사이버 보안 전문회사 파이어아이(Fire Eye)는 최근 일반 사용자들이 많은 우버, 왓츠앱, 구글 플레이의 모양과 느낌의 인터페이스를 모방, 비슷한 느낌을 주는 안드로이드 멀웨어(악성코드)를 발견했다고 29일(현지시간) 밝혔다.
악성코드가 처음 발견된 곳은 덴마크로 이탈리아와 독일, 그리고 오스트리아를 거쳐 유럽 전역으로 빠르게 전파되고 있어 주의가 요망된다고 덧붙였다.
악성코드가 전명되는 경로는 표면상 합법적으로 연결된 링크를 클릭하면 악성코드가 포함된 파일이 수신(다운로드)되고 기본(백그라운드) 앱에 설치되면서 사용자의 기기를 감시하는 활동을 시작한다.
악성코드는 매우 정교하게 만들어져 사용자가 애플리케이션을 구동하려 할 때 악성코드가 작동하도록 프로그램 돼 있다. 즉 악성코드가 정품 애플리케이션의 UI(유저인터페이스) 명령을 속이는 방법으로 겹쳐 실행된다.
따라서 악성코드에 감염된 기기는 금융기관 이용에 필요한 ID, 비밀번호 등 제반 개인정보를 탈취하거나 신용카드에 관련된 민감한 정보를 입력하도록 유도한다.
문제는 사용자가 응용프로그램을 사용하는 동안 정상적인(정품) 앱의 UI가 구현되기 때문에 100% 신뢰할 수밖에 없게 된다는 점이다. 현재 이 악성코드는 왓츠앱, 위쳇, 우버, 페이스북, 바이버, 구글 플레이 스토어 등 8개 앱을 모방하고 있는 것으로 밝혀졌다.
특히 이 악성코드가 시간이 지나면서 더욱 정교하게 진화하고 있다고 한다. 예를 들어 은행 업무와 관련된 앱이 감염돼 경고가 발령될 경우 메시징 앱으로 대상을 바꾸거나 더욱 정품 앱에 가깝게 변한다는 것이다.
또한 새로운 기능도 추가되기도 하는 것으로 나타났다. 안드로이드 4.3버전에서 나타난 경향이기는 하지만 SMS의 쓰기 기능을 제한하거나 우회하는 등 적극적으로 코드를 변경하면서 사용자들의 클릭을 유도한다고 한다.
더불어 악성코드 제작자는 SNS를 통해 정품(공식) 애플리케이션에 링크된 악성코드를 “당신이 보내려고 하는 명령을 수행할 수 없습니다” 또는 “배송정보를 확인하기 바랍니다” 등의 메시지와 함께 그럴싸해 보이는 문구를 집요하게 표시한다.
그 결과 덴마크에서는 하나의 SNS 링크 클릭수가 13만을 넘었다는 보고다. 국내에도 알게 모르게 상륙했을 가능성이 높기 때문에 안드로이드 사용자들의 주의가 요망된다.
