평범한 안드로이드 캠페인이었는데 어느 덧 iOS까지 동시에 노리는 고급 광고 캠페인으로 발전했다. 이름도 포세이돈에서 스킬라로 바뀌었다. 공격자들의 진화가 심상치 않으며, 앞으로 무슨 캠페인이 이들 손에서 벌어질지 예상하기도 힘들다.

[보안뉴스 문가용 기자] 악성 광고 앱을 퍼트리는 캠페인이 새롭게 발견됐다. 발견된 건 최근의 일이지만 최소 2019년부터 실행되어 온 것으로 보이며, 안드로이드 생태계만을 노리다가 진화를 거듭하며 iOS 생태계까지 위협하기에 이르렀다고 한다. 현재 플레이스토어에 등록된 악성 광고 앱은 80여 개, 앱스토어는 9개다. 다 합해서 최소 1300만 회 이상 다운로드 됐다.


[이미지 = utoimage]

안드로이드 사용자든 iOS 사용자든, 이 앱들 중 일부를 다운로드 받게 될 경우 화면에는 앱이 정상적으로 실행되는 것과 같은 그래픽이 뜬다. 이는 다른 앱들에서 여러 가지 화면 구성 요소를 갈취한 것이기도 하다. 그러는 동안 물밑에서는 광고들이 계속해서 재생되는데, 사용자들은 이를 알 수가 없다. 광고 열람 및 노출수가 크게 늘어나는 것이다.

현재 이 캠페인을 제일 먼저 발견한 휴먼시큐리티(Human Security)의 연구원들은 이 캠페인에 스킬라(Scylla)라는 이름을 붙였다. 첫 번째 캠페인에는 포세이돈(Poseidon), 두 번째 캠페인에는 카립디스(Charybdis)라는 이름이 붙었었고, 사일라는 세 번째 캠페인이다. “스킬라는 신화 속에서 포세이돈의 손녀로 나오는 인물입니다.”

휴먼시큐리티는 “스킬라의 출현을 통해 공격자 사이에서 중대한 변화가 있었음을 알 수 있다”고 설명한다. “포세이돈과 카립디스 캠페인의 경우 안드로이드 생태계에서만 발동됐었습니다. 하지만 스킬라는 달랐어요. iOS 사용자들도 공격 대상이 되기 시작했거든요. 서로 다른 디지털 광고 생태계를 한꺼번에 노렸다는 건 꽤나 드문 일입니다.”

휴먼시큐리티는 구글과 애플에 이 일을 알리고 악성 애플리케이션들을 스토어에서 삭제할 수 있었다. 그리고 계속해서 광고 소프트웨어 개발 키트 개발자들에게도 소식을 전달하며 캠페인이 더 이상 확산되지 못하도록 억제하는 작업도 진행 중에 있다고 한다.

“포세이돈 캠페인은 그리 주목할 만한 공격이 아니었습니다. 그러나 카립디스에 와서 공격자들은 꽤나 정교하고 고급스러운 난독화 기술을 탑재했습니다. 그리고 스킬라에서는 iOS에까지 침범하는 데 성공했고요. 공격자들이 꽤나 빠르게 발전하고 있다는 것을 알 수 있습니다. 이 캠페인은 현재도 진행되고 있으며, 다음 캠페인에서는 더 발전된 모습이 나타날 것으로 보입니다.”

휴먼시큐리티가 자사 웹사이트를 통해 발표한 보고서(https://www.humansecurity.com/learn/blog/poseidons-offspring-charybdis-and-scylla) 말미에는 이번 캠페인에 사용된 악성 애플리케이션의 목록이 나온다. 최근 앱 설치를 했는데 이상하게 시스템이 조금 느려진 거 같다면 목록을 확인하여 삭제하는 편이 안전하다.

3줄 요약
1. 포세이돈 캠페인 : 안드로이드 생태계에서 진행된 평범한 광고 사기 캠페인.
2. 카립디스 캠페인 : 포세이돈과 똑같으나 앱에 난독과 기술이 적용됨.
3. 스킬라 캠페인 : 카립디스와 같으나 iOS 앱도 공략당했음.
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>