보안 연구팀 ThreatFabric이 'StreamRat'이라는 새로운 안드로이드 뱅킹 트로이목마를 발견했습니다. 이 악성 앱은 Meta(페이스북·인스타그램) 광고를 통해 가짜 TV 스트리밍 앱으로 위장해 스페인어 사용자를 속였으며, EU 내 약 57만 명의 Meta 계정에 광고가 노출됐습니다. 피해자가 앱을 설치하고 접근성(Accessibility) 권한을 허용하면 공격자가 키 입력 감시, 화면 캡처, 원격 기기 제어 등 거의 모든 기기 기능을 장악할 수 있습니다. 설치 과정에서 VPN 권한을 먼저 요청해 다른 앱의 인터넷을 끊어 악성코드 탐지를 회피하는 기법도 사용됩니다. 출처 불명의 APK 파일 설치를 피하고, 스트리밍 앱이 시스템 제어 권한을 요청할 경우 즉시 설치를 중단해야 합니다.
Meta 광고를 통해 가짜 TV 스트리밍 앱으로 위장한 안드로이드 뱅킹 트로이목마 StreamRat가 배포됐다. 2026년 6월 11일부터 7월 3일까지 진행된 캠페인으로 EU 내 약 57만 Meta 계정에 노출됐다.
접근성 권한 획득 시 키로깅, 자격증명 탈취용 오버레이 표시, 화면 캡처, 원격 기기 제어 등 기기 거의 전체를 장악 가능하다. TikTok, Facebook, Instagram을 통한 추가 유포 정황도 확인됐다.
사용자가 소셜미디어 광고를 통해 악성 사이트에 접속 후 APK를 직접 설치(사이드로딩)하고, 기본 홈 앱·VPN·접근성 권한을 순차적으로 허용함으로써 감염된다. GitHub에 호스팅된 페이로드는 이전 Mirax 캠페인과 연관된 계정에서 배포됐다.
ThreatFabric이 IoC(침해지표)를 공개했다. Google Play Protect는 오프라인 탐지를 지원한다. 공식 앱 스토어 외부 APK 설치 금지 정책 시행이 권고된다.
스트리밍 앱이 VPN·접근성·홈 앱 기본값 설정 등 스트리밍과 무관한 권한을 요청하면 즉시 설치를 중단해야 한다. 제공된 SHA-256 해시·패키지명·C2 IP를 EDR 및 네트워크 차단 목록에 즉시 등록할 것을 권고한다.
본문
The Hacker News 2026년 9월 2일 | 악성 광고(Malvertising) / 모바일 보안
사이버보안 연구팀이 StreamRat이라는 새로운 안드로이드 뱅킹 트로이목마의 상세 정보를 공개했다. 이 악성코드는 Meta에서 가짜 TV 스트리밍 캠페인 광고로 스페인어 사용자를 대상으로 유포됐으며, 감염된 기기에 대해 운영자가 거의 완전한 제어권을 행사할 수 있다.
ThreatFabric에 따르면 이 캠페인 광고는 스페인을 집중 타깃으로 삼았으며, EU 내 약 570,950개의 Meta 계정에 최소 1회 이상 노출됐다. 감염 기기 수와 확인된 피해자 수는 아직 보고되지 않았다.
기기 장악은 피해자가 안드로이드 패키지(APK)를 직접 설치(사이드로딩)한 뒤 일련의 권한을 순차적으로 허용해야 가능하다. 스트리밍 앱이 스트리밍과 무관한 시스템 제어 권한을 요청할 경우, 사용자는 즉시 설치를 중단해야 한다.
ThreatFabric은 자체 StreamRat 분석 보고서에서 "StreamRat이 안드로이드 악성코드 생태계에 사전 경험이 있는 개인들이 개발한 신규의 기술적으로 정교한 위협임은 의심의 여지가 없다"고 밝혔다.
ThreatFabric은 이 캠페인을 특정 위협 행위자에게 귀속시키지는 않았다. 접근성(Accessibility) 권한이 활성화되면 운영자는 키 입력 캡처, 자격증명 탈취용 오버레이 표시, 화면 상태 확인, 원격 기기 제어가 가능해진다.
캠페인은 소셜미디어 미끼 광고가 안드로이드 사용자를 특수 제작된 웹사이트로 유도하는 방식으로 시작된다. 해당 사이트는 방문자의 운영체제를 확인하고, 안드로이드 기기에만 다운로드 버튼을 표시한다.
방문자는 이후 app.apk라는 파일을 내려받을 수 있다. 피해자가 APK를 실행하면, 드로퍼(dropper)는 기기의 기본 홈 앱이 되도록 요청한다. 이렇게 되면 홈 버튼을 누를 때마다 피해자는 드로퍼의 화면으로 돌아오게 된다.
최종 페이로드를 가져오기 전, 드로퍼는 VPN 연결 권한을 요청한다. 승인되면 VPN은 드로퍼 자신을 제외한 기기 트래픽 전체를 작동하지 않는 인터페이스로 우회시킨다.
드로퍼의 메인 페이지는 StreamRat 페이로드를 update_{timestamp}.apk라는 이름으로 공개 다운로드 디렉터리에 내려받는다. 이후 드로퍼는 출처 불명 앱 설치 권한을 요청한다.
승인 후, 안드로이드의 패키지 설치 메커니즘을 통해 페이로드가 설치된다. StreamRat이 실행되면 페이로드는 접근성 권한을 요청하고, 사용자가 이를 허용하면 악성코드는 C2(명령 및 제어) 서버에 연결된다.
VPN 인터페이스는 우회된 트래픽을 전달하지 않기 때문에, 설치 도중 다른 앱들은 인터넷 연결이 끊긴다. 드로퍼는 페이로드 실행 후 VPN을 종료해 StreamRat이 C2 서버와 통신할 수 있도록 한다.
ThreatFabric은 이 연결 차단이 온라인 평판 및 코드 분석 검사를 회피하기 위한 목적일 수 있다고 평가했다. Google Play Protect는 알려진 유해 앱에 대한 오프라인 탐지 기능을 유지하고 있어 이 기법의 효과를 제한한다.
화면 캡처를 위해 StreamRat은 안드로이드의 MediaProjection API(애플리케이션 프로그래밍 인터페이스)를 호출하는데, 이는 동의 대화상자를 표시하며 일반적으로 화면 공유 표시기로 식별된다.
피해자가 접근성 권한을 허용한 이후에는 악성코드가 접근성 기능을 이용해 해당 동의 대화상자를 자동으로 조작할 수 있다. 두 번째 모드는 접근성의 takeScreenshot() 메서드를 활용해 MediaProjection 표시기 없이 화면을 캡처한다.
ThreatFabric은 StreamRat이 TikTok을 통해서도 유포됐다고 밝혔다. TikTok 관련 공개 증거는 TikTok을 참조 앱으로 식별할 수 있는 랜딩 페이지 코드로 구성됐으며, TikTok 광고 기록이나 도달 수치는 제공되지 않았다.
동일한 배너 광고가 Facebook과 Instagram에도 게재됐을 가능성이 높으며, Meta의 주요 게재 위치는 아직 특정되지 않았다.
적용 가능한 안드로이드 버전 범위는 공개되지 않았으며, 영향 여부는 설치 동작과 요청된 권한에 따라 결정된다.
해당 기업은 다음과 같은 침해지표(IoC)를 공유했다.
- SHA-256 - e0714788b4e2518b0d9d4cbf18c7217bb97718e01689d77338f1cc4a230fcb6c
- 패키지 - io.base.one887
- 앱 이름 - StrεαmTV Pro
- SHA-256 - ba83cc3c9535690191018edf73ca5c6001609df9919462796aa2e551f142e4d3
- 패키지 - io.meat.hint
- 앱 이름 - Sistema de vídeo
- C2 IP - 45.147.28[.]59
- C2 IP - 193.32.2[.]245
Meta 캠페인은 2026년 6월 11일 시작돼 7월 3일 종료됐다. 캠페인은 2026년 7월 말에 식별됐으며, 분석 결과는 2026년 9월 2일에 공개됐다.
StreamRat 페이로드는 ThreatFabric이 이전 Mirax 캠페인과 연관된 것으로 판단한 GitHub 계정에서 배포됐다. 드로퍼 역시 해당 작전에서 사용된 것과 매우 유사한 형태였다.
Cleafy는 자체 Mirax 보고서에서 "드로퍼들은 GitHub 릴리스를 이용해 호스팅되며, 다양한 백업 링크와 매일 업데이트되는 패키지를 사용한다"고 밝혔다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
