탐지 앱을 활용하는 방법이 있습니다.

특히 고위험군은 공공기관 종사자·언론인·인권 활동가입니다. 워터링홀 공격의 특성상 평소 즐겨 찾는 뉴스 사이트나 공공기관 포털 방문만으로 감염될 수 있으며, UNC6353이 우크라이나 정부 사이트를 선택한 것도 이 때문입니다. 공격자가 표적 집단을 선정하는 기준이 ‘그들이 정기적으로 방문하는 사이트’라는 점에서, 본인이 그런 집단에 속한다면 업데이트는 더 이상 선택이 아닙니다.

모바일 스파이웨어 iOS 보안 업데이트
iOS 업데이트 적용만으로 DarkSword 공격 경로 전체를 차단할 수 있다 — Photo by Rohan on Unsplash

모바일이 사이버전의 최전선이 된 이유

스마트폰은 위치 정보·통화·금융·인맥 네트워크가 단일 기기에 집중돼 있어 노트북보다 훨씬 높은 첩보 가치를 가집니다. Pegasus·Predator 이후 다시 등장한 iOS 풀체인 익스플로잇 킷 DarkSword는 이 흐름의 연장선입니다. 모바일이 사이버전의 최전선으로 부상한 배경에는 이런 정보 집중 구조가 있습니다.

구조적 문제는 분명합니다. 국가 기관이 대규모 예산으로 제로데이를 개발하면, 이것이 민간 감시 기업의 라이선스 구조를 통해 복수의 정부·고객에게 공급됩니다. Apple이 패치를 배포하는 속도보다 새로운 제로데이가 개발되는 속도가 더 빠른 구조입니다.

앞으로 주목해야 할 신호는 두 가지입니다. 첫째, UNC6353이 이번 패치 이후 새로운 제로데이를 얼마나 빠르게 확보하는지 여부입니다. 둘째, PARS Defense를 포함한 상업 감시 업체에 대한 미국·EU의 추가 제재 범위가 DarkSword 수준의 킷 확산을 실질적으로 억제하는지입니다. 이 두 지표가 모바일 사이버전의 다음 라운드를 결정할 것입니다.

참고 자료

트렌드를 먼저 읽는 사람들

AI, 테크, 경제의 핵심 인사이트를 한국어와 영어로 동시에 제공합니다.

더 많은 글 보기