구글 제미나이 생성 이미지
모바일 보안업체 스레트패브릭(ThreatFabric)이 8월 20일(현지시간) 명령제어(C2) 서버에 접속하지 못할 때 주변 감염 기기를 거쳐 데이터를 빼가는 대체 유출 기능까지 갖춘 악성코드 매닉(Manic) 보고서를 공개했습니다.
적어도 지난 2월부터 유럽 여러 국가 이용자를 겨냥해 온 신종 안드로이드 악성코드 매닉은 스파이웨어와 금융사기, 원격제어 기능을 결합해 최소 169개 은행과 정부·전자신분증(eID), 결제, 암호화폐 지갑, 메신저, 인증(2FA) 앱을 노렸습니다.
이 악성코드는 정상 앱의 숫자 키패드 위에 투명 오버레이를 씌워 입력을 가로챈 뒤 안드로이드 접근성(Accessibility) 서비스로 그대로 재입력해 피해자 눈에는 앱이 정상 작동하는 것처럼 보이게 만듭니다.
접근성과 알림 접근 권한을 얻으면 잠금 PIN과 비밀번호를 훔치고 알림과 문자메시지를 가로챌 뿐만 아니라, 파일, 위치정보를 모으고 화면을 감시하기도 했습니다.
또한 WebRTC 세션으로 공격자에게 원격제어권까지 넘길 수 있는 데다 탈취한 정보를 잠금화면 입력이나 복구구문, 인증코드 등 유형별로 분류해 악용하기 쉽게 만듭니다.
감염된 장치가 C2 서버에 닿지 못하면 데이터를 암호화한 뒤 와이파이 다이렉트나 블루투스로 주변의 다른 감염 기기를 거쳐 전송하도록 치밀하게 설계되었습니다.
매닉은 영국을 포함한 중부 및 서유럽과 러시아 앱까지 폭넓게 겨냥하지만 대부분 우크라이나 은행이나 정부 앱, 전 세계 핀테크 및 암호화폐 서비스에 맞춰져 있습니다.
매닉의 최초 감염 경로는 밝혀지지 않았으나 5월 말 페이로드 전달용 래퍼가 처음 확인된 뒤 7월에는 분석 방해 기능을 강화하고 인메모리 DEX 로딩을 적용한 새 래퍼와 관리 패널·API까지 등장했습니다.
스레트패브릭은 불분명한 출처의 APK와 비공식 마켓 이용을 피하는 한편, 신뢰할 수 없는 앱에 대한 접근성 권한을 거부하고 플레이 프로텍트로 정기 검사할 것을 권고했습니다.
언제나 기분 좋은 소식을 전하고 싶습니다.
news@techg.kr
