AI 악성코드 랫햇이 안드로이드 PIN까지 훔친다

공격자들은 문자 메시지 피싱, 악성 광고, 기만적인 서드파티 다운로드 사이트를 주요 유포 경로로 쓴다. 악성 APK는 스트리밍 앱이나 크롬처럼 익숙한 소프트웨어로 위장하며, 익숙한 이름은 사용자의 경계를 낮춘다. 랫햇은 구글 플레이 스토어 밖에서 사용자가 직접 APK를 설치해야만 작동한다. 일단 설치되면 앱은 접근성 서비스 활성화를 요구한다. 지역에 따라 네트워크 문제를 해결해주거나 금전적 혜택을 풀어준다는 안내가 표시된다. 접근성 서비스는 안드로이드에서 정당한 기능을 수행하지만, 승인된 앱에 화면 내용을 열람하고 인터페이스를 조작할 권한도 함께 준다. 랫햇은 이 권한을 이용해 사용자 대신 설정을 바꾼다. 또한 은행 로그인 정보를 훔치고 인증 코드를 가로챌 수 있으며, 화면 터치 위치를 보고 PIN이나 잠금 패턴을 알아낼 수도 있다. 나아가 악성 앱을 삭제한 뒤에도 유지되는 지속적 연결을 생성할 수 있다.

짐페리움은 사용자가 공격을 멈출 기회가 여러 번 있다고 설명했다. 구글 플레이 밖에서 출처 불명의 설치 파일을 직접 설치하지 않고, 접근성 권한 요청을 경계하는 것이 확인된 대응책이다. 이번 발견은 생성형 AI가 사이버 공격에 활용되는 최신 기술 동향을 보여주는 사례다.