저가형 안드로이드 스마트폰에 펌웨어 수준 악성코드가 사전 설치되어 발견되다

악성코드 자체는 직접적으로 사기성 클릭을 생성하지는 않습니다. 대신 무해한 유틸리티 앱으로 위장한 드로퍼 애플리케이션이 실제 광고 소프트웨어 개발 키트를 통해 genuine 광고를 로드하고 앱 위에 보이지 않는 창을 띄워 광고 노출을 등록하는 방식으로 수익을 창출합니다. 조사 과정에서 구글 플레이 스토어에서 동일한 서버와 통신하는 13 개의 애플리케이션이 추가로 발견되었으며, 이들은 날씨 정보나 큐알 코드 스캔 같은 실제 기능을 제공하면서도 사용자가 기기를 사용하지 않을 때조차 광고를 표시하는 것으로 나타났습니다.

이 캠페인은 공급망 침해 가능성을 시사합니다. 악성코드는 선전 지디엘이라는 중국 안드로이드 기기 제조사의 인증서로 서명된 펌웨어를 탑재한 기기에서 감지되었습니다. 하지만 인증서 소유자가 악성코드 배포에 관여했는지 또는 인지하고 있었는지는 현재까지 명확하지 않습니다. 또한 조사 과정에서 다른 회사 이름들도 함께 확인되었습니다. 감염된 기기의 대다수는 멕시코에 위치해 있으며, 그 뒤를 이어 프랑스, 이탈리아, 미국, 독일, 브라질, 스페인, 영국, 캐나다, 루마니아, 폴란드, 태국 순으로 분포되어 있습니다. 전체적으로 약 2 년 동안 150 개 이상의 국가에서 수천 개의 고유 기기가 이 캠페인의 영향을 받은 것으로 관찰되었습니다.

많은 피해 기기는 저가형 화이트 라벨 제품이나 삼성 갤럭시나 애플 아이폰과 같은 유명 브랜드의 이름을 도용한 모조품인 것으로 보입니다. 펌웨어 수준 백도어가 안드로이드 기기를 대상으로 한 것은 이번이 처음은 아닙니다. 작년 말 카스퍼스키는 변조된 게임과 인기 앱에 번들되어 광고 사기를 주로 수행하는 키나두라는 악성코드가 특정 안드로이드 태블릿 모델에 사전 설치되어 있었다고 밝힌 바 있습니다.

사전 설치된 악성코드는 기존 사용자 중심 방어 체계를 우회합니다. 설치 프롬프트, 스토어 검토, 플레이 프로텍트, 사후 제거 기능 등 모든 방어 수단은 사용자가 설치 과정에 관여한다는 전제하에 작동하기 때문입니다. 루트 구성 요소가 시스템 파티션에 포함되어 있어 일반적인 방법으로는 제거할 수 없으며, 펌웨어 수준 정리나 안드로이드 디버그 브리지를 통한 비활성화만이 해결책이지만 일반 사용자에게는 현실적으로 어렵습니다. 따라서 근본적인 해결책은 해당 펌웨어를 출고하고 판매하는 제조사와 시장 플랫폼에 달려 있습니다.