구글 업데이트로 위장한 악성코드가 안드로이드 기기 약 2,500만 개에 감염된 것으로 추산된다.
체크 포인트 리서치(Check Point Research)는 지난 3년 동안 '에이전트 스미스(Agent Smith)'라는 악성코드가 전 세계 2,500만여 개 안드로이드 기기에 감염되었는데 여전히 감염 대상이 늘어나는 추세라고 하였다.
전파 경로는 구글 플레이가 아닌 타사 앱 스토어이며 감염 피해 지역은 주로 아시아 국가이지만 미국과 영국 등 다른 국가에서도 피해를 받고 있다. 사진 유틸리티, 게임 등으로 위장한 드로퍼(dropper, 악성코드 설치를 목적으로 설계된 프로그램)를 다운로드하여 실행하면 에이전트 스미스에 감염되는 방식이다.
에이전트 스미스는 자동으로 핵심 악성코드 APK (안드로이드 애플리케이션 패키지)를 해독하고 설치하며 그렇게 설치된 핵심 악성코드 APK는 구글 업데이트용 'com.google.vending'으로 위장되어서 일반 사용자가 찾아내기는 어렵다.
이후 감염시킨 기기에 설치된 앱 목록을 추출하여 악성코드 개발자의 C&C (Command & Control) 서버에 전송하고 기본 앱 APK를 추출하여 악성 광고 모듈을 포함한 앱으로 재설치한다. 감염시킨 기기에서 앱 목록을 추출하는 이유는 인기 있는 앱으로 드로퍼를 만들기 위한 것이며, 에이전트 스미스는 패치를 통해 수시로 업데이트되어서 한번 감염된 기기도 연속으로 감염시키므로 기기 초기화라도 하지 않는 이상 피해에서 벗어나기 힘들다.
체크 포인트 리서치는 에이전트 스미스 변종을 360개 이상 발견했으며 전체 감염 기기 중 약 25%는 안드로이드 7 / 8이어서 신형 제품도 안전하지 않다는 것을 부각하였다. 그리고 구글 플레이에서는 앱 11개가 에이전트 스미스와 연관 있는 것을 확인하여 구글과 협력해 삭제했다고 하였다.
따라서 스마트폰이나 태블릿에 앱을 설치한 이후 갑자기 광고가 나타나기 시작했다면 악성코드 감염을 의심하고 백신 앱으로 검사하여 치료하거나 초기화하여 복구하는 것이 안전하다. |
