'Corp MDM'라는 이름의 안드로이드 스파이웨어가 물류 기업 직원들을 노리고 있습니다. 공격자는 CEVA, TKW Logistics 같은 실제 물류 회사 브랜드를 도용한 가짜 구글 플레이 페이지를 통해 악성 앱을 배포하며, 이 앱은 설치 후 새로 수신되는 문자메시지(SMS)를 몰래 빼내고 전화를 다른 번호로 돌립니다. SMS 탈취는 OTP(일회용 비밀번호)나 계정 복구 코드 등 보안상 민감한 정보를 노출시킬 수 있어 위험도가 높습니다. 이 캠페인은 안드로이드 악성 앱 외에도 윈도우 악성코드 배포와 자격증명 피싱을 동시에 수행하는 더 큰 공격 작전의 일부입니다. 러시아·아르메니아 연계 위협 행위자가 배후로 추정됩니다.
위협 행위자가 가짜 구글 플레이 페이지를 통해 안드로이드 스파이웨어 'Corp MDM'을 배포하며, CEVA·TKW Logistics 등 실제 물류 브랜드로 위장해 물류 업계 종사자를 표적으로 삼고 있다.
감염된 기기에서 신규 수신 SMS 전체(발신자·내용·수신 시각)가 C2 서버로 평문 HTTP 전송되며, 무조건 착신 전환(call forwarding) 설정으로 전화 통화까지 가로챌 수 있다. OTP·계정 복구 코드·거래 알림 등 고가치 정보 노출 위험이 크다.
사용자가 악성 APK를 사이드로딩(공식 스토어 외 설치)하도록 유도하는 소셜 엔지니어링 기법이 사용됐으며, 앱 설치 후 SMS·전화·알림 권한을 요청한다. C2 IP(69.55.61[.]82)는 윈도우 악성코드 호스팅과 피싱 사이트에도 공용으로 사용된다.
악성 도메인(playgoogle.logisticstkwcargo[.]com, playgoogle.ceva-app[.]help)과 C2 IP(69.55.61[.]82)를 차단하고, 임직원이 공식 앱스토어 외 경로로 앱을 설치하지 않도록 MDM 정책을 강화해야 한다. SMS 기반 OTP 대신 인증 앱(TOTP) 또는 하드웨어 키 사용을 권장한다.
물류 업계 종사자 대상 안드로이드 기기 보안 정책 점검이 시급하다. 특히 SMS OTP를 업무 인증 수단으로 사용하는 경우 이번 악성코드에 의해 실시간으로 탈취될 수 있으므로, 인증 수단 다변화와 함께 의심스러운 앱 설치 여부를 즉시 확인해야 한다.
본문
물류 업계가 Corp MDM이라는 코드명의 안드로이드 스파이웨어를 배포하는 새로운 악성 사이버 캠페인의 표적이 됐다.
Have I Been Squatted에 따르면, 이 캠페인은 CEVA와 TKW Logistics 브랜드로 위장한 가짜 구글 플레이 페이지를 이용해 시스템 서비스처럼 꾸민 APK(Android Package Kit) 파일을 배포한다. 배포된 앱의 패키지명은 "com.corp.mdm"이다.
Corp MDM은 "새로 수신된 SMS 내용을 탈취하고, 통화를 다른 번호로 전환하며, 숨겨진 포그라운드 서비스를 유지하도록 설계된 소형 감시 임플란트"라고 보안 연구원 Ben Folland는 밝혔다.
이 악성코드는 상용 안드로이드 스파이웨어에서 일반적으로 관찰되는 기능이 부족해 의도적으로 기능을 좁힌 것으로 묘사된다. 위협 행위자가 개발 단계에서 AI(인공지능)를 활용한 것으로 의심되는데, 기능을 저해하는 버그들이 코드에 존재하기 때문이다.
또한 이 활동은 자격증명 피싱과 윈도우 기반 악성코드를 활용해 물류 업계를 노리는 더 광범위한 캠페인의 일부로 보인다.
악성 패키지는 아래와 같은 가짜 구글 플레이 스토어 페이지를 통해 배포된다.
- playgoogle.logisticstkwcargo[.]com
- playgoogle.ceva-app[.]help
두 악성 파일 모두 C2(명령 및 제어) 서버 주소로 하드코딩된 IP 주소("69.55.61[.]82")를 사용하며, 해당 IP는 자격증명 피싱 페이지를 호스팅하고 물류 업계를 겨냥한 추가 윈도우 악성코드를 제공하는 데에도 이용된다.
사이드로딩(비공식 경로 설치) 후 실행되면 악성 앱은 SMS, 전화(telephony), 알림 권한을 요청하며, 이를 통해 수신 SMS 메시지 가로채기, 착신 전환 활성화, 알림 표시가 가능해진다. 악성 앱은 일반 런처 아이콘을 삭제하는 동시에 백그라운드 실행을 유지한다.
다음 단계에서 앱은 C2 서버에 안드로이드 식별자를 등록하고, 30초마다 하트비트(heartbeat) 원격 측정 데이터를 전송하며, 매초 명령을 반복적으로 폴링한다.
- /api/v1/devices/register — 기기 기본 정보와 함께 기기 등록
- /api/v1/devices/heartbeat — 하트비트 메시지 전송
- /api/v1/devices/{ANDROID_ID}/commands — 위협 행위자가 발행한 명령 수신
- /api/v1/commands/result — 명령 실행 결과 전송
- /api/v1/sms/report — SMS 발신자, 메시지 본문, 수신 타임스탬프를 기기 식별자와 함께 전송
공격자 통제 인프라에서는 포트 3456에 비밀번호로 보호된 Corp MDM 관리 패널이 발견됐으며, 운영자는 이를 통해 감염된 기기를 제어하고 명령을 내릴 수 있다. 지원되는 명령 목록은 다음과 같다.
- ping — 명령 결과 엔드포인트를 통해 "pong" 반환
- forward_on — 운영자가 선택한 번호로 무조건 착신 전환 코드 실행
- forward_off — ##21#으로 무조건 착신 전환 취소 요청
- sync_sms — 실제 데이터 수집 없이 동기화 시작을 보고
- self_destroy — 임플란트 구성 요소 비활성화, 서비스 중지, 앱 데이터 초기화 요청
- get_location (패널은 지원하나 악성코드에는 미구현)
- lock_device (패널은 지원하나 악성코드에는 미구현)
주목할 점은 Corp MDM의 SMS 탈취 기능이 권한 부여 이후 새로 수신된 메시지에만 국한된다는 것이다. 기존 SMS 수신함 내용을 소급해서 유출하지는 않는다.
"그 제한된 수집 경로만으로도 고가치 정보를 충분히 노출시킬 수 있습니다"라고 Folland는 말했다. "SMS는 일회용 비밀번호(OTP), 비밀번호 재설정, 계정 복구, 거래 알림, 배송 업데이트에 여전히 널리 쓰입니다. 발신자, 메시지 전체 내용, 타임스탬프 모두 평문 HTTP로 기기 밖으로 전송됩니다."
배후가 누구인지는 현재 불명확하지만, Have I Been Squatted는 패널 UI 및 더 넓은 캠페인과 관련된 소스 코드에서 현지화된 흔적을 근거로 이 활동이 아르메니아 또는 러시아와 연관되어 있을 가능성이 높다고 밝혔다.
위협 행위자들이 물류 업계를 노린 것은 이번이 처음이 아니다. 2025년 11월, Proofpoint는 재정적 이득과 화물 절취를 목적으로 트럭 운송·물류 기업에 RMM(원격 모니터링 및 관리) 소프트웨어를 설치하는 캠페인을 상세히 보고한 바 있다.
올해 2월에는 Ctrl-Alt-Intel과 Have I Been Squatted가 미국과 유럽의 화물·물류 업체들, 즉 DAT Truckstop, TIMOCOM, Teleroute, Penske Logistics, Girteka, Electronic Funds Source(EFS) 등을 표적으로 삼은 'Diesel Vortex'라는 코드명의 위협 클러스터를 조명한 바 있다.
러시아·아르메니아 연계 위협 행위자는 'Global Profit(일명 MC Profit Always)'이라는 코드명의 새로운 PhaaS(피싱 서비스형 플랫폼)를 운영하고 있으며, 이 플랫폼은 화물·물류 업계를 겨냥해 가짜 이메일을 통해 공격을 수행하고 2025년 9월부터 2026년 2월 사이에 1,600개 이상의 고유 로그인 자격증명을 탈취한 것으로 알려졌다.
"이 작전은 단독 행위자의 소행이 아닙니다"라고 Have I Been Squatted는 밝혔다. "다른 운영자들에게 판매된 구조화된 금전 목적의 범죄 서비스로, 해당 그룹이 트럭 운송·물류 텔레그램 그룹을 집중 표적으로 삼아 스피어 피싱과 보이스 피싱 기법을 적극 활용했다는 증거가 있습니다."
"정상적인 플랫폼을 사칭해 표적이 매일 사용하는 것처럼 위장함으로써, 운영자들은 실시간으로 로그인 정보와 MFA(다중 인증) 코드를 가로채고, 이어서 송장 조작과 이중 중개(double‑brokering)를 통한 화물 정보 탈취, 개인정보 접근, 자금 절취까지 이어갔습니다."
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
