누리랩, 국민건강보험공단 사칭 악성 앱 포착

국민건강보험공단을 사칭한 피싱 사이트에서 악성 앱(APK)이 유포되고 있어 주의가 필요하다.

누리랩(대표 최원혁)은 위협분석 전문조직 미노스 이그나이트(MINOSS IGNITE) 센터가 국민건강보험공단을 사칭한 피싱 사이트에서 유포된 악성 안드로이드 앱(APK)을 포착하고 분석했다고 24일 밝혔다. 악성 앱은 삼성 기기와 한국어 환경 등 특정 조건에서 기능을 활성화하도록 설계된 것으로 분석됐다.

이번 공격은 누리랩의 악성 인터넷주소(URL) 탐지 서비스 ‘애스크유알엘(ASKURL)’에서 처음 탐지됐다. 공격자는 국민건강보험공단의 ‘보안 고지서’ 페이지를 사칭한 피싱 사이트를 만들고 보안문서를 열람하려면 별도의 ‘보안문서 Viewer’를 설치해야 하는 것처럼 속여 악성 APK 설치를 유도했다.

누리랩이 확보한 APK를 분석한 결과 정상 PDF 리더로 위장한 악성 드로퍼(Dropper)로 확인됐다. 드로퍼는 기기에 다른 악성코드를 추가로 설치하거나 실행하는 악성 프로그램을 뜻한다.

해당 앱은 코드를 알아보기 어렵게 만드는 난독화와 앱 실행 과정에서 숨겨진 코드를 추가로 불러오는 동적 덱스(DEX) 로딩 기법을 사용했다. 이후 외부 명령제어(C2) 서버와 통신하면서 기기 식별번호(IMEI), 가입자 식별번호(IMSI), 전화번호 등의 정보를 수집하는 것으로 분석됐다. 추가 APK 설치와 기기 재부팅 이후 자동 실행 기능도 확인됐다.

심층 분석에서는 삼성 기기와 한국어 환경, ARM 중앙처리장치(CPU) 등 특정 조건에서만 악성 기능을 활성화하는 동작이 발견됐다. 디버거나 에뮬레이터 환경에서는 동작을 숨기는 기능도 확인됐다. 누리랩은 이를 한국 사용자를 겨냥하면서 보안 분석 환경을 회피하려는 정황으로 판단했다.

공격자는 구글 스프레드시트를 이용해 C2 서버 주소를 동적으로 변경할 수 있도록 구성했다. 감염된 기기에서는 파일 탐색과 업로드·다운로드, C2 주소 변경 등의 원격 명령을 수행할 수 있는 것으로 분석됐다.

추가 악성 앱을 설치한 뒤 안드로이드 접근성 권한을 악용하는 기능도 확인됐다. 접근성 권한을 확보하면 화면을 모니터링하고 이용자가 입력하는 정보를 가로채는 데 악용할 수 있다.

고보승 미노스 이그나이트 센터장은 “최근 피싱 공격은 단순히 가짜 웹사이트로 개인정보를 입력받는 수준을 넘어 악성 앱 설치와 원격제어까지 이어지는 형태로 빠르게 진화하고 있다”며 “새롭게 발견된 위협 정보를 신속하게 탐지·대응 체계에 반영해 나갈 것”이라고 말했다.

글. 바이라인네트워크
<곽중희 기자>god8889@byline.network