악성 SDK, 배달 앱을 통해 iOS 암호화폐 지갑을 표적으로 삼아
TREE NEWS 보도: SlowMist 창립자 Yu Xian에 따르면, ComeCome(comecome.icu)이라는 음식 배달 앱이 iOS 커널 취약점을 악용해 암호화폐 지갑 자산을 탈취하도록 설계된 악성 SDK를 포함하고 있는 것으로 확인됐다. 이 공격은 버전 1.1~1.2에 8가지 서로 다른 iOS 커널 익스플로잇 기법을 통합한 악성 SDK가 삽입됐던 이전 FomoPeek 포이즈닝 사건을 그대로 닮아 있다. 악성코드는 기기 모델과 운영체제 버전에 따라 공격 벡터를 자동으로 선택하며, 알려진 영향 대상 iOS 버전은 iOS 12.0~18.7 및 26.0~26.1에 이른다. 익스플로잇이 성공하면 iOS 샌드박스를 뚫고 지갑 데이터에 접근한다.
공격 메커니즘과 범위
이 툴킷의 정교함은 충분한 자원을 갖춘 위협 행위자의 존재를 시사한다. 여러 커널 익스플로잇을 묶음으로써 악성코드는 앱 설치 외에 사용자 상호작용 없이도 광범위한 기기를 표적으로 삼을 수 있다. Yu Xian은 위협이 iPhone을 넘어 iPad와 Mac 기기로 확장될 수 있다고 경고하며, 사용자에게 최신 iOS 버전으로 업데이트하고 출처를 알 수 없는 앱에 극도의 주의를 기울일 것을 촉구했다.
이번 사건은 겉보기에 무해한 애플리케이션을 통해 암호화폐 사용자를 표적으로 삼는 광범위한 공급망 공격 패턴을 잇는 것이다. 배달, 피트니스, 유틸리티 앱은 광범위한 권한을 요구하고, 공식 앱스토어 접근이 제한된 지역에서 사이드로딩되거나 서드파티 스토어에서 다운로드되는 경우가 많아 특히 효과적인 공격 벡터가 된다.
업계에 대한 시사점
- 모바일 지갑 보안: 이 공격은 샌드박스화된 모바일 운영체제조차 정교한 커널 수준 익스플로잇에 면역이 되지 않는다는 점을 부각하며, 모바일 지갑이 데스크톱이나 브라우저 기반 대안보다 본질적으로 더 안전하다는 가정에 의문을 제기한다.
- 앱스토어 심사 공백: 주요 앱스토어 외부에서 유통된 앱에 이러한 악성코드가 존재한다는 사실은 사이드로딩의 위험과 서드파티 유통 채널을 감시하기 어렵다는 점을 보여준다.
- 사용자 행동: 암호화폐 보유자는 일상적인 앱을 통해 점점 더 표적이 되고 있으며, 이는 보안 위생이 지갑 관리에 그치지 않고 일반적인 기기 사용 전반으로 확장돼야 함을 의미한다.
앞으로의 전망
ComeCome과 FomoPeek 사례는 모바일 중심 암호화폐 범죄의 확대를 시사한다. iOS와 Android가 샌드박스를 강화함에 따라, 공격자들은 전통적 방어를 우회하는 커널 수준 익스플로잇에 투자하고 있다. 크로스 플랫폼 익스플로잇 키트의 증가와 모바일 운영체제를 겨냥한 제로데이 취약점 시장의 성장이 예상된다.
사용자에게 실질적인 교훈은 분명하다. 기기를 신속히 업데이트하고, 사이드로딩된 앱을 피하며, 상당한 보유 자산에는 하드웨어 지갑 사용을 고려해야 한다. 업계에는 이번 사건이 모바일 애플리케이션에 대한 지속적인 보안 감사의 필요성과, 이러한 공급망이 사용자에게 도달하기 전에 차단하기 위한 보안 연구자, 앱스토어, 법 집행 기관 간의 더 큰 협력의 필요성을 재확인시켜 준다.
