숏드라마 앱이 은행 앱을 지우고 똑같은 가짜를 깔았다
숏드라마 앱에서 '업데이트'를 눌렀을 뿐인데, 며칠 뒤 은행 앱이 겉모습만 같은 변조판으로 바뀝니다. 보안업체 ThreatFabric이 공개한 안드로이드 악성코드 Hirudo를 정리했습니다. 왜 통하는지, 지금 무엇을 확인하면 되는지 적었습니다.
학교 복도 끝에 사물함이 줄지어 있다고 해 봅시다. 내 사물함에는 내가 산 파란 번호 자물쇠가 걸려 있습니다. 아침마다 번호를 맞추면 딸깍 열립니다. 그 소리가 익숙해서 자물쇠를 따로 확인해 본 적은 없습니다.
어느 날 누군가 그 자물쇠를 몰래 떼어 냅니다. 그리고 색도 모양도 똑같은 자물쇠를 그 자리에 겁니다. 내 번호를 맞추면 여전히 딸깍 열립니다. 다른 점은 하나뿐입니다. 새 자물쇠는 내가 누른 번호를 몰래 적어 둡니다.
이번 주에 공개된 안드로이드 악성코드가 하는 일이 이것입니다. 자물쇠 대신 은행 앱을 바꿔치기합니다.
무슨 일이 벌어지나 — 한 사람의 며칠
사실 보안업체 ThreatFabric이 2026년 10월 14일에 새 안드로이드 악성코드를 공개했습니다. 이름은 Hirudo(히루도)입니다. 원격조종 악성코드입니다. 쉽게 말해 남의 폰을 멀리서 조종하는 프로그램입니다.
장면을 순서대로 따라가 보겠습니다.
첫째 날. 숏드라마 앱을 깔았습니다. 짧은 드라마를 이어 보는 앱입니다. 드라마가 잘 나오고 멀쩡히 돌아갑니다. 그러다 앱 안에 ‘업데이트’ 안내가 뜹니다. 누르면 권한을 달라고 합니다.
사실 보고서에 나온 미끼 앱은 네 종류입니다. 숏드라마 앱 KoiShort와 ZoyaTV, 쇼핑 앱 Shopora, 성인 영상 앱 1V1 X입니다. 모두 겉으로는 제 기능을 합니다. 그래서 의심하기 어렵습니다. 앱 안의 ’업데이트’를 누르면 진짜 악성코드인 본체가 깔립니다. 본체는 접근성 권한과 알림 접근 권한을 받으려 합니다.
접근성 권한이 무엇인지 짚고 가겠습니다. 원래 화면을 보기 어렵거나 손이 불편한 사람을 돕는 기능입니다. 화면 내용을 읽고, 사람 대신 버튼을 눌러 줍니다. 사물함으로 치면 “내 사물함 앞에 서서 내 손 대신 움직여도 된다”는 허락입니다.
며칠 뒤. 이번엔 은행 앱에 업데이트 안내가 뜹니다. 그런데 업데이트 화면이 아니라 삭제 화면이 열립니다. 그리고 은행 앱이 다시 깔립니다. 아이콘도 이름도 그대로입니다.
사실 본체는 먼저 폰에 어떤 은행 앱이 깔려 있는지 봅니다. 그 앱의 서명도 확인합니다. 그다음 가짜 업데이트 안내를 띄웁니다. 안드로이드 삭제 화면으로 진짜 앱을 지우고, 같은 때에 변조판을 내려받습니다. 자물쇠를 떼는 손과 새 자물쇠를 거는 손이 같은 사람입니다.
사실 따로 벌어지는 장면이 하나 더 있습니다. 숏드라마 앱에서 결제하려고 주문 화면을 엽니다. 그 위에 투명한 가짜 결제창이 덮입니다. 눈에는 결제창으로 보입니다. 여기에 은행 결제 비밀번호를 넣으면 공격자에게 갑니다. 미끼 앱에는 ’결제 성공’이라는 거짓 결과가 돌아갑니다. 그래서 결제가 잘된 줄 압니다.
왜 통하나 — 자물쇠 검사를 속이는 방법
사실 바꿔 걸린 은행 앱은 원래 앱과 패키지 이름이 같습니다. 패키지 이름은 폰이 앱을 구분하는 고유한 이름표입니다. 코드도 거의 그대로입니다. 그래서 평소처럼 잘 돌아갑니다. 번호를 맞추면 딸깍 열리는 새 자물쇠와 같습니다.
달라진 부분은 안에 숨은 장치입니다. 변조판에는 후킹 엔진이 들어 있습니다. 후킹은 앱이 일하는 중간에 끼어들어 결과를 바꿔치기하는 기술입니다. 이 엔진은 공개된 도구인 YAHFA와 Dobby를 바탕으로 만들어졌습니다.
사실 은행 앱도 나름의 자물쇠 검사를 합니다. 변조판은 그 검사를 네 가지 꺼 버립니다.
| 은행 앱의 검사 | 무엇을 보나 | 사물함으로 치면 |
|---|---|---|
| 서명 확인 | 이 앱을 정말 그 은행이 만들었나 | 자물쇠 뒷면의 제조사 도장 |
| 접근성 탐지 | 남이 화면을 대신 누르고 있나 | 옆에서 손 대신 움직이는 사람이 있나 |
| 화면 캡처 차단 | 화면을 몰래 찍어 가지 못하게 | 사물함 안을 들여다보지 못하게 가림막 |
| Play Integrity 검사 | 구글이 보기에 손대지 않은 앱과 폰인가 | 학교가 붙인 정품 확인 스티커 |
추정 이 네 검사는 원래 “자물쇠가 바뀌었다”는 걸 알아채라고 있는 장치입니다. 그 장치가 꺼지면 은행 앱은 경고를 띄우지 않습니다. 그래서 “은행 앱이 아무 말도 안 했으니 괜찮다”는 판단이 이번에는 통하지 않습니다.
사실 이 악성코드가 빼내는 것은 결제 비밀번호에서 끝나지 않습니다. 은행·전자지갑 로그인 비밀번호를 가져갑니다. 휴대폰 잠금 비밀번호와 잠금 패턴도 가져갑니다. 문자, 화면, 소리, 앞뒤 카메라에도 접근합니다.
사실 그래도 빈틈은 있습니다. 변조판을 만들 때 쓴 인증 키는 이미 밖으로 새어 나간 키였습니다. 구글은 그중 일부 인증서를 폐기 목록에 올렸습니다. 분실 신고된 도장 목록 같은 것입니다. 은행이 서버 쪽에서 이 목록을 확인하면 위조를 잡아낼 수 있습니다.
숫자로 본 규모
사실
| 숫자 | 뜻 |
|---|---|
| 42개 | 이 악성코드가 비밀번호를 노리는 금융 앱 수 |
| 8개 | 변조판을 미리 만들어 둔 은행 앱 수 (은행 7곳) |
| 8개 | 가짜 결제창이 지원하는 언어 수 |
42개는 비밀번호를 훔쳐 갈 목록입니다. 8개는 앱을 통째로 바꿔 걸 목록입니다. 42개 중 8개, 다섯 개 중 하나꼴로 바꿔칠 자물쇠까지 미리 깎아 둔 셈입니다. 한 번 감염되면 폰에 깔린 금융 앱 여러 개가 한꺼번에 표적이 됩니다.
사실 변조판이 준비된 은행 앱 8개는 모두 인도네시아 은행 것입니다. 비밀번호 탈취 목록에는 중국·인도·멕시코·모로코·태국 금융 앱도 있습니다. 가짜 결제창에는 말레이시아 은행과 전자지갑 브랜드가 쓰였습니다. 언어가 8개라는 건 한 나라 사람만 노리지 않는다는 뜻입니다.
사실 악성 설치 파일은 구글 플레이가 아니라 외부 서버에서 내려받게 되어 있었습니다. 아마존 CloudFront라는 파일 배달 서비스입니다. 6월에 보관된 한 다운로드 페이지에는 플레이 스토어처럼 꾸민 설치 버튼이 있었습니다.
내가 지금 할 일
한국 은행 앱이 노려졌다는 내용은 보고서에 없습니다. 그래도 수법 자체는 어느 나라 폰에서나 같습니다. 두 가지만 기억하면 됩니다.
1. 앱이 “업데이트 파일을 받으라”고 하면 누르지 마세요. 대신 플레이 스토어를 직접 열어서 그 앱을 찾아보세요. 업데이트가 정말 있으면 거기 떠 있습니다. 자물쇠를 바꿀 일이 있으면 학교 행정실에 직접 가서 받는 것과 같습니다. 복도에서 누가 건네는 자물쇠는 받지 않습니다.
2. 은행 앱이 혼자 삭제 화면을 열면 거기서 멈추세요. 그다음 순서는 이렇습니다.
- 설정의 접근성 메뉴에 들어가 모르는 앱이 켜져 있으면 끕니다.
- 플레이 프로텍트로 폰을 검사합니다. 구글이 폰에 깔린 앱을 훑어보는 기능입니다.
- 은행 고객센터에 알립니다.
의심 신호를 한 줄씩 모으면 이렇습니다.
- 드라마·쇼핑 앱이 ’업데이트’를 이유로 스토어 밖 설치 파일이나 접근성 권한을 요구한다.
- 은행 앱이 업데이트하겠다며 스스로 삭제 화면을 연다.
- 드라마·쇼핑 앱에서 결제하는데 은행 결제 비밀번호를 묻는 창이 뜬다.
추정 사물함 이야기로 돌아가면, 자물쇠가 같아 보인다는 건 아무것도 증명하지 못합니다. 믿을 근거는 그 자물쇠를 어디서 받았느냐입니다. 앱도 아이콘이 아니라 받아 온 곳으로 믿어야 합니다.
우리가 모르는 것
이 사건에서 아직 밝혀지지 않은 것들입니다. 아는 척하지 않겠습니다.
- 감염자 수는 모릅니다. 공격자 서버가 밖에 노출돼 있었고, 거기서 비밀번호 같은 로그인 정보 기록이 ‘수천 건’ 나왔다고만 알려졌습니다. 정확한 수치는 없습니다. 이 기록 수를 피해자 수로 읽으면 안 됩니다.
- 한국 은행이나 한국 사용자를 노렸다는 내용은 없습니다. 확인된 변조판 대상은 인도네시아 은행입니다.
- 은행 앱을 지울 때 누가 ’삭제’를 누르는지 모릅니다. 사용자가 직접 누르는지, 접근성 권한으로 자동으로 눌리는지는 원 보고서에서도 분명하지 않습니다. 보고서에는 사용자가 삭제를 중간에 막을 수 있다고만 나옵니다.
- 어떻게 퍼졌는지 확정되지 않았습니다. SNS 유료 광고로 퍼졌을 수 있다는 이야기는 앱 안의 광고 추적 코드를 근거로 한 추정입니다.
- 변조판이 준비된 인도네시아 은행 7곳의 이름은 공개되지 않았습니다.
- 미끼 앱이 구글 플레이에 올라간 적이 있는지 모릅니다. 보고서에 나온 배포처는 외부 서버입니다.
- 누가 만들었는지 모릅니다. 공격 조직의 이름은 밝혀지지 않았습니다. 국적이나 소속도 추정하지 않습니다.
출처
- ThreatFabric (1차 출처), “Hirudo: from fake updates to patched banking apps”, 2026-10-14 — https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps
- BleepingComputer, “Hirudo Android malware replaces banking apps to evade security checks”, 2026-10-14 — https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/
이 글은 우리 허니팟 관측이 아닙니다. 2026-10-15에 ThreatFabric 원 보고서와 BleepingComputer 보도를 대조해 정리했습니다. 두 자료 사이에 어긋나는 내용은 찾지 못했고, 국내 언론 보도는 찾지 못했습니다. 이 글에는 IP 주소, 자격증명 값, 악성 파일 주소를 싣지 않았습니다. 감염자 수, 한국 대상 여부, 삭제 확인을 누가 누르는지, 유포 경로는 확인되지 않았습니다.