[국제]새 폰에 악성코드가? 스마트폰 공급망 사이버공격 노출
2018-03-19 김인순 보안 전문 기자
체크포인트 모바일 시큐리티 팀은 500만대 새 스마트폰에 숨겨진 광고 매출을 올리는 악성코드를 발견했다. 체크포인트는 해당 악성코드를 '루튼시스(RottenSys)'라 명명했다. 처음 발견된 악성코드는 시스템 와이파이 서비스처럼 가장했다.
루튼시스는 두 가지 회피 기술을 이용했다. 악성 앱과 이상행동 간에 연결을 피하기 위해 설정된 시간 동안 작업을 연기했다. 루튼시스는 처음부터 악성 행동을 하지 않는다. 처음 스마트폰이 켜지면 새로운 악성코드를 내려 받는 드로퍼가 설치된다.
드로퍼는 명령&제어(C&C) 서버에 접속해 작동에 필요한 추가 구성요소 목록을 받는다. 이 때 실제 악성코드가 C&C 서버에서 내려온다. 루튼시스는 사용자 상호작용이 필요하지 않은 '공지가 없는 다운로드' 권한을 사용해 자동으로 감염된다.
체크포인트는 중국 항저우 휴대폰 공급기업인 '티안 파이(Tian Pai)'를 통해 배송된 제품에 주목했다. 감염된 기기 49.5%가 티안 파이가 배송한 제품이었다. 중국 국영 신용정보 공개 시스템에 따르면 티안 파이는 사전 판매 맞춤 설정, 온·오프라인 도매, 고객 관리 등 서비스를 제공한다. 삼성전자, HTC, 애플, 화웨이, 샤오미, ZTE, 레노버 등을 지역에 공급한다. 체크포인트는 티안 파이가 직접 이 공격에 참여했는지 여부는 알 수 없다고 밝혔다.
루튼시스는 공격적 광고 네트워크다. 열흘간 130만건에 달하는 광고를 내보냈다. 이 중 54만8000여명이 광고 링크를 클릭했다. 이들이 열흘 간 벌어드린 수익은 11만5000달러나 된다. 체크포인트는 루튼시스가 광고 수익을 넘어 다른 공격을 준비 중이라고 분석했다. 루튼시스는 C&C에서 언제든 새로운 악성코드를 설치하게 설계됐다. 공격은 수백만대 감염 기기를 무기화해 제어한다. 기기가 감염됐는지 확인하려면, 안드로이드 시스템 설정→앱 관리에서 악성앱을 찾아 삭제한다.