[보안포커스] 모바일 뱅킹 악성앱은 진화중

지난해 국내에서 모바일 악성 앱과 관련된 가장 큰 위협은 무엇일까? 바로 ’스미싱’이다. SMS(단문 문자 메시지)를 이용해 사람들이 악성 앱을 설치하도록 유도하는 방식인 스미싱. 쿠폰, 청첩장, 돌잔치 문자부터 택배, 교통 위반, 카드 결제, 국기가관 사칭까지 다양했다.

 

스미싱으로 인해 유포되는 악성 앱의 가장 큰 목적은 금전적인 이득을 취하는 것이다. 2013년 상반기에는 소액결제 시스템을 이용한 불법 금융 사기가 다수 발견된 것에 비해, 뱅킹과 직접 관련된 악성 앱 발견 건수는 많지 않았다. 그러나 상반기에 비해 하반기(3분기) 들어 뱅킹과 관련된 악성 앱 건수가 크게 증가했다([그림1]). 

 

 

[그림 1] 모바일 뱅킹 관련 악성 앱 분기별 비교 현황

 

 

[그림 2] 모바일 뱅킹 관련 악성 앱 월별 주요 변화

 

[그림 2]를 보면 발견된 악성 앱들은 처음에는 단순한 피싱 형태였다. 그러다 점차 사용자들을 속이기 위해 그 수법이 교묘해지고 정교해지는 것을 알 수 있다. 따라서 이러한 변화 과정이 어떻게 이뤄졌는지 살펴볼 필요가 있다.

초기 발견된 피싱 앱들은 윈도 악성코드처럼 안드로이드 브라우저를 이용해 피싱 사이트로 접속을 유도하는 방식이었다. 또한 스미싱을 통해서뿐만 아니라 구글 플레이 공식 마켓에 등록돼 유포됐다.

 

플레이 마켓에서는 “LEAD TEAM”, “ZHANG MENG”, “waleriakowalczyk”, “Kyle Desjardins” 등의 제작자명으로 유포됐으며, 사용자가 해당 앱을 설치 후 실행하면 아래와 같이 알림창을 통해 피싱 사이트로 이동하는 기능을 했다.

 

 

[그림 3] 실행 화면 (좌) / 은행(피싱)사이트 접속 화면 (우)

 

그러다 중반부터는 본격적으로 모바일만의 특성을 이용한 악성 앱이 발견되기 시작했다. 앱 제작자는 스마트폰은 PC와 달리 앱을 통해 뱅킹을 이용한다는 점을 악용했다. 모바일에 설치된 정상적인 뱅킹 앱을 삭제하고 악성 앱을 설치하도록 유도한 것이다. 최근 발견되는 사례들도 이러한 형태를 기반으로 하고 있어 사용자들을 속이기 위한 방식은 점점 정교해지고 있다.

 

그 초기단계로 5월경 발견된 악성 앱은, 기존에 설치된 정상 앱을 삭제한 후 악성 앱을 설치하도록 했는데 해당 앱은 금융사 사칭 피싱 사이트를 통해 배포된 것으로 추정된다. 아래 [그림 4]와 같이 Drop 되는 금융 피싱 앱들이 악성 앱 안에 포함되어 있다.

 

 

[그림 5]는 금융사 사칭 악성 앱 중 하나이며 해당 앱 역시 사용자의 정보 및 금융정보 입력을 요구하는 피싱 앱인 것으로 확인된다. 이런 악성 앱들은 실행 시 곧바로 사용자에게 정상 앱 삭제를 요구하므로 사용자는 한 번쯤 의심해봐야 한다.

 

[그림 5] 8.apk 앱

 

[그림 6]과 같은 앱 또한 알림 메시지의 이미지가 정상적으로 나오지 않는 허점이 있지만, ‘알림’을 이용해 사용자가 의심 없이 악성 앱을 설치하도록 한다는 점에서 위험 요소가 된다.

 

[그림 6] 업데이트 알람 (좌) / 금융사 (피싱)앱 실행 화면 (우)

 

기존에 유포됐던 악성 앱은 금융사별로 피싱 앱을 모두 가지고 있었으나, 8월경에 또 다른 형태로 변경된 악성 앱이 발견됐다.

 

사용자 스마트폰에 설치된 뱅킹 앱을 체크하여 해당 뱅킹 앱에 맞는 피싱 앱만 다운로드 하는 형태이다. 이는 악성 앱의 용량을 줄여 유포하기에 효과적일 뿐만 아니라, 악성 앱 안에 존재하던 피싱 앱을 모바일 백신에서 진단되지 않기 위한 우회적 방법이었을 것으로 추정된다.

 

[그림 7]의 두 번째 그림에서 확인을 누르면 세 번째 그림과 같이 실제로 사용자의 공인인증서를 확인할 수 있다. 이는 기존 피싱 앱과는 달리 정상 뱅킹 앱과 매우 유사한 형태여서 자칫 속임수에 넘어갈 위험이 높다.

[그림 7] 다운로드 된 피싱 앱 실행 시 보이는 화면

 

 

모바일 특성상 현재까지 발견된 피싱 앱은 대부분 사용자가 수신된 문자에 링크된 URL을 터치해서 다운로드 되는 경우가 대부분이다. 따라서 앱 설치 전에는 반드시 퍼미션을 체크해야 한다. 또 스마트폰에서 환경설정→어플리케이션→알려지지 않은 소스(안드로이드 OS 기준)에서 설정 여부를 확인할 수 있다. 알려지지 않은 소스 설치가 허용돼 있다면 허용되지 않으므로 설정을 권한다.

이와 함께  ‘AhnLab 안전한 문자’ 설치를 권한다. 안전한 문자는 악성URL이 포함된 문자 메시지를 탐지하고,  URL을 통한 웹 브라우징 실행 시 실시간으로 감지하며 알 수 없는 소스(출처) 허용 설정 여부 확인 등 세 가지 다차원 보안 기능을 지원한다.

 

이 앱은 모바일 백신 제품이 아니므로 스마트폰 제조사를 통해 제공되고 있는 V3 모바일 백신 제품과 함께 사용하길 권한다. @

 

 

▲AhnLab 안전한 문자