'Mantax Otax'라는 새로운 안드로이드(Android) 악성코드가 랜섬웨어(파일을 암호화한 뒤 돈을 요구하는 악성 프로그램)와 스파이웨어(정보를 몰래 빼가는 악성 프로그램) 기능을 동시에 갖추고 발견됐습니다. 이 악성코드는 Google Play 공식 스토어 외부에서 배포되는 악성 APK(앱 설치 파일) 형태로 퍼지며, 설치 후 접근성 서비스 권한을 이용해 기기를 광범위하게 장악합니다. Android 9 이하 구형 기기에서는 파일을 암호화하고, 모든 버전에서 문자·OTP(일회용 비밀번호)·WhatsApp·Telegram 대화 등 민감한 정보를 탈취합니다. 추가로 피해자에게 반복 팝업·점프스케어 이미지·원격 음성 메시지 등 협박성 괴롭힘 기능도 포함되어 있습니다. Android Play Protect를 최신 상태로 유지하면 이미 탐지·차단되며, 공식 스토어 외부 APK 설치를 삼가는 것이 핵심 예방책입니다.
인도네시아 공격자들이 Mantax Otax라는 안드로이드 악성코드를 Google Play 외부 악성 APK로 배포하고 있으며, 랜섬웨어·스파이웨어·원격 제어·피해자 괴롭힘 기능을 모두 탑재하고 있다.
Android 9 이하 기기에서 파일이 AES로 암호화되고 .enc 확장자로 변환되어 몸값을 요구받는다. 모든 대상 기기에서 SMS, OTP, 통화 기록, 연락처, WhatsApp·Telegram 메시지, 화면 녹화 영상, 카메라 사진, 잠금화면 PIN 등이 탈취된다.
Google Play 외부에서 배포되는 악성 APK를 피싱·소셜 엔지니어링으로 설치하게 유도하며, 접근성(Accessibility) 서비스 권한을 남용해 기기를 완전히 장악한다. Firebase와 WebSocket을 통해 C2 명령을 수신하고, GitHub에서 C2 도메인을 가져오는 구조를 사용한다.
Zimperium이 Firebase C2 서버 설정 오류를 이용해 공격자 대화를 확보했다. Google App Defense Alliance 파트너십을 통해 Play Protect 최신 기기에서는 이미 탐지 및 차단된다.
Android 9 이하 구형 기기는 즉시 상위 버전으로 업그레이드를 검토해야 한다. 기업 모바일 기기 정책에서 공식 스토어 외부 APK(사이드로딩) 설치를 금지하고, 불필요한 앱에 접근성 권한 부여를 차단해야 한다.
본문
'Mantax Otax'라는 새로운 안드로이드 악성코드가 랜섬웨어와 스파이웨어 기능을 결합해 파일을 암호화하고, 민감한 데이터를 탈취하며, 피해자에게 스팸과 괴롭힘을 가하는 것으로 확인됐습니다.
인도네시아 공격자들은 Google Play 외부에 호스팅된 악성 APK를 통해 이 악성코드를 배포하며, 피싱 및 소셜 엔지니어링 메시지로 피해자를 유인합니다.
설치 후 악성코드는 접근성(Accessibility) 서비스 사용 권한을 요청하며, 이를 통해 감염된 기기를 광범위하게 제어합니다.
이후 GitHub에서 C2(명령 및 제어) 인프라 도메인을 가져오고, 위치·통신사·Android 버전·기기 ID 등 피해자 정보를 전송합니다. C2는 Firebase 또는 WebSocket을 통해 실행 명령을 전달할 수 있습니다.
Zimperium에 따르면, 인도네시아 공격자들은 Android 공식 앱 스토어인 Google Play 외부에 호스팅된 악성 APK를 통해 이 악성코드를 배포하며, 피싱 및 소셜 엔지니어링 메시지로 피해자를 타깃으로 삼습니다.
구형 Android 기기 암호화
모바일 보안 기업 Zimperium에 따르면, Mantax Otax는 구형 Android 버전이 탑재된 기기를 암호화합니다. 공유 저장소를 탐색해 대상 파일 유형을 찾아내고, C2 서버에서 받은 피해자 고유 AES 키로 암호화합니다.
악성코드는 원본 파일을 삭제한 뒤 암호화된 복사본에 '.enc' 확장자를 추가합니다.
또한 기기에 저장된 이미지를 랜섬 요구 메모로 교체하고, Firebase에 호스팅된 전체 화면 채팅창을 열어 몸값 협상을 진행합니다.
사용자 이미지(왼쪽)를 랜섬 요구 메모(오른쪽)로 교체
출처: Zimperium
Zimperium 연구원들은 Firebase C2 서버의 설정 오류를 악용해 공격자와 피해자 간의 대화 내용을 확보할 수 있었습니다.
Firebase 채팅(왼쪽)과 유출된 대화(오른쪽)
출처: Zimperium
Mantax Otax의 랜섬웨어 모듈은 Android 9 이하 기기에서만 작동합니다. Android 10 이상에 도입된 'Scoped Storage' 보안 및 개인정보 보호 기능이 암호화 가능 범위를 외부 파일 디렉터리로 크게 제한하기 때문입니다.
스파이, 스팸, 그리고 괴롭힘
랜섬웨어 기능 외에도 Mantax Otax는 스파이웨어·원격 제어·괴롭힘 기능을 포함하고 있습니다.
연구원들은 이 악성코드가 지속적인 접근 유지를 위해 잠금화면 PIN을 탈취하고, SMS와 OTP(일회용 비밀번호)를 읽으며, 통화 기록·연락처·검색 기록·앱 목록·Google 계정 정보·위치 정보에 접근할 수 있다고 밝혔습니다.
잠금화면 PIN을 탈취하는 오버레이 화면
출처: Zimperium
접근성 서비스를 통한 시뮬레이션 조작을 이용해 WhatsApp 프로필과 메시지, Telegram 채팅도 추출할 수 있습니다.
또한 Android의 MediaProjection API를 악용해 스크린샷 캡처, MP4 동영상 녹화, Catbox 파일 호스팅 서비스를 통한 피해자 화면의 실시간에 가까운 스트리밍도 가능합니다.
감염된 기기의 카메라로 사진을 촬영해 공격자에게 전송하는 것도 가능합니다.
악성코드 버전 2에서는 반복적인 대화 상자, 전체 화면 동영상, 빠르게 번쩍이는 '점프스케어' 이미지 오버레이, 원격으로 제어되는 기기 스피커 텍스트 음성 변환 메시지 등 괴롭힘 기능이 추가되었습니다.
이러한 추가 기능들은 공격에 협박적 요소를 더해, 피해자가 몸값을 지불하도록 심리적 압박을 가하는 수단으로 작용합니다.
Zimperium이 App Defense Alliance(ADA)를 통한 Google 보안 파트너인 덕분에, Mantax Otax는 Play Protect 서비스가 활성화된 최신 Android 기기에서 이미 탐지 및 차단되고 있습니다.
사용자는 일반적으로 Google Play 외부에서 APK를 설치하지 말고, 수상한 앱에 접근성 권한을 부여하지 않으며, 신뢰할 수 있는 게시자의 앱만 사용할 것을 권고받고 있습니다.
AI 기반 공격에 대비하는 보안 청사진 수립
Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 함께하는 2시간짜리 디지털 서밋에 참여하세요. AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 것은 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다룹니다.
자리를 예약하세요
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
