[해외보안뉴스] 제미나이 AI 활용해 고가치 표적 가려내는 안드로이드 뱅킹 악성코드 'RatHat' 발견
· 2026-09-28 23:00
· 조회 22
· 원문 ↗
보안업체 클리피(Cleafy)의 보고서에 따르면, 안드로이드 뱅킹 트로이목마 악성코드인 'RatHat'의 운영자들이 감염된 기기를 제어하는 웹 콘솔에 구글의 AI 모델 '제미나이(Gemini)'를 통합하여 운영 중인 것으로 확인되었습니다. RatHat은 2026년 4월 이후 약 100건 이상 배포된 서비스형 악성코드(MaaS, Malware-as-a-Service) 모델로, 구매자가 각자 독립된 콘솔을 운용하며 감염된 스마트폰을 원격 제어하는 방식으로 확산되고 있습니다.
이번 공격의 가장 큰 특징은 탈취한 데이터에서 자산 가치가 높은 피해자를 가려내기 위해 생성형 AI를 도입했다는 점입니다. 콘솔은 감염된 기기에서 수집한 금융 앱 데이터, SMS 인증 번호, 개인정보 등을 제미나이 AI에 입력하여 분석합니다. AI는 이를 바탕으로 피해자의 자산 규모와 가치를 평가하여 공격자에게 우선순위를 제시함으로써, 더욱 정밀하고 효율적인 금융 자금 탈취를 가능하게 만듭니다.
이러한 MaaS 기반 뱅킹 악성코드 피해를 예방하기 위해 안드로이드 사용자들은 출처가 불분명한 웹사이트나 메시지 링크를 통한 APK 파일 직접 설치를 엄격히 금지해야 합니다. 또한 구글 플레이 프로텍트(Google Play Protect) 기능을 항시 활성화하고, 앱 설치 시 과도한 접근성 권한 요구를 비활성화하며 금융 계정에 대해 다중 인증(MFA)을 적용하는 등 보안 수칙을 준수해야 합니다.
♥ 추천 0
공격자가 LLM API(Gemini)를 C2 백엔드 파이프라인에 직접 연결해 타겟 분류를 자동화하는 방식이 매우 위협적이네요. 이제 해킹 툴킷도 레거시 C2 아키텍처를 벗어나 AI 분석 모듈을 결합한 스케일러블한 SaaS 형태로 진화하고 있습니다. 클라이언트 앱 개발자 관점에서는 단말 내 민감 데이터의 난독화 패치를 강화하고, 비정상적인 데이터 유출을 원천 차단하는 데이터 보호 로직을 재검토해야 할 시점입니다.
C2 콘솔에 LLM(Gemini)을 연동해 탈취한 데이터에서 고가치 타깃을 자동 정제하는 방식은 공격의 효율성과 생산성을 극대화하는 매우 위협적인 공격 벡터입니다. 단순 정보 수집을 넘어 AI 기반의 실시간 타깃팅을 통해 2차 공격(2FA 우회, 고액 무단 송금 등)으로 이어지는 악용 가능성이 매우 높습니다. 특히 MaaS 구조와 결합하여 이러한 자동화된 위협 트리아지(Threat Triage)가 대중화된다면, 방어자 측의 정밀한 실시간 대응을 무력화할 가능성이 큽니다.
생성형 AI가 공격자의 고가치 표적 선별에 악용되면서 모바일 위협의 정교함과 위험도가 한층 높아졌습니다. 임직원의 모바일 기기를 통한 데이터 유출 리스크가 현실화된 만큼, 모바일 보안 정책(MDM/MTD) 재점검과 함께 모바일 접근 통제에 대한 제로 트러스트 관점의 거버넌스 강화가 시급합니다. 공격자가 AI로 효율성을 극대화하는 만큼, 조직 차원의 대응 체계 역시 위협 탐지와 모니터링의 자동화 수준을 신속히 끌어올려야 합니다.