마에스트로 포렌식 “5분 내에 스마트폰 악성코드 앱 추출·분석”

[IT동아 김예지 기자] 보안 전문업체 ‘마에스트로 포렌식’이 12월 12일 ‘마에스트로 모바일 포렌식(MAESTRO Mobile Forensics)’을 출시하고, 인섹시큐리티 독산 교육센터에서 기자 간담회를 개최했다.

김종광 마에스트로 포렌식 대표는 “마에스트로 모바일 포렌식은 모바일 데이터 추출과 악성코드 탐지 분석을 동시에 처리할 수 있는 업계 유일 솔루션”이라고 소개했다. 그는 “스미싱 문자로 유포되는 모바일 악성코드가 매년 증가하는 가운데, 마에스트로 모바일 포렌식은 기기 내 모든 앱을 5분 내외로 추출하고, 악성코드 앱 여부를 자동 분석해 빠르게 침해사고에 대응할 수 있다”고 말했다.

디지털 포렌식은 디지털 장치에서 데이터를 수집·분석·보존하는 기술로, 주로 법적 증거를 확보하거나 사이버 범죄를 조사하는 데 사용된다. 그래서 기존 대부분의 포렌식 솔루션이 디지털 증거 검색 및 탐지에 집중돼 있었다. 그런데 마에스트로 모바일 포렌식은 스마트폰 내 설치된 모든 앱과 파일을 추출하는 데 그치지 않고, 악성코드 여부를 빠르고 정확하게 탐지 및 분석할 수 있는 기능을 제공한다는 설명이다. 다만, 악성코드 URL을 차단하는 사전 대응 제품과는 거리가 멀다.

기존의 PC를 통한 추출 방식은 한 대에서 데이터를 추출하는 동안 다른 작업을 할 수 없지만, 마에스트로 모바일 포렌식은 ‘온더고(On-The-Go, OTG) USB’ 형식의 프로토콜을 제공해 수백 대 기기에서의 추출이 필요할 경우에도 동시에 데이터 추출이 가능하다.

이 솔루션은 단일 플랫폼에서 모바일 포렌식 및 악성코드 분석 기능을 통합하고, 기존의 포렌식 솔루션들이 제공해 왔던 대다수의 기능을 구현했다. 이날 시연에서 다뤄진 주요 기능에는 ▲네트워크 원격 제어를 차단하는 ‘비행기 모드’ 설정 ▲디바이스 정보 무결성 입증을 위한 ‘스크린 캡처’ ▲기기에 로그인된 사용자 계정 정보를 출력하는 ‘콜렉트 어카운트’ ▲자동화 리포트 생성 기능 등이 있다. 또한 IP·도메인 분석, 이미지 및 동영상 딥페이크 탐지, 아동 및 음란물 탐지, 다크웹 위협 인텔리전스 연동 기능 등을 제공한다. 또한 향후에는 ‘언락(unlock) 기능’도 구현될 예정이다.

시연에는 삼성전자 갤럭시 S23, S24 울트라 모델이 사용됐다. 마에스트로 포렌식 모바일은 현재 안드로이드 운영체제(OS)의 갤럭시 S24부터 갤럭시 S21까지 지원하며, 점차 다른 기종으로 확대될 예정이다. 또한 내년 하반기 이후에는 애플 iOS도 지원된다.

마에스트로 모바일 포렌식은 채팅 앱에 초점을 맞춘 기능을 제시한다. 김종광 대표는 “딥페이크 범죄에 대응해 카카오톡, 라인뿐만 아니라 익명성이 높은 텔레그램, 세션, 시그널 등에서도 앱별로 다운받은 사진, 동영상, 문서 등 데이터를 빠르게 추출할 수 있다”고 말했다. 이때, 텍스트 메시지는 전체 메모리를 받아 추출해야 한다.

또한 마에스트로 모바일 포렌식은 사이버 위협 인텔리전스 플랫폼 및 악성코드 탐지 엔진인 ‘마에스트로 CTIP(MAESTRO CTIP)’과 연동된다. 다수의 글로벌 보안 솔루션들을 API로 연결하여 구동할 수 있어, 글로벌 사이버 보안 위협 인텔리전스 서비스와 네트워크 보안 시스템을 하나의 플랫폼으로 구성할 수 있다.

마에스트로 포렌식은 솔루션 개발과 동시에 현재 수사기관, 정부 기관, 공공기관 등에 공급 중이며, 금융기관, 비트코인 거래소, 디지털 포렌식 전문기관, 정부 수사기관 등 다양한 고객층을 대상으로 기술 지원, 공인 교육센터를 통한 교육과정 운영, 컨설팅 서비스 등을 제공할 계획이다.

김종광 대표는 “포렌식 전문가가 아니더라도 사용이 가능하기 때문에 현재 공공기관에서 1차적으로 빠르게 악성 앱을 추출, 보고서를 만들어 상위 기관에 올려 분석을 요청하는 용도로 사용된다”고 말했다. 또한 “향후 민간 기업에는 구독 형식으로 지원하며, ‘마에스트로 미어캣’이라는 앱 형태로 개인에게도 제공할 예정”이라고 밝혔다. 현재 이 앱은 APK 파일로 제공된다.

마에스트로 포렌식은 해외 시장으로도 확장을 목표한다. 김종광 대표는 “그간 외산 제품을 소싱해 판매해 왔지만, 독자적인 제품 판매를 위해 협력사에 제품을 재판매하는 방식으로 해외에도 진출할 계획”이라며, “영문 버전 솔루션을 제작하고, 샌프란시스코 정보보안 전시회(RSA) 등 해외 전시회에도 참가할 것”이라고 덧붙였다.

IT동아 김예지 기자 (yj@itdonga.com)