스마트폰 인증번호까지 노리는 안드로이드 악성코드, ‘만탁스 오탁스’ 공격 방식과 대응 방법

‍

스마트폰 인증번호까지 노리는 안드로이드 악성코드, ‘만탁스 오탁스’ 공격 방식과 대응 방법

‍

‍

■ 안드로이드 버전에 따라 달라지는 랜섬웨어 피해

출처: Magnific

만탁스 오탁스의 또 다른 특징은 안드로이드 버전에 따라 파일 암호화 피해 범위가 달라진다는 점입니다.

안드로이드 9 이하에서는 악성코드가 사진과 문서, 동영상 등 사용자 파일이 저장된 영역에 광범위하게 접근해 파일을 암호화할 수 있습니다. 이후 원본 파일을 암호화된 파일로 대체하고, 화면에 채팅창을 띄워 금전을 요구하는 방식도 확인됐습니다.

반면 안드로이드 10 이상에서는 앱이 접근할 수 있는 파일과 저장 공간을 제한하는 ‘범위 지정 저장소(Scoped Storage)’ 기능이 작동합니다. 그 결과 만탁스 오탁스의 파일 암호화 범위가 크게 줄어듭니다. 그러나 문자메시지 수집, 화면 녹화, 원격 제어 등 다른 악성 기능의 위험까지 없어지는 것은 아닙니다.

이는 만탁스 오탁스 분석 결과에 따른 차이입니다. 안드로이드 10 이상에서 모든 랜섬웨어 공격이 차단된다는 의미는 아닙니다. 오래된 기기를 쓰고 있다면 제조사의 보안 업데이트 지원 여부를 확인하고, 지원이 종료된 기기는 교체를 검토하는 것이 좋습니다.

[표] 안드로이드 버전에 따른 파일 암호화 및 정보 탈취 위험

※ 짐페리움(Zimperium)의 만탁스 오탁스 분석 결과를 바탕으로 작성한 것으로, 모든 안드로이드 악성코드에 동일하게 적용되는 내용은 아닙니다.

‍

■ 만탁스 오탁스 대응을 위한 스마트폰 보안 점검

출처: Magnific

만탁스 오탁스와 같은 복합형 악성코드는 앱 설치 이후 부여된 권한을 악용해 개인정보를 수집하거나 기기를 원격으로 조작할 수 있습니다. 따라서 일반적인 스마트폰 보안 수칙과 함께 다음 사이버 보안 점검 항목을 확인하는 것이 중요합니다.

• 기기 관리자·접근성 권한 점검: 스마트폰 설정에서 어떤 앱이 기기 관리자 또는 접근성 서비스 권한을 사용하고 있는지 확인합니다. 특히 최근 설치한 앱이 해당 권한을 요구하거나, 앱의 기능과 무관하게 화면 조작 권한을 요청한다면 주의해야 합니다.

• 문자 인증번호와 계정 활동 확인: 본인이 요청하지 않은 인증번호가 도착하거나 비정상적인 로그인 알림을 받았다면, 해당 서비스의 공식 앱이나 웹사이트에서 최근 접속 내역을 확인합니다. 악성 앱 감염이 의심되는 경우 안전한 다른 기기에서 비밀번호를 변경하고, 기존 로그인 세션도 종료하는 것이 좋습니다.

• 외부 APK 설치 내역과 보안 상태 확인: 최근 공식 앱스토어가 아닌 경로에서 앱을 설치했는지 살펴보고, Google Play 프로텍트(Play Protect)로 앱을 검사합니다. Play Protect는 다른 소스에서 받은 앱도 검사하며, 기본으로 사용 설정돼 있지만 사용자가 중지할 수 있습니다. Play 스토어 앱의 프로필 아이콘에서 ‘Play 프로텍트 설정’을 열어 앱 검사가 켜져 있는지 확인합니다. BleepingComputer는 최신 상태의 안드로이드 기기에서 Play Protect가 활성화돼 있으면 만탁스 오탁스를 탐지·차단한다고 보도했습니다.

앱 설치 전 확인 사항부터 권한 관리, 스미싱·피싱 예방, 자동 업데이트 등 일상적인 스마트폰 보안 수칙은 아래 콘텐츠에서 확인할 수 있습니다.

▶ 스마트폰부터 PC까지! 알아두면 좋은 사이버보안 수칙 총정리

‍

■ 스마트폰 악성코드 감염 의심 시 대응 방법

출처: Magnific

악성코드 감염이 의심되면 다음 초기 대응 조치를 수행합니다.

❶ 네트워크 연결 차단 및 피해 확인

감염이 의심되면 Wi-Fi와 모바일 데이터 연결을 끊어 외부 통신을 차단합니다. 업무용 스마트폰이라면 회사 보안 담당자에게 알리고, 금융정보나 개인정보가 노출됐을 가능성도 함께 확인합니다.

❷ 계정 보호 및 의심 앱 점검

안전한 다른 기기에서 주요 계정의 비밀번호를 변경하고, 활성 로그인 세션과 최근 로그인 기록, 금융 거래 내역을 확인합니다. 문자 인증번호나 금융정보가 유출됐을 가능성이 있다면 관련 서비스의 공식 고객센터를 통해 계정 보호 조치를 진행합니다. 의심 앱은 설치 내역과 부여된 권한을 점검합니다. 삭제가 어렵거나 원격 제어가 의심되면 보안 전문가 또는 제조사의 안내에 따라 조치합니다.

❸ 악성코드 제거 및 기기 복구

감염 여부를 확인하고, 필요하면 중요 데이터를 안전하게 백업한 뒤 초기화를 검토합니다. 초기화 이후에는 신뢰할 수 있는 앱만 다시 설치하고 주요 계정의 보안 설정을 재점검합니다.

스마트폰에 저장된 개인정보뿐 아니라 업무용 계정과 기업 서비스에 대한 접근 권한도 개인정보보호와 보안 관리의 대상입니다. 따라서 기업은 임직원의 모바일 기기 사용 환경을 고려해 계정 보호, 단말 보안 정책, 이상 징후 대응 절차를 함께 점검해야 합니다.

SK쉴더스는 보안 관제와 침해사고 대응 등 전문 서비스로 기업의 사이버 보안 체계 강화를 지원하고 있습니다. 모바일 기기를 통한 정보 유출과 업무용 계정 침해 위험도 개인정보보호와 기업의 전반적인 보안 관리체계에서 함께 고려해야 합니다.

‍

■ 자주 묻는 질문 (FAQ)

‍

Q1. 만탁스 오탁스는 국내 사용자도 감염될 수 있나요?

A. 짐페리움은 언어 흔적과 피해자 파일을 근거로 인도네시아 사용자를 겨냥한 활동으로 분석했습니다. 국내 감염 규모는 구체적으로 알려지지 않았습니다. 다만 악성 APK가 온라인 공유 링크 등으로 유포될 수 있어 국내 사용자도 출처가 불분명한 앱 설치에 주의해야 합니다.

Q2. 안드로이드 10 이상이면 랜섬웨어 피해를 걱정하지 않아도 되나요?

A. 안드로이드 10 이상에서는 범위 지정 저장소(Scoped Storage) 기능으로 만탁스 오탁스의 파일 암호화 범위가 크게 제한됩니다. 다만 정보 탈취나 원격 제어 위험은 여전히 존재합니다. 이는 만탁스 오탁스 분석 결과이므로, 다른 악성코드에도 같은 결과가 나타난다고 단정할 수는 없습니다.

Q3. 문자로 받은 로그인 인증번호도 탈취될 수 있나요?

A. 만탁스 오탁스는 문자메시지(SMS)와 알림 정보를 수집할 수 있어 문자로 전송되는 일회용 인증번호(OTP)가 노출될 수 있습니다. 악성 앱 감염이 의심되면 안전한 다른 기기에서 계정의 로그인 기록을 확인합니다. 필요하면 인증 수단을 변경하고 기존 세션을 종료합니다.

Q4. 앱이 접근성 서비스나 기기 관리자 권한을 요청하면 모두 위험한가요?

A. 이러한 권한은 정상적인 보조 기능이나 기기 관리에도 사용됩니다. 다만 앱의 기능과 관계없이 민감한 권한을 요구하거나, 출처가 불분명한 앱이 여러 권한을 동시에 요청한다면 설치를 중단하고 개발사와 앱의 신뢰성을 확인하는 것이 좋습니다.

Q5. 랜섬웨어에 감염됐다면 몸값을 지불해야 하나요?

A. 몸값을 지불해도 파일 복구나 탈취된 정보의 삭제가 보장되지 않습니다. 우선 네트워크 연결을 차단하고 피해 범위를 확인한 뒤, 필요한 경우 관계 기관이나 보안 전문가의 안내에 따라 복구를 진행하는 것이 좋습니다.

Q6. 의심스러운 앱이 삭제되지 않으면 어떻게 해야 하나요?

A. 악성 앱이 기기 관리자나 접근성 서비스 권한을 악용하면 일반적인 방법으로 삭제하기 어려울 수 있습니다. 기기 제조사 또는 보안 전문가의 안내에 따라 권한 해제, 안전 모드 점검, 초기화 등을 검토하는 것이 좋습니다.

‍