유럽발 모바일 악성코드 ‘드로이드잭’ 주의보

지난 10월 말, 영국 경찰이 28세의 남자를 ‘컴퓨터 관련 법규 위반 혐의’로 체포했다. BBC의 보도에 따르면 체포된 남성은 ‘드로이드잭(DroidJack)’이라는 모바일 악성코드를 구입한 것으로 알려졌다. 또한 독일 및 스위스에서도 전격 가택 수색을 통해 드로이드잭 악성코드를 ‘구입’ 또는 ‘사용’한 혐의로 10여 명이 체포되었다. 이는 모두 사이버 범죄 방지를 위한 독일, 프랑스, 영국, 벨기에, 스위스, 미국의 국제 공조인 ‘드로이드잭 작전(DroidJack Operation)’의 일환으로, 눈길을 끄는 부분은 지금까지와는 달리 해킹툴을 제작 및 판매한 사람이 아니라 해킹툴을 ‘구매’한 사람을 체포했다는 점이다. 해킹툴 제작자를 추적하기가 쉽지 않기 때문이기도 하고, 해킹툴 구매자를 체포함으로써 이를 이용한 악성 앱 제작을 차단하겠다는 의지로 풀이된다. 

이 글에서는 악성 앱 제작에 이용되는 모바일 악성코드인 드로이드잭의 주요 기능과 유포 방식에 대해 알아본다.

드로이드잭(DroidJack)은 안드로이드 기반의 스마트폰을 노리는 RAT(Remote Access Trojan)류의 악성코드로, 스마트폰의 데이터 트래픽 모니터링, 통화 감청, 카메라의 정보 및 중요 데이터 탈취 등의 악의적인 행위를 한다. 드로이드잭은 온라인상에서 210 달러(또는 190유로) 정도에 거래되고 있으며, 구매 시 다음과 같은 사용자 정보를 요구한다.  

드로이드잭은 APK 빌드가 가능하며 감염된 스마트폰의 정보를 탈취하고 모니터링 할 수 있는 기능이 내장되어 있다. 드로이드잭의 주요 기능을 살펴보면 다음과 같다. 

감염된 스마트폰의 모니터링을 위해 드로이드잭은 [그림 2]와 같은 콘솔 화면을 제공하고 있다.이를 통해 감염된 스마트폰의 통화 내역을 기록하거나 위치 추적, SMS 내역 확인, 브라우저의 방문 정보 탈취 등 다양한 악의적인 행위를 수행할 수 있다. 

[그림 2] 드로이드잭 v2.6 빌더 및 모니터링 콘솔

안드로이드 스마트폰을 노리는 악성 앱은 주로 구글(Google)이나 유틸리티, 유명 게임 등의 아이콘으로 위장하여 제작되기 때문에 사용자가 별 다른 의심없이 설치하는 경우가 많다. 드로이드잭 역시 다양한 앱으로 위장하여 유포되고 있는데, 안랩에서 파악하고 있는 대표적인 드로이드잭 앱의 아이콘은 [그림 3]과 같다(테스트를 위해 제작된 앱도 일부 포함되어 있다).

[그림 3] 유명 앱으로 위장한 드로이드잭 악성 앱

위의 드로이드잭 악성 앱 중 유명 게임인 ‘Agar.io’의 아이콘으로 위장한 드로이드잭 악성 앱을 살펴보자. 

[그림 4] 드로이드잭 악성 앱의 권한 요구 

[그림 4]는 Agar.io로 위장한 악성 앱을 설치한 화면이다. 해당 악성 앱은 설치 과정을 통해 악의적인 행위에 필요한 여러 권한을 획득한다. 설치가 완료된 후 실행되면 자기 자신의 아이콘을 제거함으로써 사용자가 악성 앱의 설치 여부를 알아차리지 못 하도록 한다. 

[그림 5] 악성 앱 설치 아이콘(왼쪽)과 설치 및 실행 후 아이콘이 사라진 화면(오른쪽)

드로이드잭을 이용한 악성 앱 제작 및 유포 우려

‘드로이드잭 작전(DroidJack Operation)’은 독일, 프랑스, 영국, 벨기에, 스위스 등을 중심으로 한 유럽 사법부와 유럽 경찰(Europol), 그리고 미국이 사이버범죄 척결을 위해 적극적으로 협력한 사례라는 점 외에도 사이버 암시장에 대한 새로운 접근 방식이라는 것에 의미가 있다. 드로이드잭 작전은 해킹툴 판매자가 아닌 구매자를 체포함으로써 단순 흥미로라도 해킹툴을 구매해 악성 앱을 제작하려는 이들을 일벌백계 하는 한편 악성코드 제작자의 자금줄을 약화시키겠다는 전략이다. 해킹툴 판매를 근간으로 하고 있는 사이버 암시장에서 판매자가 아닌 구매자를 통제함으로써 사이버 암시장의 악순환을 끊어놓을 수 있을지 귀추가 주목된다.  

드로이드잭 사례에서 볼 수 있듯, 최근 악성 앱은 사용자에게 익숙한 유명 앱으로 위장하여 설치되어 스마트폰에 저장된 중요한 정보를 탈취하거나 스마트폰의 기능을 악용하는 형태다. 드물긴 하지만 공식 마켓에도 악성 앱이 등록되는 경우도 있어 더욱 사용자들의 주의가 필요하다. 공식 앱을 통해 앱을 설치하되 해당 앱의 평판 정보를 꼼꼼히 확인하고 이용하는 것이 바람직하다. 스마트폰으로 전송되는 문자 메시지에 포함된 URL을 통해 악성 앱이 설치되는 경우도 있어 확인되지 않은 발송자로부터 전달된 URL을 클릭하거나 앱을 설치하지 않도록 유의해야 한다. 이와 함께 V3 Mobile이나 ‘안랩 안전한 문자’ 등 모바일 백신 앱 또는 스미싱 탐지 앱을 이용해 평소 모바일 악성코드를 방지하는 습관이 필요하다. 

한편 V3 Mobile은 드로이드잭 악성코드를 아래와 같은 진단명으로 탐지하고 있다. 

<V3 Mobile 진단명>

Android-Trojan/Sandrorat