보도자료

'크롬 업데이트 하세요' URL 누르면 악성코드 감염

'검색 기능 개선을 위해 크롬을 최신 버전으로 업데이트 하세요'

스마트폰 이용 중 갑자기 이런 메시지가 나타나면 주의해야 한다. 금전 목적으로 스마트폰에 백도어를 만드는 해킹 시도다. 카스퍼스키랩은 아시아 사용자 스마트폰을 노린 신종 악성코드 '로밍 맨티스(Roaming Mantis)' 공격을 발견했다.

공격자는 취약한 라우터를 찾아내 보안 기능을 손상시켜 악성코드를 퍼트린다. 라우터 DNS를 납치(하이재킹)해 사용자가 특정 웹사이트에 접근을 시도하면 가짜 웹사이트로 유도한다. 크롬을 업데이트 하라는 메시지 등을 쓴다. 사용자가 링크를 클릭하면 트로이목마를 포함한 애플리케이션이 설치된다.

'facebook.apk' 또는 'chrome.apk'라는 이름을 쓰는 악성앱은 안드로이드 백도어 프로그램이 숨겨져 있다. 로밍 맨티스 악성코드는 스마트폰이 루팅 됐는지 확인 한 후 사용자 모든 커뮤니케이션이나 검색활동에 알림을 받는 권한을 요청한다. 악성앱은 2단계 인증에 필요한 자격 증명 정보도 수집한다.

특히, 한국에서 주로 쓰는 모바일 뱅킹과 게임 애플리케이션 ID 검색이 소스코드에 포함됐다.

카스퍼스키랩 연구진은 공격 활동 배후에 금전적 이득을 목적으로 하는 한국어 또는 중국어 기반 사이버 범죄집단으로 추정한다. 초기 연구에서 밝혀낸 약 150명 피해자는 주로 대한민국, 방글라데시, 일본에 분포했다. 해커 명령&제어(C&C) 서버에서 매일같이 수천 건 연결이 이뤄졌다. 로밍 맨티스는 초기에 한국어, 중국어 간체, 일본어, 영어를 지원했다.

현재 공격 범위는 확대돼 폴란드어, 독일어, 아랍어, 불가리아어, 러시아어 등 총 27개 언어를 지원한다. 악성앱이 iOS 기기를 인식하면 애플 테마 피싱 페이지로 이동하는 기능이 추가됐다.

이창훈 카스퍼스키랩코리아 대표는 “4월 처음 로밍 맨티스를 발견했는데 변화 속도가 빠르다”면서 “공격 국가가 아시아에서 유럽과 중동까지 확대됐다”고 말했다. 이어 “불특정 와이파이 사용시 가상사설망(VPN) 기능을 활용해야 피해를 줄일 수 있다”고 덧붙였다.

김인순 보안 전문기자 insoon@etnews.com