| 서울=한스경제 전시현 기자 | 정상 웹사이트에 가짜 브라우저 업데이트 안내를 띄워 악성 애플리케이션(앱) 설치를 유도하는 공격 수법이 확인됐다. 기업 웹사이트에 침투한 공격자가 방문자를 속여 모바일 기기까지 공격하는 방식이다. 웹사이트 침해와 모바일 피싱이 하나의 공격 경로로 연결되면서 기업과 이용자 모두를 겨냥한 보안 위협이 드러났다.
AI 사이버보안 기업 에버스핀은 낚시·음향기기·병원 등 여러 업종의 정상 웹사이트에서 악성앱 설치를 유도하는 외부 스크립트가 삽입된 정황을 확인했다고 밝혔다. 공격자는 삼성 인터넷 브라우저의 업데이트와 플러그인 설치를 사칭해 이용자가 안드로이드 앱 설치 파일을 내려받도록 유도했다.
이번 공격은 정상 웹사이트에 접속한 이용자가 가짜 업데이트 안내를 실제 브라우저의 필수 설치 절차로 오인하도록 설계됐다. 삼성 인터넷 자체의 보안 취약점을 이용한 것이 아니라 익숙한 브라우저 이름과 정상 웹사이트에 대한 신뢰를 악용한 수법이다.
▲ 가짜 업데이트로 악성앱 설치···앱 목록에서도 숨겨
에버스핀 분석에 따르면 공격자는 정상 웹페이지에 삼성 브라우저 플러그인 설치가 필요하다는 팝업을 띄웠다. 이용자가 설치 버튼을 누르면 외부 경로를 통해 앱 설치 파일이 내려받아지는 구조다.
악성앱 설치 과정은 두 단계로 진행됐다. 최초 설치한 앱을 실행하면 새로운 버전으로 업데이트해야 한다는 알림이 나타났다. 이후 '출처를 알 수 없는 앱 설치' 권한을 허용하도록 유도하고 두 번째 앱을 추가로 설치하게 했다.
최종 설치된 앱은 일반적인 앱 목록에 표시되지 않았다. 단말기 설정의 애플리케이션 관리 메뉴에서는 'Samsung'이라는 이름으로 확인됐다. 정상 앱으로 위장한 데 이어 아이콘까지 숨겨 이용자가 설치 사실을 알아차리기 어렵게 만든 것이다.
다만 웹사이트에 접속하는 것만으로 감염되는 방식은 아니었다. 실제 악성앱이 설치되려면 이용자가 설치 파일을 실행하고 관련 권한을 허용하는 과정이 필요했다.
▲ 오전에만 유포 경로 작동···보안 추적 회피 정황
공격에 이용된 유포 경로가 특정 시간대에만 활성화된 점도 확인됐다.
에버스핀에 따르면 오전 7~8시부터 정오 무렵까지는 악성앱 설치를 유도하는 화면이 나타나고 추가 앱 다운로드도 가능했다. 반면 다른 시간대에는 관련 경로에서 오류 응답이 반환됐다.
이처럼 유포 경로의 작동 시간을 제한하면 보안 담당자가 점검하는 시점에 따라 동일한 공격 화면이 나타나지 않을 수 있다. 악성 스크립트가 확인되더라도 실제 다운로드 경로가 비활성화돼 있으면 공격 과정을 재현하고 분석하는 데 어려움이 따른다.
에버스핀은 이번 사례에서 웹사이트 변조와 이용자 기만, 모바일 악성앱 설치가 순차적으로 연결된 점에 주목했다. 공격자가 기업 웹사이트를 악성앱 유포 통로로 활용하면서 기업의 보안 문제가 해당 사이트를 방문한 이용자의 모바일 기기로 확대된 것으로 풀이된다.
▲ AI 활용한 공격 자동화 우려···웹·모바일 보안 연계 필요
에버스핀은 인공지능(AI) 기술의 발전으로 이 같은 공격이 더욱 빠르게 확산할 가능성도 제기했다.
공격자가 AI를 활용해 취약한 웹사이트를 분석하고 사칭 문구를 작성하거나 악성 코드를 수정하면 공격 준비에 필요한 시간과 비용을 줄일 수 있다는 설명이다. 다만 이번에 확인된 공격에서 실제 AI 기술이 사용됐는지는 확인되지 않았다.
회사는 웹사이트 침해와 모바일 피싱을 별개의 보안 문제로 취급해서는 안 된다고 강조했다. 웹서비스에서 비정상적인 접근과 변조 시도를 차단하는 동시에 이용자 단말에서는 정상 앱을 사칭한 악성앱을 식별하는 대응이 필요하다는 것이다.
▲ 에버스핀, 웹 방어·악성앱 탐지 결합해 대응
에버스핀은 이러한 공격에 대응하기 위해 웹 보안 솔루션 '에버세이프 웹'과 모바일 악성앱 탐지 솔루션 '페이크파인더'를 각각 제공하고 있다.
에버세이프 웹은 AI 기반 무빙타깃디펜스(MTD) 기술을 활용해 웹 보안 모듈과 보호 구조를 지속적으로 변경하는 방식이다. 공격자가 기존에 분석한 정보를 반복적으로 활용하기 어렵게 만들고 스크래핑과 봇·매크로 등 자동화 공격에 대응하도록 설계됐다.
페이크파인더는 AI 기반 화이트리스트 기술을 이용해 앱의 정상 여부를 판별한다. 정상 앱의 이름이나 아이콘을 모방한 악성앱을 식별하는 데 초점을 맞췄으며, 모바일 금융서비스를 겨냥한 피싱 위협에 대응한다.
에버스핀은 두 솔루션을 통해 기업 웹서비스와 이용자 모바일 단말을 각각 보호하는 보안 체계를 강화할 계획이다.
하영빈 에버스핀 대표는 "웹사이트를 해킹해 유포 통로를 만들고 피싱으로 이용자를 속여 악성앱을 설치하게 하는 일련의 과정에서 해킹과 피싱은 서로 연결돼 있다"며 "AI가 공격의 분석과 제작, 변형을 돕는 환경에서는 웹과 모바일 어느 한쪽의 보안만으로 전체 공격 경로를 관리하기 어렵다"고 말했다.
이어 "에버세이프 웹으로 기업의 웹서비스를 보호하고 페이크파인더로 이용자 단말의 악성앱 위협에 대응하는 등 서비스와 이용자를 함께 보호하는 보안 체계를 강화해 나가겠다"고 덧붙였다.
Copyright ⓒ 한스경제 무단 전재 및 재배포 금지
