파일 잠금은 줄어도, 화면·카메라는 노린다

안드로이드 악성코드 만탁스오탁스는 파일을 잠그는 데서 그치지 않아요. 화면 녹화와 캡처, 앞뒤 카메라 촬영, 인증번호 탈취와 가짜 잠금 화면을 이용한 비밀번호 가로채기 기능까지 갖춘 것으로 짐페리움이 분석했어요. 파일을 암호화해 접근을 막는 랜섬웨어 기능과 기기 안의 정보를 들여다보는 감시 기능이 한 악성코드에 함께 들어간 셈이에요.

파일 암호화 피해는 기기 버전에 따라 범위가 달라져요. 안드로이드 9 이하에서는 공유 저장 공간의 사진·영상·문서 등을 암호화하고 원본을 삭제한 뒤 확장자를 바꿀 수 있어요. 반면 안드로이드 10 이상은 저장소 접근 제한이 있어 이 방식의 피해가 줄어들어요. 다만 화면을 캡처하거나 녹화해 내용을 전송하고, 숨겨진 화면으로 카메라를 열어 사진을 찍는 기능은 안드로이드 버전과 관계없이 작동해요.

설치 경로도 살펴볼 대목이에요. 공격자는 공식 스토어 밖의 파일 공유 사이트와 공유 링크, 메신저, 피싱 메시지로 이용자가 악성 앱을 직접 설치하도록 유인해요. 설치 뒤에는 기기 관리자·문자·연락처·오디오·이미지 접근 권한을 요구하고, 이어 접근성 권한까지 단계적으로 요구해요. 접근성 권한은 화면 조작을 돕는 기능이라, 이를 허용하면 악성 앱이 화면 위에 가짜 잠금 화면을 띄우거나 입력을 가로채는 데 활용할 수 있어요.

두 번째 버전에는 앱을 막고, 터치를 흡수하는 투명 화면과 방해성 팝업, 전체 화면 영상 덮어쓰기 기능도 추가됐어요. 알림과 수신 문자를 감시해 다중 인증에 쓰이는 인증번호를 노리는 기능까지 있어, 파일 암호화 여부와 별개로 화면과 권한을 내주는 순간의 위험이 남아요.