초기화해도 남는다 — 반값 '울트라'폰 안감 속에 꿰매진 앱

반값 명품 패딩을 산 날

온라인 장터에서 패딩을 하나 샀다고 해 봅시다. 가슴에 유명 브랜드 로고가 붙어 있습니다. 값은 정가의 반도 안 됩니다. 입어 보니 따뜻하고 겉보기에도 멀쩡합니다.

그런데 이 옷의 안감 속에 공장에서 누가 무언가를 꿰매 넣었다면 어떨까요. 겉에서는 보이지 않습니다. 세탁기에 몇 번을 돌려도 안감 속 바느질은 그대로 남습니다. 꺼내려면 안감을 뜯고 다시 꿰매야 합니다. 보통 사람이 집에서 할 수 있는 일은 아닙니다.

이번 주에 나온 보고서가 바로 이런 옷 이야기입니다. 다만 옷이 아니라 스마트폰입니다.

무슨 일이 벌어지는가

택배 상자에서 새 폰을 꺼냅니다. 상자에는 ’S25 Ultra’라고 적혀 있습니다. 처음 전원을 켜고 계정을 연결합니다. 여기까지는 아무 일도 없습니다.

며칠이 지나면 이상한 일이 생깁니다. 아무 앱도 켜지 않았는데 화면에 광고가 뜹니다. 깐 적 없는 앱 아이콘이 생겼다가 사라집니다. 설정에 들어가 지우려고 하면 ’시스템 앱’이라서 삭제 버튼이 없습니다.

사실 보안업체 Bitdefender는 이 악성코드에 **‘Midnight Mimosa(미드나잇 미모사)’**라는 이름을 붙였습니다. 이 코드는 폰의 펌웨어 안에 들어 있었습니다. 펌웨어는 폰이 켜질 때 가장 먼저 도는 기본 프로그램입니다. 공장에서 폰에 넣어 보내는 것이죠. 그러니 주인이 처음 전원을 켜기 전부터 이미 깔려 있던 겁니다.

패딩으로 치면 이렇습니다. 산 사람이 뭘 잘못 입어서 생긴 얼룩이 아닙니다. 공장에서 안감 속에 미리 꿰매 넣은 것입니다.

해당되는 사람

사실 감염된 기기는 대개 온라인 장터에서 파는 저가 제품이나 위조 제품이었습니다. 보고서에 나온 경우는 크게 세 가지입니다.

• 삼성 이름을 흉내 낸 짝퉁폰. ‘S24 Ultra’, ‘S25 Ultra’, ‘S26 Ultra’, ‘Note 18 Ultra’ 같은 이름이 붙어 있었습니다.
• 아이폰 이름을 흉내 낸 짝퉁폰. ‘i16_Pro_Max’, ‘i17 Pro Max’, ‘17_Pro_Max’ 같은 이름이었습니다.
• Doogee S200 X, Cubot KINGKONG X 같은 저가 러기드폰. 러기드폰은 떨어뜨려도 잘 안 깨지게 두껍게 만든 튼튼한 폰입니다.

사실 한 짝퉁폰은 진짜 갤럭시 S25 울트라의 모델 코드를 그대로 쓰고 있었습니다. 그런데도 삼성 제품이 아니었습니다. 로고만이 아니라 안쪽 라벨까지 베낀 옷인 셈입니다.

이런 폰을 부모님이나 아이에게 ’세컨드폰’으로 사 드린 경우도 여기에 들어갑니다.

왜 통하는가 — 지우는 버튼이 닿지 않는 자리

평소에 폰이 이상하면 우리는 두 가지를 합니다. 수상한 앱을 지웁니다. 그래도 안 되면 공장 초기화를 합니다. 이 두 가지가 이번에는 통하지 않습니다.

사실 이 악성 앱은 시스템 영역에 들어 있습니다. 시스템 영역은 폰이 돌아가는 데 필요한 기본 앱이 들어가는 자리입니다. 여기 있는 앱은 폰 주인보다 높은 권한을 가집니다. 그래서 일반적인 방법으로는 지워지지 않습니다.

사실 연구진은 이걸 없애려면 두 길밖에 없다고 봤습니다. 펌웨어를 통째로 정리하거나, ADB로 꺼야 합니다. ADB는 폰을 컴퓨터에 연결해서 개발자용 명령으로 다루는 도구입니다. 연구진은 대부분의 사용자에게는 현실적이지 않다고 적었습니다.

추정 공장 초기화는 ’공장에서 나온 처음 상태’로 되돌리는 기능입니다. 그런데 그 처음 상태에 이미 악성 앱이 들어 있었습니다. 그러니 초기화를 하면 악성 앱이 있는 상태로 돌아갈 뿐입니다. 세탁기를 아무리 돌려도 안감 속 바느질이 빠지지 않는 것과 같습니다.

사실 일부 제조사는 이 문제를 고치는 업데이트를 냈다고 보도됐습니다. 다만 어떻게 감염됐는지 공개적으로 설명한 제조사는 없다고 합니다. 또 악성코드를 손으로 지운 폰이 제조사 공식 업데이트를 받은 뒤 다시 감염됐다는 사용자 보고도 있다고 보도됐습니다(Doogee Fire 3 Max 사용자의 XDA 포럼 글). 이 사례는 BleepingComputer 기사에만 나오고, 우리는 1차 출처와 대조하지 못했습니다.

수선집에 맡겨 안감을 고쳐 왔는데, 같은 공장에서 보낸 새 안감에 똑같은 게 꿰매져 있었다는 이야기입니다. 아직 확인된 일은 아닙니다. 다만 ’고치면 된다’고 마음 놓기 어려운 이유는 됩니다.

안감 속에서 하는 일

사실 시스템 권한을 가진 이 앱은 주인 몰래 이런 일을 할 수 있습니다.

• 다른 앱을 깔고 지웁니다. 위장 앱 종류가 최소 32개 확인됐습니다.
• 앱에 권한을 줍니다. 원래는 주인이 “허용”을 눌러야 하는 일입니다.
• 원격에서 받은 코드를 실행합니다. 밖에서 새 지시를 내려받아 그대로 돌린다는 뜻입니다.

사실 몰래 앱을 깔기 직전에는 구글 플레이 스토어를 잠깐 끕니다. 깔리는 앱이 검사를 받지 않게 하려는 겁니다. 설치가 끝나면 다시 켭니다. 일부 변종은 앱이 구글 플레이에서 받은 것처럼 출처를 꾸미기도 합니다.

사실 눈에 보이는 증상은 광고입니다. 이 앱은 숨은 창에서 광고를 띄우고 스스로 누릅니다. 이걸 광고 사기라고 합니다. 사람이 광고를 본 것처럼, 누른 것처럼 꾸며서 광고비를 가로채는 수법입니다. 앱 밖에서 광고가 튀어나오는 것도 이 때문입니다.

사실 앱 잠금 도구로 위장한 앱 안에는 프록시 기능도 들어 있었습니다. 이 기능은 폰을 ’중계 노드’로 등록합니다. 쉽게 말해 남이 인터넷에 접속할 때 내 폰을 거쳐 나가게 하는 중계기로 이름을 올려 두는 겁니다. 그러면 바깥에서는 그 접속이 내 폰에서 나온 것처럼 보입니다.

사실 다만 연구진의 시험 폰에는 중계하라는 지시가 오지 않았습니다. 그래서 실제로 남의 접속을 넘겨줬는지는 확인되지 않았습니다. 등록은 돼 있었지만 일을 했는지는 모른다는 뜻입니다.

사실 악성 앱의 설정 파일에는 접근성, 알림 접근, 문자 권한이 적혀 있었습니다. 접근성 권한은 원래 화면을 대신 읽어 주는 기능 같은 데 쓰는 강한 권한입니다. 하지만 연구진은 이 권한으로 정보를 빼내는 동작은 관찰하지 못했습니다. 그러니 “은행 정보를 훔친다”고 말할 수는 없습니다. 열쇠는 쥐고 있는데 문을 여는 건 아직 못 봤다는 상태입니다.

숫자로 본 규모

사실 마지막 줄은 따로 짚어 둘 만합니다. 플레이 앱 13개에는 시스템 권한이 없습니다. 그래도 앱 밖에서 광고를 띄울 수는 있습니다. 보고서를 쓸 때는 플레이에 올라와 있었습니다. 패딩에 비유하면, 안감 속이 아니라 주머니에 넣어 파는 부속품에 같은 게 들어 있었던 셈입니다.

사실 보고서에는 한국 감염 사례가 나오지 않습니다. 150개국에 한국이 들어 있는지도 보고서만으로는 알 수 없습니다.

내가 지금 할 일

할 일은 두 가지입니다. 하나는 고르기 전에, 하나는 이미 산 뒤에 할 일입니다.

1. 계산대에서 거르기 ’갤럭시 울트라’나 ’아이폰 프로맥스’라는 이름이 붙었는데 값이 이상하게 싼 폰은 사지 마세요. 정식 유통 경로로 삽니다. 안감 속 바느질은 집에 와서 뜯기 어렵습니다. 그러니 옷은 계산대에서 거르는 게 가장 쉽습니다.

2. 이미 쓰고 있다면 — 중요한 건 그 폰에 넣지 않기 그 폰으로는 은행이나 메인 이메일 같은 중요한 계정에 로그인하지 마세요. 그리고 제조사 펌웨어 업데이트가 나왔는지 확인합니다.

추정 정보를 빼내는 동작은 관찰되지 않았습니다. 그래도 이 폰은 원격에서 받은 코드를 실행할 수 있습니다. 오늘 안 하던 일을 내일 시킬 수 있다는 뜻입니다. 그래서 중요한 계정은 처음부터 다른 폰에 두는 쪽이 안전합니다.

내 폰이 의심스럽다면 — 이런 신호

• 앱을 안 쓰는데도 광고가 뜹니다.
• 깐 적 없는 앱이 생겼다 없어지기를 반복합니다.
• 앱 목록에 시스템 앱처럼 보이는데 정체를 모르는 항목이 있습니다.
• 모델명은 삼성·애플인데, 제조사 정식 판매처가 아닌 곳에서 시세보다 훨씬 싸게 샀습니다.

마지막 항목은 증상이 아닙니다. 그래도 넷 중 가장 먼저 확인할 수 있는 신호입니다. 영수증만 봐도 알 수 있으니까요.

우리가 모르는 것

이 글은 남의 조사를 옮긴 것입니다. 아직 밝혀지지 않은 부분이 많습니다. 아는 척하지 않으려고 따로 적어 둡니다.

• 한국에도 퍼졌는지 모릅니다. 한국에서 감염된 폰이 있는지, 같은 모델이 국내 오픈마켓이나 해외 직구로 팔렸는지 확인되지 않았습니다.
• 내 폰이 실제로 중계기로 쓰였는지 모릅니다. 연구진도 남의 접속이 지나간 것을 확인하지 못했습니다. “내 폰이 범죄에 쓰였다”고 단정할 수 없습니다.
• 개인정보를 빼냈는지 모릅니다. 문자·알림·접근성 권한은 선언돼 있었습니다. 하지만 개인정보나 인증번호를 빼내는 동작은 관찰되지 않았습니다.
• 배터리나 데이터 사용량에 대한 내용은 없습니다. “배터리가 빨리 닳으면 감염”이라는 식의 판별법은 보고서에 나오지 않습니다.
• 누가, 어느 단계에서 심었는지 모릅니다. 펌웨어 서명에 쓰인 인증서가 중국 선전의 한 업체와 연결된다고 합니다. 하지만 그 업체가 관여했는지는 불분명합니다. 특정 나라나 업체의 짓으로 보지 않습니다.
• 플레이 앱 13개가 지금도 남아 있는지 모릅니다. 삭제됐는지 확인되지 않았습니다.
• 어느 제조사가 어떤 모델을 고쳤는지 목록이 없습니다. 수정 업데이트를 낸 곳이 있다고 보도됐지만 구체적인 목록은 나오지 않았습니다.

확인되지 않은 것: 국내 감염 여부, 실제 트래픽 중계 여부, 정보 탈취 여부, 공식 업데이트 후 재감염 사례(해외 기사 1건의 사용자 보고).

출처

• Bitdefender Labs (1차 출처, 2026-10-08) — The phone was compromised before the user turned it on: the rise of Midnight Mimosa https://www.bitdefender.com/en-us/blog/labs/midnight-mimosa-malware
• BleepingComputer (2026-10-08) — Low-cost Android phones ship with residential proxy malware https://www.bleepingcomputer.com/news/security/low-cost-android-phones-ship-with-residential-proxy-malware/

이 글은 2026-10-10 기준으로 위 두 출처를 바탕으로 썼습니다. 우리 허니팟이 관측한 내용이 아니라 외부 조사를 정리한 것입니다. 그래서 마스킹할 IP나 인용할 자격증명은 없습니다. BleepingComputer 기사는 Bitdefender 원 보고서와 대조했습니다. 보고서와 대조하지 못한 항목은 본문에 “보도됐습니다”로 구분해 적었습니다. 공격을 따라 할 수 있는 명령어·주소·설치 절차와 악성 앱 이름은 일부러 싣지 않았습니다.