최근 모바일 보안 업계에서 스파크캣(SparkCat)이라는 신종 멀웨어가 큰 위협으로 떠오르고 있습니다. 이 악성코드는 스마트폰 사용자의 암호화폐 지갑 복구 구문(시드 프레이즈, Seed Phrase)을 탈취하는 것으로 알려졌으며, 안드로이드(Android)와 iOS 기기 모두를 감염시키는 능력을 갖추고 있습니다.
특히, 애플 앱스토어(App Store)와 구글 플레이스토어(Google Play Store)를 동시에 침투한 최초의 사례로 보고되면서 보안 전문가들의 경각심을 높이고 있습니다.

스파크캣(SparkCat) 멀웨어란?

해당 멀웨어는 광학 문자 인식(OCR) 기술을 활용해 스마트폰 갤러리에 저장된 민감한 정보를 탈취하는 악성코드입니다. 기존의 멀웨어가 키로깅(Keylogging) 방식이나 가짜 로그인 페이지를 통해 암호를 빼내는 것과 달리, 사용자가 직접 저장한 스크린샷이나 이미지 속 정보를 분석하는 방식을 사용합니다.

이 멀웨어는 앱 형태로 위장하여 배포되며, 공식 앱스토어에 등록된 정상적인 앱을 감염시켜 확산됩니다. 현재까지 밝혀진 감염 경로에는 음식 배달 앱, AI 기반 메시징 앱, 금융 관련 앱 등이 포함되어 있으며, 다운로드 횟수가 수만 건 이상인 경우도 있어 그 피해 규모가 클 것으로 예상됩니다.

스파크캣의 작동 방식

1. 감염 및 설치

주로 공식 앱스토어에서 정상적인 앱을 가장한 악성 애플리케이션을 통해 유포됩니다. 사용자는 보안에 문제가 있다고 인식하지 못한 채 앱을 설치하게 되며, 설치가 완료되면 백그라운드에서 악성코드가 실행됩니다.

2. 데이터 탈취

핵심 기능은 OCR 기술을 이용해 사용자의 이미지 갤러리를 분석하는 것입니다.

사용자가 암호화폐 지갑의 복구 구문을 스크린샷으로 저장하면, 멀웨어가 이를 자동으로 인식
해당 정보를 공격자의 서버로 전송
공격자는 이 정보를 활용해 사용자의 암호화폐 지갑을 탈취

특히, 영어, 한국어, 중국어, 일본어 등 다국어 지원 기능을 갖추고 있어 글로벌 시장을 대상으로 한 위협이 되고 있습니다.

3. 플랫폼별 특성

스파크캣은 안드로이드와 iOS 환경에서 각각 다른 방식으로 작동합니다.

안드로이드(Android)

“Spark”라는 자바(Java) 기반 SDK를 활용
보안 분석 도구로 위장하여 시스템에 침투
GitLab 저장소에서 암호화된 구성 파일을 다운로드해 지속적인 업데이트 수행
Google ML Kit의 OCR 기능을 활용하여 이미지 스캔

iOS

“GZIP”, “googleappsdk”라는 악성 프레임워크를 사용
사용자가 특정 작업(예: 지원 채팅 열기)을 수행할 때만 갤러리 접근을 요청
탐지를 회피하기 위한 고급 난독화 기술 활용
Google ML Kit의 OCR 기능과 통합

이처럼 두 운영체제에서 각기 다른 기술을 사용해 탐지를 회피하는 것이 스파크캣의 큰 특징입니다.

스파크캣이 위험한 이유

공식 앱스토어를 통한 확산
스파크캣은 애플 앱스토어와 구글 플레이스토어에 등록된 정상 앱을 감염시키는 방식을 사용합니다. 일반적인 악성코드처럼 출처가 불분명한 앱을 통해 확산되지 않기 때문에 사용자가 보안 위협을 인지하기 어렵습니다.
기존 보안 솔루션 우회
텍스트 기반의 전통적인 해킹 방식과 달리, OCR 기술을 활용하여 이미지 내 정보를 추출하는 기법을 사용합니다. 이 때문에 안티바이러스(백신) 프로그램이 탐지하기 어려운 구조를 가지고 있습니다.
암호화폐 지갑을 직접 노리는 표적 공격
일반적인 멀웨어가 금융 정보나 개인정보를 수집하는 것과 달리, 암호화폐 지갑의 복구 구문을 탈취하는 것에 특화되어 있습니다. 암호화폐는 한 번 탈취되면 되돌릴 수 없는 특성이 있기 때문에, 이 멀웨어에 감염될 경우 막대한 금전적 피해를 입을 가능성이 높습니다.

보안 전문가의 경고

카스퍼스키 랩(Kaspersky Labs)의 보안 연구원 세르게이 푸잔(Sergey Puzan)은 다음과 같이 경고했습니다.

“이 멀웨어는 OCR 기술을 활용해 기존 보안 솔루션을 우회하는 정교한 악성코드입니다.
특히, 공식 앱스토어에 등록된 앱을 통해 확산되는 방식은 사용자들에게 더욱 큰 위협이 됩니다.”

보안 전문가들은 공식 앱스토어에 대한 신뢰만으로는 충분한 보안이 보장되지 않는다는 점을 강조하며, 사용자 스스로가 보안 의식을 높일 필요가 있다고 조언하고 있습니다.

스파크캣 멀웨어 예방 방법

1. 암호화폐 지갑 정보 저장 방식 변경

복구 구문(시드 프레이즈)을 이미지 형태로 저장하지 않기
오프라인에서 보관할 수 있는 안전한 방법 사용 (예: 종이에 기록 후 안전한 장소에 보관)

2. 앱 설치 시 주의사항

출처가 불분명한 앱 다운로드 금지
공식 앱스토어에서도 다운로드 전 개발사 정보 및 사용자 리뷰 확인
앱이 요청하는 권한을 세밀하게 검토하고, 불필요한 권한 허용하지 않기

3. 보안 소프트웨어 활용

모바일 보안 솔루션(백신) 설치 및 주기적인 검사 실행
OS 및 애플리케이션의 최신 보안 업데이트 적용

결론

스파크캣 멀웨어는 기존 보안 체계를 우회하는 정교한 방식으로 설계된 악성코드로, 모바일 환경에서의 보안 위협이 더욱 고도화되고 있음을 보여주는 대표적인 사례입니다.
특히, 암호화폐 지갑 사용자를 직접 겨냥한 악성코드라는 점에서 피해가 발생할 경우 금전적 손실이 막대할 가능성이 높습니다.

사용자들은 공식 앱스토어의 앱이라고 해서 반드시 안전하다고 믿지 말고, 앱 설치 전 반드시 검증하는 습관을 가져야 합니다. 또한, 암호화폐 지갑의 복구 구문을 안전하게 관리하는 것이 최우선적인 보안 수칙이 되어야 합니다.

보안 위협이 계속해서 진화하는 만큼, 개인 사용자뿐만 아니라 앱 개발사 및 스토어 운영자들도 보다 철저한 보안 검토를 수행해야 할 때입니다.

원문참조

카스퍼스키 보안 보고서: Kaspersky Labs

암호화폐 지갑을 노리는 스파크캣(SparkCat) 멀웨어, 모바일 보안 위협 커져