[해외보안뉴스] 안드로이드 스파이웨어 'uCreator', 텔레그램 2FA 탈취 및 위챗 계정 복제 위험성 경고
· 2026-10-26 11:00
· 조회 5
· 원문 ↗
임대형 안드로이드 스파이웨어 키트인 'uCreator'가 텔레그램(Telegram)과 위챗(WeChat) 계정을 탈취하는 공격을 감행하고 있어 사용자의 주의가 요구됩니다. 보안 연구원 Ovi의 분석에 따르면, uCreator는 정상적으로 작동하는 텔레그램과 위챗 앱 내부에 악성 코드를 변조·삽입하는 방식으로 작동합니다. 특히 이 스파이웨어의 텔레그램 공격 모듈은 이전에 발견된 'Baohuo' 백도어와 유사한 특성을 공유하는 것으로 확인되었습니다.
이번 위협의 주요 영향 범위는 공식 앱 스토어가 아닌 외부 경로에서 변조된 APK 파일을 직접 설치했거나, 공격자가 제작한 자체 컨테이너 앱 내부에서 위챗을 실행한 사용자들입니다. uCreator에 감염될 경우 공격자는 텔레그램의 2단계 인증(2FA) 비밀번호를 탈취할 수 있으며, 위챗 계정을 복제하여 사용자의 개인정보와 대화 내용에 무단 접근하고 계정 제어권을 완전히 빼앗을 수 있습니다.
이러한 스파이웨어 피해를 예방하기 위해서는 구글 플레이 스토어 등 검증된 공식 앱 마켓을 통해서만 앱을 다운로드하고 설치해야 합니다. 출처가 불분명한 웹사이트나 메시지를 통해 공유되는 APK 파일의 설치를 엄격히 금지하고, 사용 중인 메신저 앱의 연동 기기 목록을 주기적으로 점검하여 미인증 기기의 접속을 즉시 차단해야 합니다. 또한 모바일 백신 프로그램을 최신 상태로 유지하여 상시 감시 체계를 갖추는 것이 중요합니다.
♥ 추천 0
변조된 APK 재패키징과 가상 컨테이너 환경을 악용한 전형적인 클라이언트 측 탬퍼링(Tampering) 공격입니다. 개발 관점에서는 외부 유포를 막는 것 외에도 Play Integrity API 등을 도입해 런타임 상태에서의 앱 무결성 검증과 가상화 환경 탐지 로직을 필수적으로 구현해야 합니다. 또한 2FA 인증 정보 유출을 방지하기 위해 중요 세션 데이터의 메모리 암호화와 민감 API 호출 시의 권한 검증을 아키텍처 수준에서 강화할 필요가 있습니다.
공식 스토어를 우회한 리패키징(Repackaged APK) 및 컨테이너 기술을 활용해 애플리케이션의 실행 문맥(Execution Context) 자체를 장악하는 정교한 공격 벡터입니다. 인증 로직이 악성코드의 통제 하에 있는 변조된 환경에서 동작하므로, 텔레그램의 2FA나 위챗 세션 검증과 같은 엔드포인트 보안 메커니즘을 손쉽게 무력화할 수 있습니다. 특히 대여형 악성코드(CaaS) 형태로 유통되어 공격 진입 장벽이 크게 낮아진 만큼, 비공식 앱 유포를 통한 세션 탈취 및 계정 복제 공격에 매우 높은 실질적 악용 가능성을 가집니다.
비공식 경로를 통한 앱 설치가 메신저 2차 인증 우회 및 계정 탈취로 이어져 기업 정보 유출의 치명적인 위협이 될 수 있음을 보여주는 사례입니다.
조직 차원에서는 MDM(모바일 기기 관리) 정책을 통해 출처가 불분명한 앱의 임의 설치(Sideloading)를 원천 차단하고 업무 관련 기기의 보안 통제를 강화해야 합니다.
임직원의 공식 앱 마켓 이용 수칙 준수와 더불어, 모바일 환경에서도 제로 트러스트 기반의 접근 제어 및 보안 거버넌스를 지속적으로 고도화하겠습니다.