모바일 금융 정보를 노리는 최신 안드로이드 악성코드 위협 분석

2025년 현재, 사이버 보안 위협은 끊임없이 진화하며 우리의 디지털 자산을 노리고 있습니다. 특히 스마트폰은 개인 금융 정보의 허브가 되었기에, 이를 겨냥한 Android 악성코드의 위협은 이제 단순한 불편함을 넘어 심각한 재정적 손실로 이어질 수 있습니다. 최근 CYFIRMA와 F6의 분석에 따르면, BankBot-YNRK와 DeliveryRAT이라는 두 가지 강력한 뱅킹 트로이목마가 활발하게 활동하며 사용자들의 금융 정보를 탈취하고 있는 것으로 확인되었습니다. 이 글에서는 이들 악성코드의 정교한 공격 방식과 실무에서 우리가 직면할 수 있는 문제점, 그리고 IT 인프라 관점에서 어떻게 효과적으로 대응할 수 있을지에 대해 심층적으로 다루겠습니다.

은밀하고 집요한 BankBot-YNRK의 작동 원리 분석

CYFIRMA의 2025년 11월 3일 분석 결과는 BankBot-YNRK의 놀라운 교활함을 보여줍니다. 이 뱅킹 트로이목마는 가상 환경이나 에뮬레이터에서 실행되는지 먼저 확인하여 분석을 회피하는 기능을 갖추고 있습니다. 심지어 Oppo, ColorOS, Google Pixel, Samsung 등 특정 기기 제조사와 모델을 식별하여 표적 공격을 최적화하기도 합니다. 제 실무 경험에 비춰보면, 이러한 회피 기법은 기존 샌드박스 기반의 보안 솔루션 탐지를 우회하는 데 매우 효과적입니다. 초기 탐지를 어렵게 만들어 악성코드가 시스템에 깊숙이 침투할 시간을 벌게 해주는 것이지요.

BankBot-YNRK는 인도네시아 정부 앱인 “Identitas Kependudukan Digital”을 위장한 “IdentitasKependudukanDigital.apk”라는 이름으로 유포되었는데, 패키지명은 `com.westpacb4a.payqingynrk1b4a`와 같이 정상 앱과는 무관한 형태를 띠었습니다. 설치 후에는 음악, 벨소리, 알림 볼륨을 0으로 설정하여 사용자가 이상 징후를 알아채지 못하게 만들었습니다. 이후 `ping.ynrkone[.]top`과 같은 원격 서버와 통신하며 공격자의 명령을 기다립니다. 한 가지 중요한 점은 이 악성코드가 Android 13 이하 버전에서 접근성 서비스를 악용하여 권한을 탈취했다는 것입니다. 다행히 2023년 말 출시된 Android 14부터는 이 취약점이 차단되었지만, 여전히 많은 구형 기기들이 위험에 노출되어 있습니다.

이 악성코드는 Android의 JobScheduler 서비스를 활용하여 재부팅 후에도 자동으로 실행되는 영속성을 확보합니다. 이는 IT 인프라 관리자들이 모바일 기기 감염 여부를 확인하고 조치하는 데 있어 상당한 어려움을 줍니다. 게다가 기기 관리자 권한 획득, 앱 관리, MMI 코드를 이용한 수신 전화 리다이렉션, 사진 촬영, 파일 조작, 연락처, SMS 메시지, 위치, 설치된 앱 목록, 클립보드 내용 탈취 등 그 기능은 실로 광범위합니다. 특히 Google 뉴스를 위장하여 `news.google[.]com`을 WebView로 띄우거나, 은행 앱의 UI를 재구성하여 스크린 콘텐츠를 캡처해 계정 정보를 탈취하는 기능은 매우 정교합니다. 또한, 62개의 금융 앱을 타겟으로 암호화폐 지갑 앱을 자동 조작하여 무단 거래를 시도하며, 개인 정보 확인 중이라는 오버레이 메시지를 띄워 사용자를 속입니다. 이는 마치 침묵의 암살자처럼 사용자 모르게 모든 정보를 빼가는 행위나 마찬가지입니다.

서비스형 악성코드(MaaS) DeliveryRAT과 NFC 결제 사기의 확산

러시아 사이버 보안 기업 F6의 보고서에 따르면, 2024년 중순부터 DeliveryRAT이라는 또 다른 Android 악성코드가 러시아 사용자들을 중심으로 활동하고 있습니다. 이 악성코드는 텔레그램 봇 ‘Bonvi Team’을 통해 APK 파일이나 피싱 페이지 링크 형태로 판매되는 서비스형 악성코드(MaaS) 모델을 취하고 있습니다. 음식 배달 서비스, 온라인 마켓플레이스, 뱅킹 서비스, 택배 추적 앱 등으로 위장하여 사용자들이 가짜 주문 추적이나 원격 고용 기회를 미끼로 악성 앱을 다운로드하도록 유도합니다.

설치된 DeliveryRAT은 알림 접근 권한과 배터리 최적화 설정을 요구하여 백그라운드에서 상주하며 민감한 데이터를 수집합니다. SMS 메시지와 통화 기록에 접근하고, 홈 화면에서 아이콘을 숨겨 사용자가 악성 앱의 존재를 인지하고 삭제하기 어렵게 만듭니다. 여기서 핵심은 공격자들이 기술적인 난이도를 낮춰 더 많은 이들이 악성코드를 쉽게 유포할 수 있게 만든다는 점입니다. 일부 DeliveryRAT 버전은 외부 서버로부터 URL을 받아 동시에 요청을 보내는 분산 서비스 거부(DDoS) 공격 기능을 포함하기도 합니다. 이는 단순히 개인 정보 탈취를 넘어 인프라 자체에 위협을 가할 수 있는 잠재력을 의미합니다.

이러한 모바일 악성코드 위협은 NFC 결제 사기로까지 확장되고 있습니다. Zimperium은 2024년 4월 이후 760개 이상의 Android 앱이 NFC를 악용하여 결제 데이터를 불법적으로 탈취하는 ‘Raton’ 악성코드를 발견했다고 보고했습니다. 이 가짜 앱들은 금융 앱으로 가장하여 사용자에게 기본 결제 수단으로 설정하도록 유도한 뒤, Android의 HCE(Host-based Card Emulation) 기능을 활용해 비접촉 신용카드 및 결제 데이터를 훔칩니다. 탈취된 정보는 텔레그램 채널이나 공격자 전용 ‘태퍼’ 앱으로 전송되어 사용자의 계좌에서 자금을 인출하거나 POS 단말기에서 즉시 결제를 시도하는 데 사용됩니다. 주로 러시아 은행을 포함해 브라질, 폴란드, 체코, 슬로바키아의 약 20개 금융 기관이 표적이 되었다는 점에서 전 세계적인 모바일 금융 보안 위협을 실감할 수 있습니다.

모바일 인프라 보안 강화로 미래 위협에 선제적 대응

오늘날 우리는 스마트폰 하나로 금융 거래부터 개인 정보 관리까지 모든 것을 처리하고 있습니다. 이런 편리함 뒤에는 앞서 살펴본 BankBot-YNRK, DeliveryRAT, NFC 결제 사기 악성코드와 같은 고도화된 위협들이 숨어 있습니다. 이러한 위협들은 단순한 사용자 부주의를 넘어, IT 인프라 전반의 보안 취약점을 파고들며 기업의 자산과 개인의 금융을 위협하고 있습니다. 악성코드의 진화 속도는 기존의 방어 체계를 끊임없이 시험하고 있으며, 특히 MaaS 모델의 확산은 공격의 문턱을 낮춰 사이버 범죄를 더욱 가속화하고 있습니다.

따라서 기업과 개인 모두 강력한 모바일 인프라 보안 전략을 수립하고 실천해야 합니다. 먼저, 모든 Android 기기는 항상 최신 OS 버전(예: Android 14 이상)으로 업데이트하여 알려진 취약점을 최소화하는 것이 필수적입니다. 앱을 설치할 때는 반드시 공식 앱 스토어를 이용하고, 알 수 없는 출처의 앱 설치는 엄격히 금지해야 합니다. 또한, 앱 권한 요청 시에는 내용을 꼼꼼히 확인하고 최소한의 권한만 허용하는 습관을 들여야 합니다.

기업 관점에서는 모바일 기기 관리(MDM) 솔루션을 도입하여 임직원들의 모바일 기기 보안 정책을 중앙에서 통제하고 모니터링해야 합니다. 또한, 행동 기반 탐지 기능을 갖춘 EDR/MDR 솔루션을 활용하여 악성코드의 비정상적인 행위를 조기에 감지하는 것이 중요합니다. 주기적인 보안 교육을 통해 임직원들이 피싱 시도나 사회 공학적 공격에 능동적으로 대처할 수 있도록 지원하는 것도 잊지 말아야 합니다. 모바일 금융 정보 탈취는 더 이상 먼 나라 이야기가 아닙니다. 선제적인 보안 강화 노력만이 다가오는 위협으로부터 우리의 소중한 자산을 지킬 수 있을 것입니다.

참고: RESEARCHERS UNCOVER BANKBOT-YNRK AND DELIVERYRAT ANDROID TROJANS STEALING FINANCIAL DATA – The Hacker News, 2025