구글 플레이의 '얼리 액세스(Early Access)' 프로그램이 악용되어 수천 개의 사기성 안드로이드 앱이 유포되고 있습니다. 이 프로그램은 출시 전 앱에 대해 사용자가 리뷰나 별점을 남길 수 없어, 악성 행위자들이 가짜 카지노 게임·보상 앱 등을 별다른 경고 없이 퍼뜨리는 데 악용하고 있습니다. 해당 앱들은 틱톡·페이스북 광고와 AI로 만든 딥페이크 영상으로 홍보되며, 사용자가 출금 한도에 도달할 때까지 가상 보상을 주다가 실제 지급은 이루어지지 않는 구조입니다. 이와 함께 Hagaseca(원격 제어 트로이목마), Mantax Otax(스파이웨어·랜섬웨어 복합 악성코드), StreamRat(접근성 서비스 남용 악성코드), Gigabud 뱅킹 트로이목마 등 새로운 안드로이드 악성코드 계열도 동시에 등장해 피해가 확산되고 있습니다. 기업 보안 담당자는 임직원의 모바일 앱 설치 정책을 재점검하고 소셜 미디어 광고를 통한 앱 설치에 각별히 주의해야 합니다.
구글 플레이 얼리 액세스 프로그램이 악용되어 가짜 카지노·보상·유틸리티 앱 수천 개가 배포됨. 동시에 Hagaseca, Mantax Otax, StreamRat, Gigabud 등 4종의 신규 안드로이드 악성코드 계열도 발견됨.
사용자는 리뷰·별점이 없어 앱 신뢰도를 판단할 수 없고, 광고 수익 편취·개인정보 탈취·기기 랜섬웨어 잠금·금융 사기 등 다양한 피해에 노출됨. Mantax Otax는 안드로이드 9 이하 기기를 암호화하고 몸값을 요구하며, Gigabud는 뱅킹 앱을 복제해 금융 거래를 직접 조작함.
얼리 액세스 앱은 사용자가 공개 리뷰·별점을 남길 수 없다는 구조적 허점을 이용. 틱톡·페이스북 AI 딥페이크 광고로 대규모 유인. 일부 앱은 도박 규제·연령 인증·지역 제한 등 법적 요건도 회피.
Bitdefender가 해당 캠페인을 공개했으며, 일부 앱(예: 'Vice Streets: Open World')은 구글 플레이에서 내려가 있음. Google에 공식 입장 요청 중.
소셜 미디어 광고를 통한 앱 설치를 차단하거나 강력히 제한하는 MDM(모바일 기기 관리) 정책 적용 필요. 얼리 액세스 앱은 리뷰가 없다는 이유만으로 신뢰하지 말 것. 안드로이드 9 이하 구형 기기는 Mantax Otax 랜섬웨어에 취약하므로 즉시 업그레이드 또는 격리 검토.
본문
Ravie Lakshmanan 2026년 9월 10일 · 모바일 보안 / 인공지능
악성 행위자들이 구글 플레이의 얼리 액세스(Early Access) 프로그램을 악용해 현금·보상·카지노 당첨금·프리미엄 콘텐츠를 제공한다고 속이는 사기성 앱을 유포하고 있습니다.
얼리 액세스 앱은 공식 안드로이드 앱 마켓플레이스에 아직 정식 출시되지 않은 앱입니다. 이 프로그램의 본래 취지는 개발자가 출시 전 새 앱이나 기능에 대한 사용자 피드백을 수집할 수 있도록 하는 것입니다.
주목해야 할 점은, 얼리 액세스 앱에 대해서는 사용자가 공개 리뷰나 별점을 남길 수 없다는 것입니다. 이 허점이 새로운 형태의 남용을 가능하게 했습니다. 위협 행위자들이 수천 개의 얼리 액세스 앱에 가짜 카지노 게임·보상 앱은 물론, 오해를 일으키는 유틸리티 앱과 제3자 상표권을 침해하는 앱 등 기만적인 콘텐츠를 담아 올리고 있는 것입니다.
식별된 앱 중에는 "Vice Streets: Open World"(APK 패키지명: com.gamblechaos.withfriends.game)라는 그랜드 테프트 오토(Grand Theft Auto) 모방작이 있으며, 100만 건 이상의 다운로드를 기록했습니다. 이 게임에는 리뷰나 별점이 전혀 없습니다. 현재는 구글 플레이 스토어에서 더 이상 확인되지 않지만, 구글이 직접 삭제한 것인지 업로더가 스스로 내린 것인지는 불분명합니다.
"개발자를 부당한 비판으로부터 보호하는 바로 그 기능이, 앱을 신뢰할 수 없다는 가장 초기의 경고 신호를 사용자에게서 빼앗아 버립니다." — Bitdefender
사용자가 부정적인 리뷰나 낮은 별점을 남길 수 없기 때문에 기존의 신뢰 지표가 더 이상 작동하지 않아, 이러한 앱들이 쉽게 확산될 수 있습니다. 해당 앱들은 AI(인공지능)로 생성한 유명인 딥페이크 영상이 포함된 허위 광고를 통해 틱톡(TikTok), 페이스북(Facebook) 등 소셜 미디어에서 홍보되고 있는 것으로 알려졌습니다.
"의심스러운 얼리 액세스 앱들 사이에서 반복적으로 나타나는 패턴이 있습니다. [이하 원문 일부 누락]"
"이 앱들 대부분은 동일한 참여 유도 방식에 의존합니다. 사용자는 틱톡이나 페이스북 광고를 보고 앱을 설치합니다. 초반에는 풍성한 가상 보상을 즉시 받기도 하지만, 출금 한도에 도달하는 순간 진행이 급격히 느려집니다. 약속한 지급금은 결코 도착하지 않습니다."
궁극적인 목적은 끊임없이 광고를 노출시켜 불법 수익을 올리는 것입니다. 카지노 성격의 이러한 얼리 액세스 앱들은 정식 도박 앱이 준수해야 하는 많은 규제 요건도 피해 갈 수 있다는 또 다른 이점이 있습니다.
라이선스·지오펜싱(geofencing, 지역 제한)·연령 인증 규제를 피하기 위해, 카지노 스타일 앱들은 겉으로는 캐주얼 슬롯·퍼즐 게임인 척 위장하며, 소셜 미디어 광고를 통해 구글 플레이 스토어의 얼리 액세스 앱이나 각종 도박 웹사이트로 사용자를 직접 유도하는 방식으로 공격적인 홍보를 펼칩니다.
추가 분석에 따르면 이 앱들의 미끼는 카지노 게임·슬롯머신·가짜 보상 앱을 넘어, PDF 리더·QR 스캐너·휴대폰 추적기·유틸리티 앱·상표 도용 게임 등으로 확대되고 있습니다.
"구글의 얼리 액세스 프로그램은 새로운 아이디어를 테스트하는 개발자에게 여전히 가치 있는 도구입니다. 댓글과 별점을 차단하는 것은 정당한 개발자를 부당한 리뷰 폭탄으로부터 보호하지만, 동시에 사기성 소프트웨어에 맞선 커뮤니티의 가장 강력한 방어 수단 중 하나를 제거해 버립니다." — Bitdefender
The Hacker News는 구글에 논평을 요청했으며, 답변이 오는 대로 기사를 업데이트할 예정입니다.
이번 공개는 안드로이드를 겨냥한 여러 악성코드 계열의 등장과 맞물립니다.
- Hagaseca: THost9 로더를 통해 유포되는 RAT(원격 접근 트로이목마)로, 웜(worm) 컴포넌트가 포함되어 있습니다. 노출된 ADB(Android Debug Bridge, 안드로이드 디버그 브리지) 서비스를 스캔해 악성코드를 설치하고, 쉘 실행·파일 전송·터널링·다운로드 모듈을 통해 지속성을 확보하고 원격 제어를 수행합니다.
- Mantax Otax: 포괄적인 스파이웨어 기능과 랜섬웨어 기능을 결합한 하이브리드 모바일 악성코드입니다. 운영자가 민감한 데이터를 탈취하고, 구형 안드로이드(Android 9 이하) 기기에서 이를 암호화한 뒤 기기 화면을 잠가 몸값을 요구합니다. 피해자 기기의 언어 및 파일 특성으로 보아 주로 인도네시아 이용자를 표적으로 하는 것으로 보입니다.
- StreamRat: 안드로이드의 접근성 서비스(Accessibility Services)와 MediaProjection API를 악용해 감염 기기를 제어하고, 오버레이를 표시하며 민감한 데이터를 수집합니다. Meta와 TikTok 광고를 통해 스페인어 사용자를 노리며, "StreamTV Esp"라는 무료 TV 스트리밍 서비스인 것처럼 위장한 위조 사이트로 유도합니다.
아울러, GoldFactory가 Gigabud 뱅킹 트로이목마를 이용해 Vwork라는 보조 안드로이드 앱을 설치하는 사례도 포착됐습니다. Vwork는 Shelter를 무기화한 포크(fork) 앱으로, 워크 프로파일(work profile) 내에서 표적 앱을 복제해 금융 사기에 활용합니다. [이하 원문 일부 누락]
"완전한 원격 제어 권한과, 필요한 경우 클론된 뱅킹 앱까지 갖춘 상태에서, 운영자는 블랙 스크린으로 진행 상황을 숨기며 피해자의 휴대폰에서 직접 금융 거래를 실행합니다. 클론된 환경은 사기 방지 제어 수단을 우회하는 데 사용됩니다." — Group-IB
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
