2021-12-06 20:40 (월)
애니팡, 윈드러너 위장 스파이앱 유포中…주의!
상태바
애니팡, 윈드러너 위장 스파이앱 유포中…주의!
  • 길민권
  • 승인 2013.03.06 05:51
이 기사를 공유합니다

카카오톡 게임으로 사칭 안드로이드 악성앱 구글 플레이 다수 유포 중
구글 플레이 공식마켓에서 한국 스마트폰 이용자들을 대상으로 은밀하게 악성앱이 다수 전파 중인 정황이 포착돼 이용자들의 각별한 주의가 요구된다. 특히, 스마트폰 이용자들에게 널려 알려져 있고, 이용자가 많은 카카오톡 게임인 "애니팡", "윈드러너:진화의 시작", "터치파이터" 등의 아이콘으로 위장해 이용자들을 현혹시키고 있다. "윈드러너:진화의 시작"으로 위장한 경우는 구글 플레이 마켓에는 "터치파이터" 내용으로 보여지지만, 설치가 완료되면 "윈드러너:진화의 시작" 아이콘으로 설치된다.
 
잉카인터넷 대응팀 관계자는 “제작자는 대만 계정의 hotmail.com 이메일을 사용하고 있으며, 국내 안드로이드 기반의 스마트폰 이용자들의 정보수집 목적으로 악성앱을 2013년 2월 2일 경부터 3월까지 꾸준히 유포 중에 있다”며 “또한 대응팀이 추적한 결과 악성앱 제작자는 스마트뱅킹용 피싱기반의 악성앱도 제작해 유포 중에 있었고, 마치 국내 유명 금융사이트의 스마트뱅킹 앱처럼 조작한 경우도 발견된 상태다. 해당 악성앱은 인터넷뱅킹 이용자들이 주로 사용하는 개인 금융정보 입력을 과도하게 유도하여 불법적으로 탈취를 시도하고 있다”고 분석했다.
 
◇구글 플레이 공식마켓에서도 악성앱 주의
카카오톡 게임으로 위장한 악성앱은 구글 플레이 공식마켓을 통해서 유포 중에 있다. 특이하게도 "터치파이터"의 경우 설치과정에서는 "윈드러너:진화의 시작" 아이콘으로 변경되고, "캔디팡"의 경우 "애니팡" 아이콘으로 설치된다. 구글 공식마켓에서도 악성앱이 배포될 수 있다는 점도 충분히 유념해야 할 것으로 보인다.
 
잉카인터넷 대응팀은 한국인터넷진흥원(KISA)에 구글 플레이 마켓에 등록된 악성앱들에 대한 정보를 제공했고 신속한 차단 및 공조협조를 요청한 상태다.
 
악성앱은 "애니팡", "윈드러너:진화의 시작" 아이콘처럼 위장되어 설치 시도가 진행된다. 구글 플레이 공식마켓을 통해서 설치할 때는 설치권한에 대한 자세한 설명도 별도로 볼 수 있다.
 
해당 악성앱은 사용자 스마트폰의 문자메시지(SMS)와 전화번호 날짜와 수신시간 등의 정보를 수집해 특정 호스트로 유출을 시도한다. 해당 호스트 정보는 APK 내부의 "assets" 폴더에 포함되어 있는 "url.txt" 파일에 의해서 결정되는데, 이는 공격자로 하여금 호스트 서버가 차단되면 좀더 편리하게 변종을 제작해서 유포할 수 있는 환경을 만들어 놓기 위한 것으로 보여진다. 호스트 서버가 차단되면 악성앱 제작자는 "url.txt" 파일의 호스트 IP주소 정보만 변경해서 손쉽고 자유롭게 변종을 제작 유포할 수 있기 때문이다.
 
확인된 IP주소와 도메인은 다음과 같다.
- http://110.34.133.139
- http://110.34.133.140
- http://110.34.229.124:8081
- http://www.anipang2.com/aaa.php
- http://110.34.175.91/
- http://110.34.229.114:8081
 
또한 악성앱 제작자는 게임으로 위장해 스마트폰 문자메시지(SMS) 탈취형 스파이앱 뿐만 아니라 스마트뱅킹 이용자들을 겨냥한 피싱앱 등 총 6가지의 악성앱을 동시에 제작해 유포한 정황도 확인된 상태다.
 
다음은 마치 유명 카카오톡 게임과 국내 유명 스마트뱅킹 앱처럼 위장하여 설치된 화면이다. 아래 화면은 실제 정상적인 아이콘을 가지고 있지만 모두 정상앱으로 사칭한 악성앱들이다.

 
"SmsProctect" 이름의 악성앱의 경우는 "/sdcard/DCIM/Camera" 경로의 ".jpg" 파일을 확인하여 외부로 유출을 시도하는 기능도 수행할 것으로 보여진다.
 
이번에 발견된 안드로이드 스마트뱅킹 피싱앱은 스마트폰 단말기 상에서 웹 사이트 주소가 보여지지 않도록 조작한 것이 특징이며, 기존에 발견되었던 스마트뱅킹 피싱앱과 다르게 스마트 단말기에 최적화되도록 디자인되었다.
 
스마트뱅킹 피싱앱은 마치 정상적인 금융보안 서비스 신청 내용처럼 위장해 이용자로 하여금 과도하게 개인금융정보를 입력하도록 피싱을 유도한다. 특히 보안카드의 모든 비밀번호가 입력되면 실제 정상적인 금융 웹 사이트로 연결해 사용자를 속이고 있다.
 
대부분의 안드로이드 성앱은 사용자들이 육안상으로 쉽게 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 앱으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 앱이 오동작을 일으킨 것처럼 위장하고 있는 경우도 있어 일반 사용자들은 이 부분에 쉽게 현혹될 수 있다.
 
잉카인터넷 대잉팀은 “점차적으로 유포 및 감염에 있어 지능화 되어 가는 악성 애플리케이션들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 스마트폰 보안 관리 수칙을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법”이라고 강조했다.  
 
<스마트폰 보안 관리 수칙>
1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.
 
2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.
 
3. 문자메시지로 받은 쿠폰이나 이벤트, 특정 앱으로 소개하는 인터넷 주소로 악성앱이 배포되는 경우가 많으므로, 추가 앱이 설치되지 않도록 각별히 주의한다.
 
4. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.
 
5. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.
 
6. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.
 
7. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.
 
8. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.
 
9. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.
 
10. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.
 
데일리시큐 길민권 기자 mkgil@dailysecu.com