[한스경제=석주원 기자] 보안기업 카스퍼스키가 iOS와 안드로이드 스마트폰을 노리는 새로운 트로이 스파이인 ‘스파크키티(SparkKitty)’를 발견했다고 18일 밝혔다.

이 악성코드는 감염된 스마트폰에서 사진과 기기 정보를 공격자에게 전송한다. 해당 악성코드는 암호화폐, 도박 관련 앱 및 트로이화된 틱톡 앱에 삽입됐으며 앱스토어, 구글플레이 및 사기 웹사이트를 통해 유포됐다.

카스퍼스키 분석가들은 이 공격의 목적이 동남아시아 및 중국 거주자의 암호화폐 자산 탈취라고 분석하고 있다.

일부 기술적 세부사항에 따르면 이번 새로운 악성코드 캠페인은 이전에 발견된 애플 앱스토어 보안을 우회해 스크린샷을 탈취하는 악성코드 '스파크캣(SparkCat)'과 연결된 것으로 보인다.

스파크캣은 iOS에서 최초로 발견된 악성코드 중 하나로 광학 문자 인식(OCR) 모듈이 내장돼 있어 이미지 갤러리를 스캔하고 암호화폐 지갑 복구 문구나 비밀번호가 포함된 스크린샷을 탈취했다.

카스퍼스키 분석가가 최초로 스파크캣을 발견했고 그 이후 앱스토어에서 트로이 목마형 정보 탈취 악성코드인 스파크키티를 발견했다.

앱스토어에서는 스파크키티가 암호화폐 관련 앱인 ‘币coin’으로 위장했다. 공식 아이폰 앱스토어를 모방한 피싱 페이지에서는 해당 악성코드가 틱톡 및 도박 앱으로 위장해 배포됐다.

세르게이 푸잔 카스퍼스키 코드 분석가는 "이번 트로이 유포 벡터 중 하나는 피해자의 아이폰을 감염시키기 위한 가짜 웹사이트였다. iOS에는 앱스토어 외부에서 프로그램을 설치할 수 있는 몇 가지 합법적인 경로가 존재한다. 이 악성 캠페인에서는 공격자들이 그중 하나인 기업용 앱 배포를 위한 특수 개발자 도구를 활용했다"고 말했다.

공격자들은 제3자 웹사이트와 구글 플레이 양쪽 모두에서 사용자를 노렸으며 다양한 암호화폐 서비스로 위장해 악성코드를 배포했다. 예를 들어 암호화폐 거래 기능을 포함한 메신저 앱 ‘SOEX’는 공식 구글 플레이에서 1만회 이상 다운로드 됐다.

카스퍼스키 전문가들은 해당 악성코드 캠페인과 관련된 것으로 보이는 감염된 앱의 APK 파일도 확인했으며 이는 공식 스토어를 우회해 안드로이드 기기에 직접 설치가 가능하다. 이 APK들은 대부분 암호화폐 투자 프로젝트로 포장돼 있으며 유튜브 등을 통해 홍보된 웹사이트에서 다운로드가 가능했다.

드미트리 칼리닌 카스퍼스키 악성코드 전문가는 "이 앱들은 설치 후 설명대로 기능하는 것처럼 보였다. 하지만 동시에 스마트폰 갤러리에서 사진이 공격자에게 전송됐다. 사이버 공격자는 이후 이미지 속에서 암호화폐 지갑 복구 문구 등 민감한 데이터를 추출하려 시도할 수 있다"고 말했다.

이효은 카스퍼스키 한국지사장은 "스파크키티의 발견은 사이버 범죄자들이 사용하는 정교한 전술을 다시 한번 상기시켜준다. 이 새로운 트로이 스파이는 iOS와 안드로이드 스마트폰 모두를 표적으로 하며 사용자가 암호화폐, 도박 앱, 틱톡 같은 인기 플랫폼을 이용할 때 더욱 주의가 필요하다"고 말했다.

석주원 기자 stone@sporbiz.co.kr