슈퍼마리오 런? 악성코드 런?!

슈퍼마리오 런? 악성코드 런?! AhnLab / 2017-01-25     국내 게임 유저들을 노리고 아직 국내에 정식 서비스 되지 않는 게임 관련 파일로 위장한 악성코드가 발견됐다. 얼마 전 출시된 모바일 게임 ‘슈퍼마리오 런(Super Mario Run)’의 안드로이드 버전 APK 파일로 위장한 악성코드로, 사용자들의 주의가 요구된다.   [그림 1] 모바일 게임 ‘슈퍼마리오 런’ 이미지     지난 2016년 12월 19일 출시된 ‘슈퍼마리오 런’은 오랜 인기를 끌었던 비디오 게임 ‘마리오 브라더스’의 캐릭터를 이용한 모바일 게임으로, 출시 당시에는 선풍적인 인기를 끌었다. 이 게임은 iOS용으로만 출시되었는데, 그나마도 정식 한국 서비스는 제공 전이다. 오는 3월 출시가 예정되어 있는 안드로이드용도 마찬가지로 국내 서비스 일정은 구체적으로 정해지지 않았다.     이렇다 보니 국내 게임 유저들, 특히 마리오 브라더스의 팬들의 궁금증과 기다림이 높아진 상황. 이를 이용한 악성 앱이 인터넷 상에서 유포되고 있다.   [그림 2] 게임 위장 악성 앱 아이콘   안드로이드용 ‘슈퍼마리오 런’ APK 파일로 위장한 악성 앱은 [그림 2]와 같이 슈퍼마리오 캐릭터 아이콘으로 위장해 사용자들의 관심을 유도하고 있다.   [그림 3] 악성 앱 설치 권한 목록     ‘APK’는 안드로이드 응용프로그램 패키지(Android Application Package)의 약자로, 안드로이드 운영체제의 소프트웨어 배포에 사용되는 패키지 파일을 의미한다. 안드로이드 기반의 스마트폰 이용자가 늘어나면서 최근 내부에 악성코드를 추가한 악성 APK 유포가 지속되고 있다.   이번 사례도 유명 게임의 APK로 위장한 악성 파일이 유포된 것으로, 사용자가 인터넷 상에서 [그림 2]와 같이 유명 게임으로 위장한 악성 APK 파일을 다운로드하여 안드로이드 스마트폰에 설치하면 [그림 3]과 같이 다양한 접근 권한을 요구한다. 통화 내용, SMS 내용, 비디오, 오디오 녹음 등 일반적으로 게임에서 요구하지 않는 권한을 요구하고 있다.   해당 앱은 ‘드로이드잭(DroidJack)이라 불리는 안드로이드 RAT 악성코드로 확인됐다. 드로이드잭은 통화 내역과 SMS 내용을 수집하고, 스마트폰의 주소록과 GPS 정보를 탈취할 뿐만 아니라 마이크를 이용해 도청 및 녹음 등 악의적인 행위를 수행한다. 탈취된 정보들은 암호화되어 C&C 서버를 통해 공격자에게 전송된다. 한편, 해당 앱은 설치되고나면 앞서 위장했던 아이콘 모양을 제거해 설치되지 않은 것처럼 사용자를 속인다.   V3 모바일 제품군에서는 해당 악성 앱을 아래와 같은 진단명으로 탐지하고 있다.   <V3 제품군의 진단명> Android-Trojan/Sandrorat (2015.02.06.04)   ‘슈퍼마리오 런’이 출시된 지 한달 여가 지나면서 다소 인기가 주춤해졌지만 최근 안드로이드용 출시 소식이 전해지면서 다시 관심을 받고 있다. 그러나 정식 한국 서비스 일정은 여전히 구체화되지 않아 국내 게임 유저들의 기다림을 악용한 악성코드 유포가 지속될 우려가 있다. 유명 앱의 인기와 사용자들의 심리를 악용하는 모바일 악성코드 피해를 예방하기 위해서는 공식 마켓에서 정식으로 서비스되는 앱을 이용해야 하며, 이 경우에도 앱의 평판 정보를 확인하고 설치하는 습관이 필요하다.