암호화폐 앱 위장한 신종 스파이웨어 '스파크키티', 앱스토어·구글플레이 통해 유포

글로벌 사이버 보안 리더 카스퍼스키(www.kaspersky.co.kr, 지사장 이효은)는 오늘, iOS와 안드로이드 스마트폰을 노리는 새로운 트로이 스파이인 ‘스파크키티’를 발견했다고 밝혔다. 이 악성코드는 감염된 스마트폰에서 사진과 기기 정보를 공격자에게 전송한다. 해당 악성코드는 암호화폐, 도박 관련 앱 및 트로이화된 틱톡 앱에 삽입되었으며, 앱스토어, 구글플레이 및 사기 웹사이트를 통해 유포되었다. 카스퍼스키 분석가들은 이 공격의 목적이 동남아시아 및 중국 거주자의 암호화폐 자산 탈취라고 분석하고 있다.

일부 기술적 세부사항에 따르면, 이번 새로운 악성코드 캠페인은 이전에 발견된 애플 앱스토어 보안을 우회해 스크린샷을 탈취하는 악성코드 '스파크캣(SparkCat)'과 연결된 것으로 보인다. 스파크캣은 iOS에서 최초로 발견된 악성코드 중 하나로, 광학 문자 인식(OCR) 모듈이 내장되어 있어, 이미지 갤러리를 스캔하고 암호화폐 지갑 복구 문구나 비밀번호가 포함된 스크린샷을 탈취했다. 카스퍼스키 분석가가 최초로 스파크캣을 발견하였고, 그 이후 1년도 안 되어 App Store에서 트로이 목마형 정보 탈취 악성코드인 스파크키티를 발견했다.

앱스토어에서는 스파크키티가 암호화폐 관련 앱인 ‘币coin’으로 위장했다. 또한 공식 아이폰 앱스토어를 모방한 피싱 페이지에서는 해당 악성코드가 틱톡 및 도박 앱으로 위장되어 배포되었다.

iOS

‘币coin’ - App Store에 등록된 암호화폐 거래소 사칭 앱

TikTok

개발자 도구를 통해 틱톡 앱을 설치하도록 유도하는 App Store 모방 웹페이지

WebStore

트로이화된 틱톡 앱에 내장된 가짜 웹 스토어

카스퍼스키의 세르게이 푸잔 악성코드 분석가는 “이번 트로이 유포 벡터 중 하나는 피해자의 iPhone을 감염시키기 위한 가짜 웹사이트였다. iOS에는 App Store 외부에서 프로그램을 설치할 수 있는 몇 가지 합법적인 경로가 존재한다. 이 악성 캠페인에서는 공격자들이 그중 하나인 기업용 앱 배포를 위한 특수 개발자 도구를 활용했다. 감염된 틱톡 버전에서는 사용자가 로그인할 때 스마트폰 갤러리에서 사진을 훔치는 것 외에도, 사용자의 프로필 창에 가짜 쇼핑몰 링크를 삽입했다. 이 쇼핑몰은 암호화폐로만 결제를 받기 때문에 더욱 의심스러운 점이 많다”라고 밝혔다.

안드로이드

공격자들은 제3자 웹사이트와 구글 플레이 양쪽 모두에서 사용자를 노렸으며, 다양한 암호화폐 서비스로 위장해 악성코드를 배포했다. 예를 들어, 암호화폐 거래 기능을 포함한 메신저 앱 ‘SOEX’는 공식 Google Play에서 1만 회 이상 다운로드 되었다.

Soex

‘SOEX’ - Google Play에 등록된 암호화폐 거래소 사칭 앱

카스퍼스키 전문가들은 해당 악성코드 캠페인과 관련된 것으로 보이는 감염된 앱의 APK 파일도 확인했으며, 이는 공식 스토어를 우회해 Android 기기에 직접 설치가 가능하다. 이 APK들은 대부분 암호화폐 투자 프로젝트로 포장되어 있으며, YouTube 등 SNS를 통해 홍보된 웹사이트에서 다운로드가 가능했다.

카스퍼스키 드미트리 칼리닌 악성코드 전문가는 “이 앱들은 설치 후, 설명대로 기능하는 것처럼 보였다. 하지만 동시에 스마트폰 갤러리에서 사진이 공격자에게 전송되었다. 사이버 공격자는 이후 이미지 속에서 암호화폐 지갑 복구 문구 등 민감한 데이터를 추출하려 시도할 수 있다. 또한, 공격자가 디지털 자산에 관심을 두고 있다는 간접적인 정황이 있다. 감염된 앱 대부분이 암호화폐와 관련이 있었고, 트로이화된 틱톡 앱 역시 암호화폐로만 결제되는 내장 쇼핑몰을 탑재하고 있었다”라고 말했다.

카스퍼스키 이효은 한국지사장은 “한국을 포함한 전 세계적으로 사이버 보안 위협 환경이 빠르게 진화하고 있는 가운데, 스파크키티의 발견은 사이버 범죄자들이 사용하는 정교한 전술을 다시 한번 상기시켜준다. 이 새로운 트로이 스파이는 iOS와 안드로이드 스마트폰 모두를 표적으로 하며, 사용자가 특히 암호화폐, 도박 앱, 틱톡 같은 인기 플랫폼을 이용할 때 더욱 주의가 필요하다. 이러한 악성코드가 가장 신뢰받는 앱 스토어조차 침투할 수 있기 때문에 보안 조치를 강화하고 사용자 인식 제고가 무엇보다 중요하다. 한국을 포함한 전 세계 사용자들은 Kaspersky Premium과 같은 신뢰할 수 있는 보안 솔루션을 사용하여 자산과 개인 정보를 보호해야 한다”라고 말했다.

스파크키티에 대한 보다 자세한 보고서는 Securelist.com에서 확인할 수 있다.

카스퍼스키는 스파크키티 악성코드의 피해자가 되지 않도록 다음과 같은 보안 수칙을 권장하고 있다.

ž 감염된 앱을 설치한 경우, 해당 앱을 즉시 삭제하고, 악성 기능이 제거된 업데이트가 제공되기 전까지 사용하지 말아야 한다.

ž 암호화폐 지갑 복구 문구 등 민감한 정보가 담긴 스크린샷은 갤러리에 저장하지 말아야 한다. 비밀번호는 Kaspersky Password Manager와 같은 전문 암호 관리자 앱에 저장해야 한다.

ž Kaspersky Premium과 같은 신뢰할 수 있는 보안 소프트웨어를 사용하면 악성코드 감염을 예방할 수 있다. 특히, Apple 운영체제의 구조적 특성상, 카스퍼스키의 iOS용 솔루션은 공격자의 명령 서버로 데이터가 전송되려 할 때 경고를 표시하고, 전송을 차단한다.

ž 앱이 사진 앨범 접근 권한을 요청할 경우, 해당 앱이 정말 그 권한이 필요한지 잘 확인해야 한다.