동영상 플레이어를 자처한 이 앱은 마이크와 카메라, 연락처까지 노렸다.
'동영상 플레이어'를 표방한 앱 하나를 분석했습니다.
파일 이름은 videoemg_standalone.apk, 용량은 179MB에 이릅니다.
단순히 영상을 재생하는 앱치고는 유난히 컸습니다.
진단 결과는 '위험'이었습니다.
동영상 재생과는 상관없는 카메라와 마이크, 연락처 권한까지 요구했고,
정식 배포 앱이라면 나오기 어려운 흔적들이 남아 있었습니다.
동영상 앱이 왜 마이크와 카메라를 켤까?
위험 등급으로 분류된 권한은 다섯 가지입니다.
카메라 사용
마이크 녹음
사진·동영상이 있는 저장소 읽기
저장소 쓰기
미디어 위치정보 접근
여기에 연락처 읽기 권한이 '주의'로 더해졌습니다.
저장된 영상을 재생하는 앱이라면 저장소를 읽는 정도로 충분합니다.
카메라로 찍고 마이크로 녹음하고 연락처를 들여다볼 이유가 없습니다.
이 권한으로 무엇을 할 수 있나?
카메라와 마이크로 화면 뒤에서 몰래 촬영·녹음하거나 화면을 녹화할 수 있습니다.
갤러리의 사진과 동영상을 빼내 유포 협박의 재료로 쓸 수 있습니다.
연락처를 확보해 지인 목록을 손에 넣고,
유포하겠다는 협박에 악용할 수 있습니다.저장소에 파일을 심거나 저장된 자료를 바꿀 수 있습니다.
동영상 플레이어라는 이름은 설치를 유도하기 위한 겉포장에 가깝습니다.
실제로 갖춘 능력은 촬영·녹음과 자료·연락처 탈취,
몸캠피싱 협박에 필요한 그대로입니다.
이 앱의 정체를 드러낸 단서
정상 앱으로 보이려 했지만,
분석 과정에서 어긋난 흔적이 나왔습니다.
서명 인증서가 'CN=Debug'로 돼 있습니다.
개발 단계에서 쓰는 디버그 키로 서명했다는 뜻으로,
정식으로 배포되는 앱에서는 보기 어려운 형태입니다.앱이 개발용 프레임워크로 급하게 만들어진 정황이 있습니다.
원격에서 기기에 접속하는 개발자용 디버깅 주소도 함께 발견됐습니다.단순 재생 앱치고 용량이 179MB로 지나치게 큽니다.
주소를 그때그때 바꿔 넣는 형태의 서버 주소(https://%s/%s/%s)와 함께 결제 API(api.stripe.com) 주소가 포함돼 있었습니다.
개인정보를 넘어 결제·금융 정보로 이어질 수 있는 통로입니다.
이런 앱, 어떻게 피할까?
앱은 구글 플레이스토어 같은 공식 마켓에서만 설치합니다.
문자나 메신저로 받은 apk 파일은 열지 않습니다.영상 재생이나 영상통화를 이유로 특정 앱 설치를 유도하면 의심합니다.
앱의 용도와 맞지 않는 권한, 이를테면 재생 앱의 카메라·마이크·연락처 요구가 보이면 멈춥니다.
이미 설치했다면 인터넷을 끊고 앱을 삭제한 뒤,
경찰(112)이나 한국인터넷진흥원(118)에 상담·신고합니다.
이름과 아이콘은 얼마든지 꾸밀 수 있습니다.
결국 확인해야 할 것은 그 앱이 무슨 권한을 요구하는가입니다.