안드로이드 사용자에게 또 하나의 위협으로 떠오른 '블랙록(BlackRock)' 악성코드. 최근 발견된 이 멀웨어는 다양한 앱을 동시에 공격하며 사용자의 개인 정보를 빼돌릴 수 있는 것으로 알려졌습니다.
새로운 앱을 다운로드하기 전에 블랙록 악성코드가 무엇인지, 그리고 어떻게 자신을 보호할 수 있는지 미리 알아두는 것이 중요합니다.
블랙록 안드로이드 악성코드란?
2020년 5월, 보안 업체 ThreatFabric은 안드로이드 기기를 노리는 새로운 디지털 위협, 바로 블랙록 악성코드를 발견했습니다.
하지만 분석 결과, 블랙록은 완전히 새로운 위협이 아니었습니다. 블랙록은 은행 트로이 목마인 LokiBot 계열의 Xeres 악성코드 소스 코드가 유출되면서 파생된 것으로 밝혀졌습니다.
은행 트로이 목마에 기반을 두고 있지만, 블랙록이 노리는 것은 은행 앱만이 아닙니다. 쇼핑, 라이프스타일, 소셜, 엔터테인먼트, 심지어 데이팅 앱까지 공격 대상에 포함됩니다. 이처럼 넓은 공격 범위 때문에 더욱 위험한 존재로 평가받습니다.
실제로 블랙록의 표적 목록에는 무려 337개의 앱이 등록되어 있으며, 그중에는 우리가 매일 사용하는 앱도 포함되어 있습니다. 또한 특정 국가에 국한되지 않고 유럽, 북미, 호주 등 전 세계의 앱을 공격합니다.
ThreatFabric은 보고서에서 전체 표적 목록을 공개했는데, 여기에는 Gmail, Netflix, Snapchat, eBay, Twitter, TikTok, Facebook Messenger, PayPal 등이 포함되어 있습니다.
다행히 현재까지 블랙록은 구글 플레이 스토어에서는 발견되지 않았습니다. 현재는 제3자 사이트에서 다운로드한 앱을 공격하고 있지만, 이것이 구글 플레이 스토어에 절대 등장하지 않으리라는 보장은 없습니다. 공격자들은 언제든 구글의 보안 프로토콜을 우회하는 방법을 찾아낼 수 있기 때문입니다.
블랙록 악성코드가 정보를 훔치는 방식
블랙록이 기기에 침투하더라도, 모르는 사용자는 그 사실조차 눈치채기 어렵습니다. 이 악성코드는 '오버레이(overlay)'라 불리는 기법을 사용하는데, 정상적인 앱 위에 가짜 창을 띄우는 방식입니다. 오버레이는 실제 앱과 자연스럽게 어우러져 보이기 때문에 팝업창이 진짜 앱의 일부인지 아닌지 구분하기가 매우 어렵습니다.
가짜 창은 정상 앱을 본격적으로 사용하기도 전에 로그인 정보와 신용카드 번호를 입력하라고 요구합니다. 이를 통해 악성코드는 처음부터 사용자의 정보를 손에 넣을 수 있습니다.
애초에 블랙록은 접근성 서비스 권한을 확보함으로써 기기에 침투합니다. 감염된 앱을 설치하면 가짜 '구글 업데이트'를 활성화하라는 메시지가 뜨는데, 이를 승인하는 순간 악성코드가 기기를 마음대로 조작할 수 있게 됩니다.
안드로이드의 접근성(Accessibility) 기능에 대해 잘 모른다면, 이것이 기기에서 가장 강력한 기능 중 하나라는 점을 알아야 합니다. 원래는 장애가 있는 사용자를 돕기 위해 만들어진 기능이지만, 해커가 스마트폰을 해킹하는 데에도 악용될 수 있습니다. 이 기능은 화면 탭, 텍스트 음성 변환, 자막 생성 등 사용자를 대신해 다양한 작업을 자동으로 수행할 수 있습니다.
블랙록에 접근성 서비스 권한을 허용하면, 표적 앱을 열 때 나타나는 오버레이 화면을 만들 수 있습니다. 나아가 악성코드는 안드로이드 DPC(디바이스 정책 컨트롤러)를 이용해 스스로 관리자 권한까지 부여받습니다.
즉, 블랙록은 단순히 오버레이에 입력한 민감한 정보만 훔치는 것이 아니라 훨씬 더 많은 일을 할 수 있습니다. SMS 문자를 가로채고, 알림을 숨기고, 화면을 잠그는 것은 물론 키로깅(keylogging)까지 가능합니다. 따라서 이 악성코드가 기기에 설치되는 일은 결코 있어서는 안 됩니다.
블랙록 악성코드로부터 자신을 보호하는 방법
앞서 언급했듯이 블랙록은 아직 구글 플레이 스토어에서 발견되지 않았습니다. 하지만 현재 제3자 앱 스토어의 앱을 공격하고 있다고 해서, 구글 플레이에 침투하지 못할 거라고 단정할 수는 없습니다.
ThreatFabric은 "블랙록이 위협 환경에서 얼마나 오래 활동할지 아직 예측할 수 없다"고 밝혔습니다. 그동안 앱을 다운로드하기 전 몇 가지 주의사항을 기억해 두는 것이 좋습니다.
백신 앱만으로는 부족한 이유
스마트폰에 백신 앱을 설치하는 것은 나쁘지 않은 선택이지만, 안타깝게도 백신 앱만으로는 블랙록 악성코드를 막을 수 없습니다. 블랙록은 기기에 침투하면 백신 앱 사용 자체를 차단하는 기능을 갖고 있기 때문입니다.
Avast, Kaspersky, McAfee, BitDefender, Superb Cleaner 같은 백신이나 클리너 앱을 열려고 하는 순간, 블랙록은 즉시 홈 화면으로 되돌려 보냅니다. 이를 통해 사용자가 백신 앱으로 악성코드를 제거하는 것을 방해합니다.
따라서 제3자 스토어에서 수상한 앱을 다운로드하고도 백신 앱이 모든 위협으로부터 지켜줄 거라 생각한다면, 그 생각을 바꿔야 합니다.
앱 권한 꼼꼼히 확인하기
앱이 아무리 정상적으로 보여도 항상 앱 권한 요청을 주의 깊게 살펴야 합니다. 일부 앱은 앱의 핵심 기능과 전혀 상관없는 권한을 요구하기도 합니다.
예를 들어 손전등 앱이 SMS 문자에 접근할 필요는 당연히 없습니다. 이런 경우라면 즉시 앱을 삭제해야 한다는 신호입니다.
블랙록은 접근성 서비스 권한을 요구하기 때문에, 해당 권한을 요구하는 앱이 있다면 각별히 경계해야 합니다. 만약 앱이 실제로 장애인 사용자를 위한 것이고, 평점이 좋으며, 구글 플레이 스토어에서 제공된다면 접근성 권한을 허용해도 큰 문제가 없을 가능성이 높습니다. 그 외에는 권한이 불필요한 앱에 함부로 허용하지 않는 것이 안전합니다.
구글 플레이 스토어에서만 앱 다운로드하기
구글 플레이 프로텍트(Google Play Protect)는 앱을 다운로드하는 즉시 악성코드를 검사하고, 설치 후에도 주기적으로 재검사해 줍니다. 반면 제3자 앱 스토어에는 이런 보안 기능이 없기 때문에 보안 측면에서 사실상 혼자 힘으로 대처해야 합니다.
제3자 스토어의 이런 보안 취약점 덕분에 블랙록 악성코드가 활개를 칠 수 있었습니다. 블랙록에 노출될 위험을 줄이려면 제3자 앱 스토어 사용을 피하고, APK 파일 다운로드도 삼가는 것이 좋습니다.
안드로이드 기기를 안전하게 지키기
블랙록 악성코드가 구글 플레이 스토어에 상륙하는 일이 결코 일어나지 않기를 바랄 뿐입니다. 블랙록 배후 세력이 구글의 보안 정책에서 허점을 찾아낼 수 있을지는 아무도 모르지만, 성공한다면 블랙록은 상당수의 피해자를 양산할 수 있을 것입니다.
만약 블랙록이 구글 플레이 스토어에 등장한다 해도 놀랍지는 않을 겁니다. 실제로 조커(Joker) 악성코드가 포함된 여러 앱이 구글의 엄격한 보안 프로토콜에도 불구하고 구글 플레이 스토어에 유통된 사례가 이미 있었으니까요.