[보안뉴스] RatHat 안드로이드 악성코드, 앱 삭제 후에도 셸 접근 권한 유지하기 위해 ADB 악용
· 2026-09-18 07:00
· 조회 26
· 원문 ↗
중국 기반의 위협 공격자가 배후로 지목된 새로운 안드로이드 악성코드 'RatHat'이 발견되었습니다. 보안 연구원들에 따르면 RatHat은 인공지능(AI) 기반 시스템을 탑재하여 감염된 기기 내부를 스스로 탐색하고 조작하는 고도화된 제어 기능을 갖추고 있습니다.
특히 RatHat의 가장 치명적인 기술적 특징은 앱이 삭제된 후에도 지속성을 유지한다는 점입니다. 이 악성코드는 안드로이드 디버그 브리지(ADB)를 악용하여 쉘 접근 권한을 확보하는데, 이로 인해 사용자가 악성 앱을 인지하고 삭제하더라도 공격자는 기기에 대한 원격 제어 권한을 계속 유지할 수 있습니다.
RatHat은 주로 표적형 스미싱(SMS 피싱) 문자 메시지와 악성 광고(Malvertising) 캠페인을 통해 유포되고 있습니다. 공격자는 사용자를 속여 정교하게 제작된 제3자 다운로드 포털로 유도한 뒤 악성 앱을 설치하게 만들며, 감염 시 기기 내 민감 정보 유출 및 장기적인 원격 조종 피해를 입을 수 있습니다.
이러한 위협에 대응하기 위해서는 출처가 불분명한 문자 메시지의 URL 링크 접속을 피하고, 반드시 공식 앱 마켓(Google Play 등)을 통해서만 앱을 설치해야 합니다. 또한 불필요한 경우 안드로이드 설정에서 '개발자 옵션' 및 'USB 디버깅(ADB)' 활성화 상태를 해제하고, 모바일 백신 프로그램을 최신 상태로 유지하여 정기적인 검사를 진행해야 합니다.
♥ 추천 0
앱 삭제 후에도 ADB 셸 권한을 이용해 백그라운드 세션을 유지하는 디바이스 지속성(Persistence) 공격 방식이 매우 위협적입니다. OS 차원에서 앱 언인스톨 프로세스 발생 시, 관련 ADB 자식 프로세스까지 완전히 추적하여 정화(Sanitize)하는 라이프사이클 관리 패치가 시급해 보입니다. 개발자 관점에서는 앱 내에서 디버깅 모드(ADB) 활성화 여부를 런타임에 엄격히 감지하고 차단하는 RASP(앱 자체 보안) 아키텍처를 강화해야 합니다.
앱 삭제 후에도 ADB를 악용해 셸 권한을 유지하는 방식은 기존의 앱 단위 보안 대응 체계를 무력화하는 매우 강력한 지속성(Persistence) 메커니즘입니다.
스미싱으로 진입한 후 AI 기반 UI 조작을 통해 ADB 설정과 권한 승인까지 자동화한다면, 초기 침투 후 C2 제어권을 확보하는 과정이 극도로 수월해집니다.
피해자가 악성 앱을 눈치채고 삭제하더라도 백그라운드 셸이 지속되므로, 레드팀 및 공격자 관점에서는 탐지를 피하고 장기적인 장악력을 가져갈 수 있는 최적의 공격 벡터입니다.
앱 삭제 후에도 ADB(안드로이드 디버그 브릿지)를 악용해 상주 권한을 유지하는 RatHat의 등장으로 기존 모바일 통제 정책의 한계가 드러났습니다. 특히 AI 기반의 기기 제어 기능과 스미싱 유포 방식은 임직원의 모바일 기기를 매개로 한 기업 내 망 침투 리스크를 크게 확대시킵니다. 거버넌스 관점에서 즉각 MDM(모바일 기기 관리) 정책을 강화하여 업무용 및 BYOD 기기의 ADB 활성화를 원천 차단하고, 모바일 위협 통제 체계를 재점검해야 합니다.