Home > 전체기사
한국과 일본 노리던 페이크스파이, 이제 세계로 진출
  |  입력 : 2020-07-03 14:58
페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기
안드로이드 모바일 사용자 노리는 SMS 캠페인...유명 물류 업체들 사칭해
문자 메시지 통해 악성 링크 전파...문자 메시지 링크 누르기 전에 출처 확인해야


[보안뉴스 문가용 기자] 안드로이드 모바일 사용자들을 노리는 새 SMS 피싱 캠페인이 발견됐다. 이 캠페인을 통해 정보 탈취형 멀웨어인 페이크스파이(FakeSpy)가 세계적인 운송 서비스 회사의 앱들로 위장한 채 퍼지고 있으며, 피해자들은 문자 메시지와 금융 정보를 잃고 있다고 한다.

[이미지 = utoimage]


이 캠페인이 처음 발견된 건 수주 전으로, 당시에는 한국과 일본 사용자들이 주요 표적이었다. 그러나 몇 주 사이에 중국, 대만, 프랑스, 스위스, 독일, 영국, 미국에서도 피해자가 나타나기 시작했다. 공격자들은 문자 메시지에 악성 링크를 첨부하는 식으로 멀웨어를 배포하는 중이라고 한다. 그렇다는 건 한국어와 일본어로 스미싱 공격을 했던 자들이 각종 언어를 구사하기 시작했다는 뜻도 된다.

피해자가 유명 물류 업체에서 보낸 것 같은 문자를 받아 링크를 클릭할 경우, 한 웹 페이지로 이동된다. 해당 페이지에 도착한 이후에는 특정 APK를 다운로드 받아 설치해야 한다는 안내 문구가 뜬다. 문제의 APK 파일은 마치 유명 물류 회사의 앱을 설치하는 것처럼 묘사되어 있지만 사실은 페이크스파이를 설치한다. 페이크스파이는 2017년에 발견된 멀웨어로 장비 내 문자 메시지와 연락처 정보 등을 수집하는 것으로 알려져 있다.

캠페인의 배후에는 중국의 사이버 공격 단체인 로밍 맨티스(Roaming Mantis)가 있는 것으로 보안 업체 사이버리즌(Cybereason)은 보고 있다. 실제 로밍 맨티스는 악성 앱을 정상 앱으로 둔갑시켜 공격하는 전술을 가장 많이 활용한다. 2년 전에도 구글과 크롬 앱으로 위장한 뱅킹 트로이목마를 안드로이드 사용자들에게 퍼트렸던 전적을 가지고 있다. 당시에는 미국 우편국의 앱을 모방하고 있었다.

사이버리즌이 올 4월에 발견한 페이크스파이는 대만의 청화포스트(Chungwha Post) 앱으로 보이게끔 꾸며져 있었다. 설치 과정에서 이 앱은 사용자에게 여러 가지 권한을 허용하도록 요구하는데, 문자 메시지에 대한 접근 권한은 물론 외부 스토리지에 대한 쓰기 권한, 네트워크 정보에 접근할 권한까지도 포함되어 있다.

이런 방식으로 설치된 페이크스파이는 libmsy.so 파일로부터 동적 라이브러리를 다수 다운로드 하며, 이 라이브러리들은 mycode.jar이라는 패키지 파일을 실행한다. 이 패키지 안에 다수의 정보 탈취 기능이 포함되어 있고, 이것들이 페이크스파이가 생성하는 프로세스로 편입된다.

페이크스파이가 이렇게 설치된 이후에는 제일 먼저 연락처에 저장된 정보를 전부 수집한다. 그 다음 기기 정보가 표적이 된다. 전화번호, 모델 명, OS 버전 등이 공격자에게로 전송된다. 그런 후 은행 관련 정보나 암호화폐 앱 정보를 노린다. 문자 메시지들도 무사하지는 않다.

재미있는 건 이 캠페인을 벌이는 자들이 공격을 펼치는 지역에서 유명한 우편 배달 서비스를 맞춤형으로 사용한다는 것이다. USPS, 영국왕립메일, 독일 더치포스트, 프랑스의 라뽀스뜨, 일본의 포스트, 스위스의 포스트 등 각 나라에서 이름이 있다 하는 서비스들은 전부 사칭되고 있다. 또한 로밍 맨티스는 안드로이드 개발자 도구인 웹뷰(WebView)를 사용해 가짜 애플리케이션을 만든다고 한다.

페이크스파이 공격에 당하지 않으려면 출처를 알 수 없는 곳에서 보내는 문자 메시지, 특히 링크를 포함하고 있는 문자 메시지를 무시할 수 있어야 한다고 사이버리즌 측은 강조한다. 이번 경우처럼 유명 유통 업체나 기관에서 온 것처럼 위장되어 있는 경우라고 하더라도 문자 메시지를 클릭하기 전에 ‘이런 문자가 올 만한 상황인지’ 검토해보고, 같은 조직에서 온 과거 문자 메시지와 비교해보는 게 좋다고 한다. 고객들에게 링크가 걸린 문자 메시지를 직접 보내는 서비스는 그리 많지 않다는 걸 염두에 두는 곳도 도움이 된다.

사이버리즌은 이번 캠페인이 ‘시작에 불과할 것’이라고 예측하고 있다. 캠페인의 진행 상황이나 공격 피해 규모 등을 봤을 때 아직은 페이크스파이를 가지고 여러 가지 실험을 하고 있는 것으로 보이기 때문이다. 곧 더 교묘한 배포 전략이 나오거나, 더 은밀한 버전의 페이크스파이가 나올 가능성이 클 것이라고 한다.

3줄 요약
1. 우리나라와 일본에서 유행하던 페이크스파이 캠페인, 세계로 진출.
2. 각 나라에서 유명한 물류 서비스인 것처럼 위장해 퍼지고 있음.
3. 배후에는 중국의 해킹 집단인 로밍 맨티스가 있을 것으로 의심됨.

[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>

  •  
  • 0
  • 페이스북 보내기 트위터 보내기 네이버 밴드 보내기 카카오 스토리 보내기


  •  SNS에서도 보안뉴스를 받아보세요!! 
그린존시큐리티 4개월 배너모니터랩 파워비즈 6개월 2020년6월22~12월 22일 까지넷앤드 파워비즈 진행 2020년1월8일 시작~2021년 1월8일까지위즈디엔에스 2018파워비즈배너 시작 11월6일 20181105-20200131
설문조사
코로나19 팬더믹 이후, 가장 기승을 부리고 있는 사이버 공격 유형은 무엇이라고 보시나요?
랜섬웨어
피싱/스미싱
스피어피싱(표적 공격)/국가 지원 해킹 공격
디도스 공격
혹스(사기) 메일
악성 앱
해적판 소프트웨어
기타(댓글로)