오소프트 버추얼 DVD, 업데이트 통해 가상화폐 채굴 프로그램 ‘BRTSvc’ 설치
사용자 PC에 설치된 BRTSvc의 불법 여부 명확하지 않아

[보안뉴스 원병철 기자] 비트코인 등 가상화폐의 가치가 큰 폭으로 상승하면서 이른바 ‘가상화폐 광풍’이 불고 있다. 가상화폐 거래소는 연이어 거래량을 갱신하고 있으며, 가상화폐 채굴을 위한 그래픽카드의 가격이 폭등하며 너나없이 채굴에 뛰어들고 있다. 한편, 사이버 공격을 일삼는 범죄자들은 추적을 피하기 위해 가상화폐를 요구하거나, 프로그램을 통해 몰래 채굴하는 방법을 이용하고 있다.


▲ 버추얼 DVD 설치(업데이트) 화면. 버추얼 DVD와 BRTSvc를 함께 설치하도록 하고 있다[자료=온라인]


▲ 바뀐 버추얼 DVD 설치(업데이트) 화면. BRTSvc 설치가 별도의 선택 항목으로 바뀌었다[자료=보안뉴스]

비트코인 등 가상화폐를 얻는 방법은 가상화폐 거래소 등을 통해 비용을 지불하고 구입하는 방법과 직접 시스템을 구축해 컴퓨팅 연산 작업을 통해 채굴(마이닝, Mining)하는 방법 등 두 가지다. 문제는 최근 비트코인 등 가상화폐의 값이 천정부지로 솟구치면서 채굴에 뛰어드는 사람들이 늘었는데, 채굴에 소용되는 컴퓨팅 파워를 구축하기 위한 비용과 전기세를 감당하기 어려워지자 채굴 프로그램을 이용해 몰래 채굴하는 일이 다반사로 벌어지기 시작했다.

가상화폐 채굴 프로그램, 이른바 ‘마이닝 프로그램’을 이용한 범죄는 최근 해외는 물론 국내에서도 잇따라 발생하고 있다. 본지에서도 여러 차례 소개한 바 있는 해당 유형의 사건은 주로 웹사이트의 광고 배너에 마이닝 프로그램을 설치한 후 방문자의 PC를 통해 채굴하거나, 아예 채굴 프로그램을 몰래 설치한 후 채굴된 가상화폐를 자신에게 전송하는 방식으로 이루어지고 있다.


▲ CPU 활용이 77%에 달하는 가상화폐 채굴 프로그램 brt[자료=인터넷]

그런데 얼마 전 한 무료 프로그램에서 업데이트를 통해 ‘스폰서 프로그램’이란 이름으로 채굴 프로그램을 설치하도록 한 사실이 알려지면서 문제가 되고 있다. 지난 12월 12일 ‘오캠(oCam)’으로 잘 알려진 소프트웨어 개발기업 오소프트의 가상 DVD 소프트웨어 ‘버추얼DVD(VirtualDVD)’가 최근 업데이트를 통해 비트코인 채굴 프로그램인 ‘BRTSvc’를 함께 설치하도록 한 것이다.

버추얼 DVD를 사용하던 한 사용자는 업데이트를 진행한 후, 백신 프로그램이 바이러스를 찾았다기에 확인해보니 비트코인 채굴 프로그램이었다면서, 버추얼 DVD 업데이트로 설치한 파일이었다고 오소프트 공식 카페에 글을 올렸다.

오소프트 측은 답글을 통해 ‘사용자 동의가 없었다는 말과 몰래 설치했다는 말은 허위사실’이라면서, ‘이것은 바이러스가 아닌 스폰서 프로그램이며, 백신업체에서 오탐을 한 것이라 해당업체에 요청하고 있다’고 주장했다.

실제 버추얼 DVD 설치 프로그램을 확인해보면, 사용자 계약서 ‘부칙’에 ‘자사 제품군과 더불어 제휴사에서 제공되는 스폰서 프로그램을 동반 설치할 수 있다’는 내용과 함께 ‘VirtualDVD, BRTSvc 사용자 계약에 동의합니다’라며 설치를 유도하고 있다.

이 사건에서 쟁점이 되는 것은 크게 두 가지다. 첫 번째, 비트코인 채굴 프로그램(BRTSvc)을 선택 여부를 묻지 않고 설치하도록 했다는 점과 두 번째, 비트코인 채굴 프로그램 자체를 정확한 설명 없이 사용자 PC에 설치하도록 한 것이다.

첫 번째 쟁점의 경우, 맨 처음 버추얼 DVD 업데이트 당시에는 버추얼 DVD와 비트코인 채굴 프로그램을 같이 선택하고 사용자 계약에 동의하도록 했다. 즉, 버추얼 DVD를 사용하려면 비트코인 채굴 프로그램도 동시에 사용할 수밖에 없었던 것이다. 하지만 해당 사건이 문제가 되자, 버추얼 DVD는 전에 없던 ‘BRTSvc’ 프로그램의 설치 여부를 묻는 체크리스트를 슬그머니 집어넣었다.

‘약관의 규제에 관한 법률’에 따르면 사용자의 PC에 프로그램을 설치할 경우 충분한 설명이 이뤄져야만 하는데, 버추얼 DVD가 가상화폐 채굴 프로그램을 설치하면서 ‘스폰서 프로그램’이라고만 설명할 뿐, 자세한 설명을 하지 않았다는 점에서 문제가 될 소지는 있다. 특히, 통상적으로 프로그램을 설치할 때 체크리스트를 활용하는 것으로 충분한 동의를 했다고 판단하는데, 버추얼 DVD는 그게 없었다는 것. 이후 프로그램을 수정해서 없던 체크리스트를 추가했다는 것 자체가 문제라고 보안전문가들은 말하고 있다.

두 번째 쟁점인 비트코인 채굴 프로그램을 설치하는 것에 대해서는 아직 100% 완벽한 답이 나오진 않은 상태다. 우선 비트코인 채굴 프로그램 자체가 불법 프로그램이 아닌데다, 이 프로그램이 악성행위를 하는지 안하는지 확인이 불가능하기 때문이다. 해외에서는 사용자 허락 없이 혹은 사용자 모르게 설치되어 보안이나 개인정보, 리소스 소모에 영향을 미치는 프로그램을 ‘잠재적 비요구 응용 프로그램(PUA: Potentially Unwanted Application)’라고 부른다.

PUA의 경우 대부분 악성코드로 분류하지만, 아직 법적인 판단이나 구분이 이루어지지 않았다. 보안전문 블로그인 ‘바이러스 가이드(Virus Guides)’에서는 자바 스트립트를 이용한 채굴 프로그램 ‘Pua.jscoinminer’를 반드시 제거해야할 바이러스 혹은 트로이목마라며 제거하는 방법을 소개하기도 했다.

결론적으로, 이번 버추얼 DVD의 가상화폐 채굴 프로그램 설치는 문제의 소지는 있지만, 법적으로 대응하기가 쉽지 않다. 하지만 오소프트가 BRTSvc 프로그램을 단순 스폰서 프로그램이라고 부르면서 큰 문제가 없다고 변명하고, BRTSvc 프로그램과 관련한 사용자들의 문의와 항의글을 삭제한 것은 사용자들에게 신뢰를 주는 행동이라고 보기 어렵다. 심지어 공식 카페는 문제가 불거진 16일부터 신규 가입을 받지 않고 있다. 이미 많은 사용자들이 버추얼 DVD 혹은 오소프트에 대한 신뢰를 접고, 프로그램을 삭제하거나 삭제를 권고하는 움직임을 나타내고 있다.
[원병철 기자(boanone@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>