안드로이드는 윈도우보다도 큰 규모의 세계 최대 소비자 운영체제입니다. 그렇기 때문에 안드로이드가 악성코드의 주요 표적이 되는 것은 놀라운 일이 아닙니다. 수년간 이어져 온 상황으로, 안드로이드가 성장할수록 위협 역시 함께 커지고 있습니다.
2017년 여름, 상당 기간 동안 악용되어 온 새로운 취약점이 드러났습니다. 바로 75개가 넘는 앱에 사전 설치된 형태로 존재하는 악성 광고 라이브러리입니다. 과연 내 기기도 영향을 받았을까요? 그리고 어떻게 대처해야 할까요?
자비에르(Xavier), 악성 광고 라이브러리의 정체
안드로이드 앱 개발자들은 대부분 무료 앱을 배포합니다. 전체 안드로이드 앱의 90% 이상이 무료이며, 개발자는 광고를 통해 수익을 창출합니다. 이러한 광고는 앱 인터페이스에 삽입된 코드, 즉 '광고 라이브러리'를 통해 제공됩니다. 앱 개발자들은 해당 라이브러리 제공업체가 정상적인 광고만 게재한다고 신뢰하지만, 항상 그런 것은 아닙니다.
자비에르(Xavier)는 바로 이런 사례에 해당하는 악성 광고 라이브러리입니다. 멀버타이징(malvertising, 악성 광고)에 사용되는 AdDown 계열 악성코드의 일종으로, 2016년 9월 처음 모습을 드러냈습니다. 트렌드마이크로(Trend Micro)의 조사에 따르면 자비에르는 상당히 많은 안드로이드 앱에서 발견되었으며, 미디어 플레이어부터 실제 효과가 거의 없는 RAM 최적화 도구에 이르기까지 다양한 앱이 포함되어 있습니다.
요컨대 어떤 종류의 앱을 사용하든 자비에르에 감염되었을 가능성은 언제나 있습니다. 위협이 주로 동남아시아를 겨냥한 것으로 보이지만, 구글 플레이를 통해 전 세계 어디서나 앱을 설치할 수 있는 현실에서는 누구나 무해해 보이는 앱을 설치하다가 감염될 수 있습니다.
자비에르가 안드로이드 기기에 가하는 악영향
자비에르 광고 라이브러리는 스마트폰, 태블릿은 물론 TV 박스나 안드로이드 게임 콘솔까지 다양한 기기에 영향을 줄 수 있는 여러 기능을 갖추고 있습니다.
- 구형 안드로이드 버전에서는 사용자에게 알리지 않고 APK 파일을 기기에 설치할 수 있습니다.
- 원격 코드 실행이 가능해 해커가 사용자의 폰에서 임의의 코드를 실행할 수 있습니다.
- 신원 및 기기 복제 기능이 포함되어 있어 개인 정보와 더불어 휴대폰 제조사·모델명, SIM 카드 정보, 설치된 앱 목록까지 수집할 수 있습니다.
- 탐지가 매우 까다롭습니다. 데이터 통신을 암호화하고 검사 중에는 잠복 상태를 유지하도록 설계되어 일반 모바일 백신 프로그램도 놓치기 쉽습니다.
결론적으로, 스마트폰에서 실행되고 있다면 절대 원치 않을 악성코드입니다. 안드로이드 악성코드 위협은 많지만, 자비에르는 특히 교활한 편입니다. 악성코드 개발자와 보안 연구자들이 서로를 앞지르려는 일종의 '군비 경쟁'을 보여주는 또 하나의 사례이며, 자비에르의 개발자는 광고가 안드로이드 폰과 태블릿에 전달되는 방식의 취약점을 영리하게 악용했습니다.
감염된 75개 앱, 지금 바로 확인하세요!
트렌드마이크로의 조사 덕분에 어떤 앱들이 자비에르 악성 광고를 안드로이드 기기에 전달하는지 상당 부분 파악할 수 있게 되었습니다. 이들 앱 중에는 'MP3 Cutter and Ringtone Maker'(com.efflicnetwork.ringtonecutter)와 'Fast launchers – Best & Small'(com.azurersweet.launcher) 같은 앱이 포함되어 있습니다.
목록을 살펴보면 언뜻 흥미롭고 유용해 보이는 앱들이 많습니다. 겉보기에 수상한 점은 전혀 없으며, 앱 개발자들이 자비에르 광고 라이브러리가 고객 데이터를 수집한다는 사실을 알았다는 증거도 없습니다.
혹시 이런 앱이 폰에 설치되어 있다면 즉시 삭제하세요. 나중에 실수로 다시 설치하는 일을 막으려면 구글 플레이의 앱 라이브러리에서도 제거하는 것이 좋습니다. 안드로이드 기기에서 구글 플레이 앱을 열고 메뉴를 누른 뒤 내 앱 & 게임 > 라이브러리로 이동하여 삭제할 앱을 찾은 후 X 버튼을 탭하면 라이브러리에서 제거됩니다.
자비에르 악성 광고로부터 스스로를 지키는 방법
이미 해당 앱을 한두 개 설치했을 수도 있고, 이미 삭제하고 라이브러리에서도 제거했을 수도 있습니다. 하지만 애초에 이런 앱을 사용하지 않았다면 어떻게 피할 수 있을까요?
방대한 목록을 일일이 확인하는 것은 비현실적입니다. 개발자는 앱 이름을 쉽게 바꿀 수 있기 때문에 큰 의미도 없습니다. 대신 앱 설치 시 철저한 습관을 유지하는 데 집중해야 합니다.
첫 번째 단계는 검증된 개발자의 앱만 설치하는 것입니다. 예를 들어 'Gosi Team'이라는 개발자를 처음 들어본다면, 충분히 조사하기 전에는 해당 업체의 소프트웨어를 설치하지 마세요(실제로 Gosi Team의 앱 중 최소 하나가 자비에르에 감염된 것으로 확인되었습니다).
구글, 마이크로소프트 등 잘 알려진 개발사의 앱은 악성코드를 포함하고 있을 가능성이 낮습니다. 그리고 무엇보다, 앱을 설치할 때는 구글 플레이든 외부든 반드시 리뷰를 꼼꼼히 확인하는 습관을 들이세요.
기기에 소프트웨어를 추가하는 일은 신중하게 고민할 문제입니다. 생각해 보세요. 그 안에는 온갖 개인 데이터가 담겨 있습니다. 이런 정보가 잘못된 손에 넘어가길 원하지 않는다면, 평판 좋은 앱만 사용하세요.
경각심이 곧 방패입니다
우리는 폰에 개인 데이터를 저장하며 어디든 함께 다닙니다. 연락처, 클라우드 동기화, 사진까지 말입니다. 악성 광고 사기꾼에게 기기를 장악당하는 일은 결코 달갑지 않겠죠. 위에서 소개한 방법들을 활용해 안전을 지키고, 온라인 보안 뉴스를 꾸준히 확인하며 경각심을 유지하세요. 보안 백서(white paper) 몇 편을 읽어보는 것도 좋은 방법입니다.
혹시 안드로이드 악성코드에 감염된 경험이 있으신가요? 자비에르가 폰이나 태블릿에 악성 광고를 보낸 적이 있다면 댓글로 알려주세요.