앱스토어·구글플레이 침투해 사진 내 텍스트 정보로 코인 탈취
[금융소비자뉴스 박혜정 기자] 정상 앱으로 위장해 암호화폐를 탈취하는 신종 악성 앱이 등장해 이용자들의 각별한 주의가 요구된다.
글로벌 보안기업 카스퍼스키는 정상 앱으로 위장해 암호화폐를 탈취하는 새로운 '스파크캣(SparkCat)' 트로이목마 변종을 애플 앱스토어에서 2개, 구글 플레이스토어에서 1개 각각 발견해 제거를 완료했다고 27일 밝혔다.
변종 스파크캣을 분석 회피를 위한 난독화 복잡성을 계속 높이며 공식 앱 스토어 심사 과정 우회, 코드 가상화 등으로 공격자의 매우 높은 기술 수준을 보여주는 사례로 평가했다.
카스퍼스키 위협 연구팀에 따르면 이번 변종은 기업용 메신저와 음식 배달 앱 등 실생활에서 자주 쓰이는 정상 앱으로 교묘하게 위장해 유포됐다.
아이폰 사용자를 노려 일부 웹페이지는 iOS 기기로 접속할 경우 공식 앱스토어를 정교하게 모방한 형태로 위장해 사용자가 악성 앱을 내려받도록 유도했다. 안드로이드 버전은 특히 한국어, 일본어, 중국어 키워드가 포함된 이미지를 집중적으로 탐색, 아시아 지역 사용자를 주요 공격 대상으로 했다.
공식 스토어 외에도 제3자 유통 경로를 통해 활발히 배포되고 있어 위험을 더하고 있다.
해당 트로이목마는 사용자의 사진 갤러리를 무단으로 스캔해 암호화폐 지갑 복구에 필요한 문구를 찾아낸다. 이 악성코드는 겉으로는 정상적인 기능을 수행하지만 백그라운드에서는 광학 문자 인식(OCR) 기술을 동원해 기기에 저장된 이미지 내 텍스트를 분석한다.
분석 도중 암호화폐 지갑 복구용 키워드가 탐지되면 즉시 해당 이미지를 공격자의 명령 제어(C2) 서버로 전송해 사용자 지갑에 무단 접근하는 방식을 취한다.
이효은 카스퍼스키 한국지사장은 "한국은 스마트폰 보급률이 높고 암호화폐 사용이 활발해 진화하는 모바일 위협의 주요 표적이 되고 있다"며 " "민감한 정보를 사진첩 등 눈에 띄는 곳에 저장하지 말고, 자산을 보호하기 위해 전문적인 모바일 보안 솔루션을 도입할 필요가 있다"라고 조언했다.
