안랩(053800)은 지난해 10월부터 피해를 일으키고 있는 안드로이드 악성코드 체스트가 지난해 4분기 14종에서 올해 3월 7일 현재까지 225종이 발견돼 16배나 늘었다고 밝혔다.
체스트 변종의 배포 방식은 종전과 동일하지만, 소스 코드가 일부 추가된 것이 특징이다. 커피, 외식, 영화 등 다양한 유명 브랜드를 사칭한 무료 쿠폰 안내와 URL을 문자로 보내 사용자를 현혹한다. 사용자가 무심코 URL을 클릭해 해당 페이지에서 애플리케이션(이하 앱)을 설치하면 본인도 모르게 소액결제가 이뤄져 금전 피해를 보게 된다.
이에 따르면 악성코드 제작자는 사전에 입수한 정보를 토대로 SMS(악성 앱 설치 유도 메시지) 수신자(타깃)를 웹 화면에서 관리 및 모니터링한다. 악성코드 제작자는 공격 대상을 정하면 ‘앱 설치하면 카페라떼+치즈케익이 공짜’ 등 사용자를 현혹하는 내용과 URL을 문자 메시지로 보낸다. 사용자가 단축 URL을 클릭해 앱을 설치하면 유명 커피 전문점을 사칭한 아이콘이 생성되고 서비스에 등록된다.
사용자가 악성 앱을 실행하면 ‘사용자 급증으로 시스템 과부화로 잠시 후에 다시 이용 바랍니다.’라는 메시지가 뜬다. 이는 피해자를 속이기 위한 허위 메시지이다. 악성 앱이 실행되면 통신사 정보와 스마트폰 번호가 악성코드 제작자에게 전송된다. 악성코드 제작자는 정보를 확보한 후 즉시 소액결제를 시도하고 이때 수신된 인증번호를 사용자 몰래 가로채서 금전을 탈취한다.
기존 악성코드는 대부분 불특정 다수를 대상으로 하고 개인정보 탈취가 주 목적이었다. 하지만 체스트는 과거 발생한 대량의 개인정보유출 사고를 통해 유출된 개인정보 중 주민번호와 전화번호를 이용해 특정한 공격 대상을 정한다는 점에서 기존 악성코드보다 진보된 형태라 할 수 있다.
특히, 소액결제 시 반드시 필요한 인증번호 문자 메시지가 사용자 몰래 직접 악성코드 제작자에게 전달되도록 설계되어 피해 사실을 당장 알기 어렵다. 또 사용자는 청구서가 나온 후에야 피해를 확인할 수 있다.
이호웅 안랩 시큐리티대응센터장은 “사용자는 문자로 전송된 URL을 클릭할 때나 해당 페이지에서 요구하는 앱 설치에 주의해야 한다, 새로운 앱은 1주일 이상 여유를 두고 평판을 지켜본 후 설치하는 등 신중함이 필요하다”고 말했다.
killpass@heraldcorp.com
<그림설명>
1. 공격자는 사전에 입수한 개인정보를 목록에 있는 공격대상에게 체스트 설치를 유도하는 SMS를 발송한다.
2. 일부 사용자는 SMS에 링크형식으로 포함된 악성코드를 설치한다.
3. 스마트폰이 감염되면 전화번호와 통신사 정보를 공격자에게 전달하고 좀비 스마트폰 상태가 된다.
4. 공격자는 확보한 개인정보 중 주민번호와 감염된 스마트폰 사용자의 전화 번호를 이용해 결제 사이트에 입력한다.
5. 소액결제사이트는 인증번호를 감염된 스마트폰으로 전달한다.
6. 감염된 스마트폰은 인증번호 SMS가 수신되면 사용자에게 SMS를 보여주지 않고 공격자에게 다시 전달한다.
7. 공격자는 전달받은 인증번호를 입력한다.
8. 소액결제가 가능한 사이트에서 정상적인 결제 절차를 완료하고 공격자는 현금화가 가능한 물품 구매를 완료한다.
