한국 맞춤형 소액결제 과금형 안드로이드 악성 앱 피해 급증

감염된 스마트폰 인증번호 문자메시지 사용자 볼 수 없어 주의!

[보안뉴스 김태형] 보안 전문기업 잉카인터넷(대표 주영흠, www.nprotect.com)은 ISARC 대응팀을 통해 안드로이드 기반의 국내 스마트폰 이용자를 노린 소액결제 피해가 급격히 증가하고 있어 사용자들의 각별한 주의가 요구되고 있다고 14일 밝혔다.

국내 스마트폰 이용자가 약 3,200만명을 넘어서면서 안드로이드 스마트 단말 기반의 악성파일도 비례적으로 증가하고 있으며 특히 한국 내 이용자들을 상대로 한 맞춤형 악성파일 피해가 꾸준히 증가하고 있는 상황이다.

작년 11월부터 약 30만원 규모의 결제피해를 입히는 안드로이드 기반의 악성파일(KRSpammer)이 지속적으로 발견되고 있으며 현재까지 약 20여종 이상의 변종이 발견되었다.

악성파일 제작자는 유명 외식업체 등 잘 알려진 국내 브랜드의 할인이나 무료쿠폰 등의 문자메시지(SMS) 형식으로 전파되며 문자에 포함되어 있는 단축 URL 주소를 클릭하도록 유도한 후 사용자들로 하여금 악성 안드로이드 앱을 설치하도록 한다.

국내의 많은 웹 모바일 서비스는 문자메시지(SMS)를 이용해 본인 인증수단으로 활용하고 있다. 하지만 악성파일에 감염된 스마트폰에는 승인문자 메시지가 사용자에게 보여지지 않도록 숨겨지며 공격자에게 전송되도록 제작되었다. 공격자는 외부에서 가로채기 한 승인문자를 통해 정상 승인과정을 진행하여 사용자에게 소액결제 피해를 입히게 된다.

▲ KRSpammer 안드로이드 악성앱을 이용한 소액사기결제 절차.

ⓐ 악성앱(KRSpammer) 제작자는 이미 사전에 수집한 개인정보를 기반으로 특정 사용자들에게 악성앱 설치용 문자메시지를 발송한다.

ⓑ 이용자가 무심코 문자메시지의 단축URL 주소를 클릭하여 앱을 설치시 감염되고, 악성앱(KRSpammer)에 감염된 이용자의 단말기에서 정보를 수집하여 해커의 해외서버로 전송한다.

ⓓ 구매사이트에서는 결제대행사 등을 통해 본인 인증용 승인 문자번호를 사용자 휴대폰으로 발송한다.

ⓔ 악성앱(KRSpammer)은 실제 사용자에게 수신된 문자번호를 보이지 않도록 조작한다.

ⓕ 악성앱(KRSpammer)은 승인번호 문자메시지를 해커가 지정한 해외 서버로 몰래 전송한다.

ⓖ 서버에 수집된 승인번호를 가로채기하여 정상적인 구매절차를 수행한다.

ⓗ 해커는 적립된 사이버머니 등을 불법적으로 현금화하여 부당이득을 취한다.

잉카인터넷 ISARC 대응팀 문종현 팀장은 “대부분의 악성 애플리케이션은 잉카인잉카터넷 ISARC 대응팀 문종현 팀장은 “대부분의 악성 애플리케이션은 사용자들이 육안상으로 악성 동작을 확인하기 어려우며 손쉽게 유포하기 위해 제작자들은 정상적인 애플리케이션으로 위장하게 된다”고 말했다.

그는 “또한 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 애플리케이션이 오동작을 일으킨 것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이부분에 쉽게 현혹될 수 있으므로 사용자들이 각별한 주의를 기울여야 할 것이다”라고 강조했다.

잉카인터넷 nProtect Mobile for Android 제품에는 다음과 같이 이번에 발견 보고된 악성코드 파일들을 진단하고 있다.

- Trojan-SMS/Android.KRSpammer.A

- Trojan-SMS/Android.KRSpammer.B

- Trojan-SMS/Android.KRSpammer.C

- Trojan/Android.KRSpammer.D

- Trojan/Android.KRSpammer.E

- Trojan/Android.KRSpammer.F

- Trojan/Android.KRSpammer.G

- Trojan/Android.KRSpammer.H

- Trojan/Android.KRSpammer.I

- Trojan/Android.KRSpammer.J

- Trojan/Android.KRSpammer.K

- Trojan/Android.KRSpammer.L

- Trojan/Android.KRSpammer.M

- Trojan/Android.KRSpammer.N

- Trojan/Android.KRSpammer.O

- Trojan/Android.KRSpammer.P

- Trojan/Android.KRSpammer.Q

- Trojan/Android.KRSpammer.R

- Trojan/Android.KRSpammer.S

- Trojan/Android.KRSpammer.T

- Trojan/Android.KRSpammer.U

잉카인터넷 ISARC는 신규 보안취약점과 관련한 자료 수집 및 모니터링을 지속적으로 진행하고 있으며 새로운 악성파일이 발견되면 신속하게 업데이트 서비스를 제공하고 있다.

[김태형 기자(boan@boannews.com)]

내년 회사에 꼭 도입하고 싶은 보안 솔루션 또는 플랫폼은 무엇인가요?
	XDR
	EDR
	AI 보안
	제로트러스트
	공급망 보안 체계(SBOM)
	클라우드 보안 솔루션
	기타(댓글로)