AI 개발 플랫폼 허깅페이스의 공개 호스팅 인프라를 악용해 원격 접근 트로이목마(Remote Access Trojan, RAT)가 배포되고 있다. 이번 공격은 소셜 엔지니어링, 단계적 페이로드 전송, 안드로이드 권한 오남용을 결합해 감염된 기기 내에서 지속적인 통제권을 확보하는 방식으로 이뤄진다.

비트디펜더랩(Bitdefender Labs)의 분석에 따르면, 이번 캠페인은 겉보기에는 정상적인 보안 앱처럼 보이는 안드로이드 애플리케이션을 ‘드로퍼(dropper)’로 사용하는 방식으로 시작된다. 광고나 팝업창을 통해 사용자에게 ‘기기가 감염됐다’는 경고 메시지를 띄우고, 이를 해결하기 위해 해당 앱을 설치하도록 유도한다. 설치 후 앱은 허깅페이스에 호스팅된 2단계 페이로드를 실행하며, 공격자는 이 과정을 통해 악성 트래픽을 정상적인 개발자 활동으로 위장해 초기 탐지를 회피한다.

비트디펜더 연구팀은 이번 공격이 단순히 신뢰받는 AI 개발 플랫폼을 악용했다는 점뿐 아니라, 규모와 자동화 수준에서도 심각한 위협을 보이고 있다고 지적했다. 공격자는 수천 개에 달하는 서로 다른 안드로이드 패키지를 만들어내며, 서명 기반 보안 탐지를 회피하기 위해 짧은 주기로 새로운 변종을 지속적으로 생성하고 있는 것으로 분석됐다.

스케어웨어 전술과 드로퍼 배포

감염은 안드로이드 사용자를 속여 악성 보안 애플리케이션 ‘트러스트배스천(TrustBastion)’을 설치하도록 유도하는 방식으로 시작된다. 이 앱은 표면적으로는 정상적인 코드처럼 보이지만, 실제로는 더 위험한 페이로드를 전달하는 ‘드로퍼(dropper)’ 역할을 수행한다.

연구팀에 따르면, 가장 흔한 시나리오는 사용자가 광고나 팝업창을 통해 ‘스마트폰이 감염됐다’는 경고를 접하고, ‘무료이면서 다양한 유용한 기능을 제공한다’는 보안 플랫폼 설치를 권유받는 경우다. 연구팀은 “공식 웹사이트(trustbastion[.]com)가 운영될 당시에는 스팸 문자, 피싱, 맬웨어 탐지 등 각종 보안 기능을 제공한다고 홍보했다”라고 설명했다.

앱이 실행되면 즉시 안드로이드 시스템이나 구글플레이 업데이트 알림창과 유사한 화면이 표시된다. 사용자가 이를 신뢰해 ‘업데이트’를 승인하면, 앱은 암호화된 공격자 서버로 네트워크 요청을 전송하고, 이후 피해자를 허깅페이스에 호스팅된 악성 APK 데이터셋으로 리디렉션한다.

스마트 호스팅 인프라 악용

허깅페이스는 머신러닝 모델과 데이터셋, 개발 도구를 호스팅하는 플랫폼으로, 전 세계 개발자가 널리 활용하고 있다. 그러나 비트디펜더는 이 플랫폼이 최근 정상적인 활동 속에 악성 다운로드를 숨기는 데 악용되고 있다고 지적했다. 허깅페이스는 업로드된 파일을 클램AV(ClamAV)로 검사하고 있지만, 연구팀은 “이 보안 조치가 정교하게 위장된 악성 저장소를 완전히 걸러내기에는 한계가 있다”라고 지적했다.

또한 “허깅페이스 저장소 분석 결과, 짧은 기간 동안 매우 많은 커밋이 이루어졌으며, 약 15분마다 새로운 페이로드가 생성되고 있었다. 조사 당시 해당 저장소는 개설된 지 약 29일밖에 되지 않았음에도 6,000건이 넘는 커밋이 기록돼 있었다”라고 전했다.

결국 허깅페이스 측은 문제의 저장소를 폐쇄했지만, 공격자는 코드의 핵심 구조를 그대로 유지한 채 디자인만 일부 수정해 다른 위치에서 동일한 공격을 이어간 것으로 확인됐다.

설치, 권한 악용, 그리고 지속적인 RAT 활동

2단계 페이로드가 설치되면 애플리케이션은 ‘폰 시큐리티(Phone Security)’ 시스템 구성요소로 위장해 사용자에게 민감한 안드로이드 권한을 단계적으로 활성화하도록 유도한다.

요청되는 권한에는 접근성 서비스(Accessibility Services), 화면 녹화(Screen Recording), 화면 송출(Screen Casting), 오버레이 표시 권한(Overlay Display Rights) 등이 포함된다. 이들 권한이 조합되면 맬웨어는 사용자의 기기 내 활동을 광범위하게 감시할 수 있으며, 여러 애플리케이션에서 표시되는 화면 내용을 그대로 캡처할 수 있다.

연구팀은 “이러한 기능을 통해 공격자는 사용자의 활동을 실시간으로 감시하고 녹화할 수 있을 뿐 아니라, 알리페이나 위챗 등 주요 금융 플랫폼의 로그인 화면을 위조해 인증 정보를 탈취할 수 있다. 또한 잠금 패턴이나 생체인식 입력을 수집해 이를 C2C 서버로 전송하는 기능도 포함돼 있다”라고 설명했다.

비트디펜더는 이번 내용을 공개하기 앞서 허깅페이스 측에 문제를 통보했으며, 허깅페이스는 즉시 맬웨어가 포함된 데이터셋을 삭제한 것으로 알려졌다. 다만, 허깅페이스는 필자의 논평 요청에 즉각적인 답변을 내놓지 않았다.

비트디펜더는 추가 대응을 위해 드로퍼 해시, IP 주소, 도메인, 패키지 이름 등을 포함한 침해 지표(IoC) 목록을 공개하고, 보안업계와 공유했다고 밝혔다.
dl-itworldkorea@foundryco.com