미드나잇 미모사(Midnight Mimosa)라는 캠페인이 저가형 스마트폰을 구매할 때 간과하기 쉬운 문제, 즉 기기가 이미 감염된 상태로 도착할 수 있다는 점에 주목하게 만들고 있다. GBHackers의 보고서에 따르면, 미드나잇 미모사는 저렴한 스마트폰을 광고 사기 엔진으로 전환하는 광범위한 안드로이드 악성코드 캠페인이다. 이 사례는 사전 설치된 안드로이드 악성코드가 어떻게 일반 사용자의 기기를 사용자의 인지 없이 프록시 봇넷으로 만들 수 있는지를 보여주는 명확한 예시다.

공개된 요약이 짧기 때문에, 이 글은 보고된 내용에 한정하고 광범위한 작동 원리를 일반적인 용어로 설명한다. 캠페인에 관한 세부 사항이 확인되지 않은 부분은 그렇다고 명시한다.

미드나잇 미모사가 저가 안드로이드 폰을 탈취하는 방법

보고서의 핵심은 이 캠페인이 저렴한 스마트폰을 표적으로 삼아 광고 사기에 이용한다는 점이다. 이 사안에 대해 제시된 관점, 그리고 이러한 유형의 위협이 일반적으로 작동하는 방식은 악성 코드가 사용자가 전원을 켜기도 전에 기기에 존재한다는 것이다. 이는 의심스러운 앱을 피하라는 일반적인 조언과 다르다. 구매자는 아무런 잘못을 하지 않았기 때문이다.

사전 설치된 악성코드가 공격자에게 효과적인 이유는 몇 가지가 있다:

  • 펌웨어나 시스템 수준 앱에 내장될 수 있어 공장 초기화 후에도 살아남을 수 있다.
  • 사용자가 다운로드를 승인하거나 악성 링크를 탭할 필요가 없다.
  • 백그라운드에서 조용히 실행되므로 눈에 띄는 문제 징후가 없을 수 있다.

출처 요약에는 어떤 브랜드, 모델 또는 공급망 단계가 관련되어 있는지 상세히 나와 있지 않으므로, 어떤 폰이 영향을 받는지 말할 수 없다. 독자들은 연구자들이 발표하기 전까지 특정 모델에 관한 주장을 주의해서 다루어야 한다.

주거용 프록시 네트워크가 당신의 연결을 타인의 출구 노드로 바꾸는 방법

프록시 봇넷은 감염된 기기를 중계 지점으로 임대하여 작동한다. 공격자 자신의 서버가 요청하는 대신, 트래픽이 폰을 통해 라우팅되어 사용자의 가정 또는 모바일 연결을 통해 나간다. 반대편의 웹사이트에는 요청이 일반 ISP를 사용하는 일반인으로부터 오는 것처럼 보인다.

이것은 광고 사기에 있어 매우 가치 있다. 가짜 광고 노출과 클릭이 많은 실제 주거용 및 모바일 주소에서 발생하는 것처럼 보일 때 필터링하기가 훨씬 어렵다. 폰은 자신도 모르게 이 계획의 일꾼이 된다.

사용자에게 미치는 영향은 다음과 같다:

  • 설명할 수 없는 데이터 사용, 낯선 사람의 트래픽이 요금제나 대역폭을 소모하기 때문이다.
  • 평판 위험, 사용자의 IP 주소에서 나가는 활동이 사용자에게 책임이 돌아갈 수 있기 때문이다 (예: 서비스에서 플래그 지정 또는 차단).
  • 성능 저하 및 배터리 소모 증가, 기기가 요청하지 않은 작업을 수행하기 때문이다.
  • 잠재적 노출, 시스템 권한으로 숨겨진 코드를 실행하는 기기는 보고된 하나의 작업 이상을 할 수 있기 때문이다.

마지막 항목은 일반적인 위험이며, 미드나잇 미모사에 대해 확인된 발견 사항은 아니다.

VPN이 감염된 기기를 보호할 수 없는 이유

VPN은 유용한 도구이지만 특정한 역할이 있다. 기기와 VPN 서버 사이의 트래픽을 암호화하고, 방문하는 사이트로부터 IP 주소를 숨긴다. VPN은 기기 자체가 신뢰할 수 있다고 가정한다.

악성코드가 이미 폰에서 깊은 접근 권한으로 실행 중이라면, 그것은 암호화된 터널의 기기 쪽에 위치한다. VPN의 보호 범위 밖에서 작동하거나, 사용자가 보지 못하는 방식으로 자체 트래픽을 라우팅할 수도 있다. VPN은 펌웨어 수준의 코드를 제거하지 못하며, 감염된 기기가 프록시 노드로 등록되는 것을 막지도 못한다.

이것이 기기 무결성과 네트워크 프라이버시가 별개의 문제인 이유다. VPN은 ISP나 공용 Wi-Fi 운영자가 보는 것을 줄일 수 있다. 그러나 신뢰할 수 없는 폰을 신뢰할 수 있게 만들 수는 없다. 도난당하거나 노출된 데이터가 어떻게 다른 종류의 위험을 초래하는지 알아보려면, 데이터 보유자 측에 문제가 있었던 SBI 데이터 유출 KYC 누출 주장 관련 보도를 참고하라.

저가 폰을 검증하고 숨겨진 프록시 활동을 발견하는 방법

저렴한 폰을 완전히 피할 필요는 없지만, 몇 가지 습관이 위험을 줄여준다.

구매 전:

  • 펌웨어와 업데이트 정책을 문서화할 수 있는 기존 소매업체 및 판매업체에서 구매하라.
  • 이해가 되지 않을 정도로 낮은 가격이나 명확한 지원 채널이 없는 판매자를 경계하라.
  • 폰이 Google 서비스 실행 인증을 받았는지, 정기적인 보안 패치를 받는지 확인하라.

구매 후:

  • 앱 목록(시스템 앱 포함)을 검토하여 인식할 수 없는 것을 찾아라. 일부 악성 구성 요소는 일반적인 이름으로 숨는다는 점에 유의하라.
  • 설정에서 앱별 데이터 사용량을 확인하라. 낯선 앱의 과도한 백그라운드 사용은 경고 신호다.
  • 설명할 수 없는 배터리 소모, 유휴 시 발열, 또는 일찍 소진되는 데이터 요금제를 주의하라.
  • 검증되지 않은 출처의 비공식 또는 타사 펌웨어 설치를 피하라.

이것이 당신에게 의미하는 것

저렴한 안드로이드 폰을 소유하고 있다면, 미드나잇 미모사는 설치하는 앱뿐만 아니라 기기 자체를 점검하라는 알림이다. 위험은 자신의 데이터에만 국한되지 않는다. 당신의 연결이 다른 사람의 트래픽을 전달하고 사기를 저지르는 데 사용될 수 있다. VPN은 감염된 폰을 고칠 수 없으므로, 보호의 한 계층으로 취급하고 치료제로 여기지 말라.

숨겨진 활동의 징후를 발견하면 은행 업무와 같은 민감한 작업에 폰 사용을 중단하고, 다른 신뢰할 수 있는 기기에서 중요한 비밀번호를 변경하고, 제조사나 판매자에게 연락하라. 검증된 펌웨어를 제공하는 판매업체의 폰으로 교체하는 것이 유일하게 신뢰할 수 있는 해결책일 수 있다.

핵심 요점

  • 이번 주에 현재 폰을 점검하라: 데이터 사용량, 설치된 앱과 시스템 앱, 비공식 펌웨어 여부를 확인하라.
  • 검증된 펌웨어와 명확한 보안 업데이트 정책을 갖춘 판매업체에서 구매하라.
  • 이미 감염되었을 수 있는 기기를 보호하기 위해 VPN에 의존하지 말라.
  • 침해가 의심되면 신뢰할 수 있는 두 번째 기기를 사용하여 비밀번호를 변경하라.

프록시 봇넷을 구축하는 사전 설치된 안드로이드 악성코드는 공급망 문제이며, 최선의 방어는 구매 시점에서 시작된다. 기기 보호와 VPN이 할 수 있는 일과 할 수 없는 일에 대한 자세한 내용은 vpn.social 전반의 VPN 및 기기 보안 가이드를 참고하라.