무해한 줄 알았는데…안드로이드 앱 50종 ‘노보이스’ 감염

구글 플레이스토어 앱 50여 개에서 루트 권한 탈취를 노리는 노보이스 악성코드가 발견됐다. [사진: 셔터스톡]

[디지털투데이 AI리포터] 구글 플레이스토어에서 유포된 안드로이드 애플리케이션(이하 앱) 50여 개에 '노보이스'(NoVoice) 악성코드가 포함된 사실이 확인됐다.

5일(이하 현지시간) IT전문매체 폰아레나에 따르면, 보안업계 조사 결과 해당 악성코드는 겉보기에는 정상적인 유틸리티 앱에 숨겨진 형태로 배포됐다.

공격자는 이용자가 '유용한 앱'으로 오인해 설치하도록 유도한 뒤, 기기 취약점을 이용해 루트 권한 획득을 시도한다. 루팅에 성공하면 금융 앱 계정 정보 등 민감 데이터를 탈취할 수 있고, 사용자 동의 없이 앱 설치·삭제도 가능해진다. 일부 악성코드는 설치 방식에 따라 공장 초기화 이후에도 완전히 제거되지 않을 수 있는 것으로 알려졌다.

다만 피해 범위는 기기 보안 업데이트 수준에 따라 제한될 수 있다. 구글은 보안매체 블리핑컴퓨터에 "2021년 5월 이후 보안 업데이트가 적용된 안드로이드 기기는 보호된다"라고 밝혔다. 최신 패치를 유지한 경우 공격이 차단될 가능성이 크다는 의미다.

공격 배후와 관련해서는 특정 지역 회피 정황도 제기됐다. 보안업체 맥아피(McAfee)는 베이징과 선전 등 일부 지역에서 악성코드 감염이 실패했다고 밝혔으며, 이는 공격자가 자국 내 법 집행을 피하기 위해 특정 지역을 의도적으로 제외했을 가능성을 시사한다고 전해졌다.

구글은 대응 조치도 진행했다. 회사는 "구글 플레이 프로텍트가 악성 앱을 자동 제거하고 신규 설치를 차단했다"라고 밝혔으며, 이용자에게 최신 보안 업데이트 적용을 권고했다.

한편 블리핑컴퓨터는 문제로 지목된 전체 앱 목록은 공개하지 않았지만, '스위프트클린'(SwiftClean)을 사례로 제시하며 해당 앱에 노보이스 페이로드가 포함됐다고 설명했다. '노보이스'라는 명칭은 무음 오디오 파일을 활용하는 코드 구조에서 유래했으며, 소리 없이 오디오를 재생해 백그라운드에서 악성코드 실행을 돕는 방식으로 작동하는 것으로 분석됐다.