접근성 권한 남용 ‘안티돗’·가상화 악용 ‘갓파더’ 등 신종 악성코드 등장
구형 운영체제·비공식 기기, 대규모 보안 취약점 노출…“모바일 보안 경각심 필요”

[보안뉴스 여이레 기자] 2025년 상반기 안드로이드 기기를 겨냥한 사이버 위협이 전례 없이 급증하고 있다. 안드로이드 모바일 악성코드 탐지 건수는 올해 들어 151%나 늘었다. 악성코드들이 단순한 양적 증가를 넘어 조직적이고 체계적으로 진화하고 있어 이용자 주의가 시급하다.


[자료: gettyimagesbank]

3일(현지시간) 주요 보안 전문 매체 최근 보도 등을 종합하면 안드로이드 기기를 노린 스파이웨어, 뱅킹 트로이목마, SMS 기반 악성코드 등 다양한 유형의 위협이 동시다발적으로 확산되고 있다.

특히 스파이웨어는 147% 증가했고, SMS 악성코드는 특정 시기에 692% 폭증하는 등 공격자들은 세금 시즌이나 휴가철과 같은 사용자의 심리적 취약 시점을 노려 대규모 캠페인을 전개하고 있다. 저금리 대출을 미끼로 한 악성 대출 앱, 암호화폐 지갑 탈취 앱 등도 공식 앱스토어에서 발견되는 등 위협의 범위와 수법이 한층 다양해졌다.

오버레이(Overlay) 공격, 가상화(Virtualization) 사기, NFC(근거리무선통신) 절도 등의 첨단 기법도 최근 들어 급성장했다.

‘안티돗’(AntiDot)과 같은 신종 악성코드는 접근성 서비스 권한을 악용해 화면 녹화, SMS 가로채기, 서드파티 앱 정보 탈취 등을 저지른다. 사용자가 금융·암호화폐 앱을 실행하면, C2(명령·제어) 서버에서 가짜 로그인 화면을 띄워 자격 증명을 탈취하는 오버레이 공격이 대표적이다. 실시간 알림 감시, 전화 감청, 특정 번호 차단 등 다양한 사기 수법까지 동원한다.

뱅킹 트로이목마 ‘갓파더’(GodFather)는 한 단계 진화한 공격 방식을 선보이고 있다. 기기 내 가상화 프레임워크를 설치해 사용자가 실제 금융 앱을 실행하면 가상 환경 내 복제 앱을 띄워 모든 활동을 감시한다. 이를 통해 자격 증명은 물론 기기 잠금 패턴, PIN, 비밀번호까지 탈취한다. 이 방식은 기존 오버레이 공격을 넘어선 새로운 위협으로 안드로이드 13 이후 강화된 접근성 제한도 우회할 수 있다.

러시아 등지에서는 NFC 릴레이 공격을 통해 피해자의 은행 카드 정보를 탈취하는 악성코드 ‘슈퍼카드X’(SuperCard X)가 등장했다. 이 악성코드는 합법적 도구를 변조해 피해자의 NFC 트래픽을 가로채고 실물 카드 정보까지 공격자 기기로 전송해 ATM 출금이나 POS 결제 사기에 악용된다.

구글 플레이스토어 애플 앱스토어와 같은 공식 앱스토어도 더 이상 안전지대가 아니다. 가짜 금융 앱, 고리 대출 앱, 위장 업데이트 등은 단순히 허점을 노리는 것이 아니라 아예 허점을 만들기 위해 설계되고 있다. 평범한 대출 앱으로 위장해 낮은 금리, 사전 심사 없음 등 매력적인 조건을 내세워 다운로드를 유도하고 피해자의 정보를 탈취한 앱 ‘스파이론’(Spyloan)도 발견됐다. 또 다른 앱 ‘라피플라타’(RapiPlata)은 저금리 대출을 미끼로 개인정보를 대량 수집하고 피해자를 협박 및 갈취했다.

가장 큰 문제는 안드로이드 기기의 30% 이상이 여전히 보안 패치가 지원되지 않는 구형 운영체제를 사용하고 있다는 점이다. 아예 출고 시부터 악성코드가 설치된 저가·비공식 기기까지 유통되고 있다.

전문가들은 “앱의 과도한 권한 요청에 주의해야 한다”며 “모바일 보안도 데스크톱 보안만큼 중요하게 다뤄야 한다”고 권고했다.

[여이레 기자(gore@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>