모바일 보안 기업 ThreatFabric은 Manic이라는 새로운 Android 악성코드를 발견했다. 이 악성코드는 최소 2026년 2월부터 활동했으며 여러 유럽 국가의 사용자를 표적으로 삼고 있다. 특히 우크라이나의 은행, 정부 및 디지털 신원 애플리케이션을 집중적으로 노린다. 이 악성코드는 첩보, 금융 사기 및 원격 제어 기능을 결합했으며, 표적 기기 근처에 있는 감염 기기를 통해 데이터를 유출하는 이례적인 메커니즘을 포함하고 있다.
Manic은 최소 169개 애플리케이션을 표적으로 삼는다. 여기에는 은행 및 정부 서비스, 결제 애플리케이션, 암호화폐 지갑, 메시징 플랫폼, 2단계 인증 애플리케이션이 포함된다. 연구진은 또한 전 세계의 핀테크 및 암호화폐 서비스를 비롯해 중부·서유럽, 영국 및 러시아에서 사용되는 애플리케이션을 표적으로 삼는 사례를 확인했다.
Manic은 피해자 데이터를 어떻게 수집하는가?
접근성 서비스 권한과 알림 접근 권한을 획득한 후, 이 악성코드는 기기의 잠금 코드 또는 비밀번호를 캡처하고, 알림과 문자 메시지를 읽으며, 파일과 위치 데이터를 수집하고, 화면을 모니터링할 수 있다. 또한 WebRTC 세션을 통해 운영자에게 원격 제어 기능을 제공한다.
Manic은 정상 애플리케이션 내부의 가상 키보드 위에 투명한 레이어를 사용해 사용자의 입력을 캡처하고 Android 접근성을 통해 이를 다시 실행한다. 이를 통해 원래 애플리케이션은 정상적으로 계속 작동할 수 있다. ThreatFabric은 이 기능을 «사용자 인터페이스 키로거»라고 설명한다. 악성코드는 캡처한 텍스트를 저장하기 전에 분류해 잠금 화면 입력, 지갑 복구 문구로 추정되는 문구, 4~6자리 SMS 코드, 비밀번호, 이메일 로그인 정보, 긴 메시지 및 일반 텍스트를 구분한다.
데이터 유출 메커니즘의 특징은 무엇인가?
감염된 기기가 명령 및 제어 서버에 접속할 수 없을 때 Manic은 데이터를 암호화한 뒤 Wi‑Fi Direct 또는 Bluetooth를 사용해 인근 감염 기기를 통해 전송한다. 악성코드는 먼저 기존 Wi‑Fi Direct 피어를 사용하려고 시도한 다음, Bluetooth 또는 BLE를 사용하는 주변 기기에 인터넷 연결이 있는지 확인한다.
이 메커니즘은 다중 홉 경로를 지원하며, 새 항목의 기본 설정은 최대 4개의 릴레이 단계로 지정된다. 실제로 이는 인터넷에 연결되지 않은 기기도 Wi‑Fi 또는 Bluetooth 범위 안에 다른 감염 기기가 있으면 탈취한 데이터를 전송할 수 있다는 뜻이다. 이에 따라 정보가 악성코드 운영자에게 도달할 가능성이 커진다.
공격 인프라의 발전
ThreatFabric은 아직 최초 감염 방법을 정확히 밝혀내지 못했지만, 5월 말 피해자에게 주 페이로드를 전달하는 소프트웨어 래퍼의 사용을 확인했으며 이후 몇 달 동안 인프라가 확장됐다. 7월에는 분석 방지 검사를 강화하고 메모리 내 DEX 형식 실행 파일을 로드하는 기능과 새로운 제어판 및 API를 포함한 업데이트된 래퍼 버전이 등장했다.
Android 사용자는 무엇을 해야 하는가?
출처가 불분명한 곳이나 비공식 포털에서 APK 파일을 내려받지 말고, 실제로 필요한 신뢰할 수 있는 애플리케이션에만 접근성 권한을 부여해야 한다. 또한 알려진 악성코드를 탐지하고 제거할 수 있도록 Play Protect 검사를 정기적으로 실행하는 것이 좋다.