AI로 기기 제어를 자동화하는 새로운 안드로이드 악성코드 'RatHat' 발견

'RatHat'이라는 새로운 안드로이드 악성코드가 발견됐다. AI 기반 서브시스템을 탑재해 운영자가 감염된 기기를 원격으로 조작하는 데 활용된다.

Zimperium zLabs 연구진이 해당 악성코드를 분석한 결과, LLM 프롬프트가 중국어로 작성된 점을 근거로 중국 위협 행위자와 연관된 것으로 보고 있다.

연구진에 따르면 이 악성코드는 구글 플레이 외부의 APK 다운로드를 유도하는 악성 광고(malvertising), SMS, 피싱 사이트를 통해 배포된다.

대부분의 안드로이드 악성코드 계열과 마찬가지로 RatHat은 안드로이드의 접근성(Accessibility) 권한을 남용해 감염된 기기에서 높은 권한의 동작을 수행한다.

특히 개발자 옵션과 무선 디버깅(Wireless Debugging)을 활성화해 외부 컴퓨터 없이 로컬에서 셸 수준의 실행 컨텍스트를 확보한다. 이는 ToxicPanda, RedHook 등 안드로이드 악성코드 계열에서도 확인된 메커니즘과 유사하다.

ADB(안드로이드 디버그 브리지) 접근 권한을 통해 RatHat은 Go 기반 에이전트(liblocal-service.so)를 설치하며, 이 에이전트는 ADB 셸 권한으로 명령을 실행하고, 배터리 제한 우회를 설정하며, 지속성을 관리한다.

동일한 에이전트는 악성코드가 제거되거나 중지되면 이를 복구하는 역할도 맡아, 악성코드 자체와 독립적인 지속성 채널로 기능한다. 이 상호 복구 구조는 양방향으로 작동하여, 악성코드도 에이전트가 제거될 경우 이를 복원한다.

Go 에이전트의 키로깅 활동

출처: Zimperium

두 번째 에이전트(libmedia_codec.so)는 FRP 리버스 프록시 클라이언트로 동작해 공격자와의 지속적인 터널을 형성한다.

악성코드는 타깃 은행 및 가상자산 앱 위에 HTML 오버레이를 표시해 계정 자격증명을 탈취한다.

또한 일회용 비밀번호(OTP)를 포함한 SMS 메시지와 알림을 가로채고, 텍스트 변경 이벤트를 기록하며, 브라우저 주소창에서 URL을 추출하고, 잠금 화면 PIN·비밀번호·잠금 패턴을 캡처할 수 있다.

비밀번호 및 PIN 탈취 오버레이

출처: Zimperium

AI 기반 내비게이션

Zimperium에 따르면 RatHat은 AI 기반 UI 자동화 엔진을 사용해 안드로이드 접근성 트리(Accessibility tree) 실시간 데이터를 XML로 직렬화한 뒤, 보고서에서 명시하지 않은 유명 AI 어시스턴트에 전송한다.

이 AI 도구는 다음 작업을 수행하도록 지시받는다:

• 지정된 인터페이스 요소의 중심 좌표 식별
• 요소의 실제 화면 텍스트 확인
• 'SCROLL_DOWN' 등 내비게이션 명령 반환

이 AI 기반 서브시스템은 완전히 고정 스크립트에 의존하는 자동화보다 RatHat의 인터페이스 자동화를 더욱 적응력 있게 만들며, 운영자가 실시간으로 개입하지 않고도 원격 조작을 가능하게 한다.

Zimperium은 "RatHat은 AI를 활용해 기기 인터페이스를 실시간으로 지능적으로 탐색·제어하므로, 기존의 스크립트 기반 자동화보다 보안 소프트웨어가 탐지하기 훨씬 어렵다"고 밝혔다.

RatHat의 AI 프롬프트

출처: Zimperium

연구진은 RatHat이 삭제 확인 화면을 가로채 절차를 취소하고, 가짜 오류 메시지가 담긴 구글 플레이 오버레이를 표시함으로써 제거 시도를 적극적으로 방해한다고 경고했다.

Zimperium은 또한 악성코드에 내장된 다수의 안티분석 기법을 강조했다. APK 컨테이너 변조, 61MB에 달하는 비대한 안드로이드 매니페스트 파일, 잘못된 DEX 의사(pseudo) 명령어 등이 분석 도구를 혼란시키거나 무력화하기 위해 사용됐다.

안드로이드 사용자는 신뢰할 수 있는 게시자가 아닌 한 구글 플레이 외부에서 APK 파일을 다운로드하지 말아야 하며, 앱에 접근성 권한을 부여하지 않도록 주의하고, Play Protect로 기기를 정기적으로 검사해야 한다.

AI 기반 공격에 대한 보안 청사진 수립

Mikko Hyppönen과 NFL, CHANEL, Atlassian의 보안 리더들이 AI 속도의 공격이 무엇을 바꾸는지, 방어자가 멈춰야 할 일이 무엇인지, 그리고 기계 속도로 검증·결정·수정·재검증하는 방법을 다루는 2시간짜리 디지털 서밋에 함께합니다.

좌석을 예약하세요