에버스핀 분석
정상 웹사이트에 가짜 브라우저 업데이트 안내를 띄워 이용자에게 악성앱 설치를 유도하는 공격 사례가 확인됐다. 기업 웹사이트 침해가 방문자를 겨냥한 피싱과 모바일 악성앱 유포로 이어지는 방식이다.
사이버보안 기업 에버스핀은 낚시·음향기기·병원 등 여러 업종의 정상 웹사이트에서 악성앱 설치를 유도하는 외부 스크립트가 삽입된 정황을 확인했다고 4일 밝혔다.
공격자는 정상 웹사이트에 접속한 이용자에게 삼성 브라우저 플러그인 설치가 필요하다는 가짜 안내창을 띄웠다. 이용자가 설치 버튼을 누르면 앱 설치 파일이 다운로드되고, 이를 실행하면 추가 업데이트가 필요하다는 안내와 함께 두 번째 앱 설치를 유도했다.
안드로이드에서는 공식 앱스토어 외부에서 앱을 설치할 때 이용자의 별도 허용이 필요한데, 이 과정에서 '출처를 알 수 없는 앱 설치' 권한을 허용하도록 유도했다. 최종 설치된 악성앱은 일반적인 앱 목록에 표시되지 않고 단말 설정에서 'Samsung'이라는 이름으로 확인됐다.
특정 시간대에만 악성앱 유포 경로를 활성화한 정황도 포착됐다. 오전 7~8시부터 정오 무렵까지는 설치 유도 화면과 다운로드 기능이 작동했지만, 다른 시간대에는 오류가 발생했다.
이처럼 시간대에 따라 공격 경로가 달라지면 보안 점검 시점에 따라 악성 행위를 확인하지 못할 가능성이 있다.
에버스핀은 이번 사례가 웹 해킹과 모바일 피싱을 별개로 대응하는 보안 체계의 한계를 보여준다고 설명했다. 기업 웹사이트가 악성앱 유포 경로로 악용되면 방문자까지 공격 대상이 될 수 있기 때문이다.
에버스핀은 웹 보안 솔루션 '에버세이프 웹'과 악성앱 탐지 솔루션 '페이크파인더'를 통해 웹서비스와 모바일 단말을 함께 보호하는 통합 대응 체계의 필요성을 강조했다.
하영빈 에버스핀 대표는 “웹사이트를 해킹해 유포 통로를 만들고, 피싱으로 이용자를 속여 악성앱을 설치하게 하는 일련의 과정에서 해킹과 피싱은 서로 연결돼 있다”며 “AI가 공격의 분석과 제작, 변형을 돕는 환경에서는 웹과 모바일 어느 한쪽의 보안만으로 전체 공격 경로를 관리하기 어렵다”고 말했다.
박진형 기자 jin@etnews.com
