고스트챗 모바일 악성코드

GhostChat은 채팅 또는 데이트 플랫폼으로 위장한 악성 안드로이드 애플리케이션으로, 실제로는 스파이웨어로 작동합니다. 이 프로그램의 주된 목적은 감염된 기기에서 개인 정보를 수집하는 것입니다. 분석 결과, 파키스탄 사용자들이 주요 공격 대상인 것으로 나타났습니다. 기기에서 이 애플리케이션을 발견하면 즉시 삭제하는 것이 좋습니다. 앱이 계속 남아 있을 경우 데이터 유출 및 더 광범위한 보안 침해 위험이 크게 증가합니다.

기만적인 온보딩 및 가짜 인증

GhostChat은 설치 후 기기 권한을 강압적으로 요구합니다. 권한을 허용하면 유효한 자격 증명을 입력해야 하는 것처럼 보이는 로그인 화면이 나타납니다. 하지만 이 과정은 완전히 사기입니다. 인증 정보는 정식 백엔드 서비스를 통해 검증되는 것이 아니라 애플리케이션 내부에 하드코딩되어 있기 때문입니다. 로그인 단계는 단지 인증이 된 것처럼 보이게 하기 위한 속임수에 불과합니다.

조작적인 사용자 상호작용 및 WhatsApp 리디렉션

가짜 로그인 후, 앱은 사진, 이름, 나이가 포함된 수많은 여성 프로필을 표시합니다. 하지만 실제로는 이러한 프로필에 접근할 수 없습니다. 프로필과 상호 작용하려고 하면 '잠금 해제 코드'를 입력하라는 메시지가 나타납니다. 각 프로필은 특정 WhatsApp 번호와 연결되어 있으며, 예상되는 코드를 입력하면 앱이 자동으로 WhatsApp을 열고 해당 번호로 대화를 시작하게 되어 로맨스 사기 및 사회 공학적 수법에 악용될 수 있습니다.

은밀한 감시와 지속적인 데이터 유출

GhostChat은 실행되는 순간부터, 심지어 로그인 단계 이전부터 백그라운드에서 악성 작업을 수행합니다. 기기 활동을 모니터링하고 수집된 정보를 원격 명령 및 제어(C2) 서버로 전송합니다. 이 악성 프로그램은 주기적으로 기기를 스캔하여 새로운 콘텐츠를 감지하고, 사진을 자동으로 업로드하며, 5분마다 새로 생성되거나 저장된 문서를 확인합니다. 수집되는 데이터의 범위는 다음과 같습니다.

기기 식별자, 연락처 목록, 이미지 및 PDF, Word, Excel, PowerPoint 파일과 같은 문서

공유 인프라 및 데스크톱 감염 사슬

GhostChat C2 인프라는 추가적인 악성 구성 요소를 배포하는 데에도 사용됩니다. 그중 하나는 ClickFix와 관련된 DLL 파일로, 사용자가 조작된 지침을 따라 악성 프로그램을 직접 실행하도록 유도하는 기법입니다. 이 방법을 통해 위협은 모바일 기기를 넘어 데스크톱 시스템까지 확산될 수 있습니다.

신뢰할 수 있는 신원을 악용한 가짜 알림

ClickFix의 GhostChat 관련 캠페인은 오해의 소지가 있는 웹사이트와 가짜 보안 경고를 이용합니다. 관찰된 사례에 따르면 공격자는 파키스탄 컴퓨터 비상 대응팀(CERT)을 사칭하여 국가 기반 시설 및 정부 네트워크에 대한 위협을 암시하는 메시지를 표시합니다. 피해자는 '업데이트' 버튼을 클릭하도록 유도되는데, 이 버튼을 클릭하면 악성 DLL 파일이 다운로드 및 실행됩니다. 활성화된 DLL 파일은 컴퓨터 이름과 사용자 이름 등의 시스템 정보를 명령 서버로 전송하고, 추가 지시를 반복적으로 확인하며, PowerShell을 사용하여 수신된 명령을 실행합니다.

QR 코드를 이용한 WhatsApp 계정 탈취 사기

공격자들은 WhatsApp 사용자들을 대상으로 모바일 중심의 사기 행각을 벌이기도 합니다. 피해자들은 파키스탄 국방부와 연관된 것처럼 위장한 사기 웹사이트로 유인되어 가짜 커뮤니티에 가입하도록 유도됩니다. 제공된 QR 코드를 스캔하면 피해자의 WhatsApp 계정이 공격자의 통제 하에 있는 WhatsApp 웹 또는 데스크톱 버전에 연결됩니다. 이를 통해 공격자는 채팅 및 연락처에 대한 완전한 접근 권한을 얻게 되어 사용자가 즉시 인지하지 못하는 사이에 계정을 탈취할 수 있습니다.

유통 전략 및 위험 완화

GhostChat은 공식 앱 마켓플레이스 외부에서만 배포됩니다. 데이트 또는 메시징 앱으로 위장하여 홍보되며, 로맨스 사기 수법을 사용하여 사용자가 APK 파일을 직접 설치하고 출처를 알 수 없는 곳에서 설치를 허용하도록 유도합니다. 설치가 완료되면 악성 프로그램은 즉시 권한을 요청하고 은밀한 스파이 활동을 시작합니다. 이러한 조직적인 공격은 소셜 엔지니어링, 스파이웨어, 계정 탈취를 결합하여 모바일 및 데스크톱 환경 모두를 위협합니다. 원치 않는 링크, 경고성 팝업, 비공식 앱, 그리고 예상치 못한 QR 코드에 대한 경계는 개인 데이터와 사용자 계정을 보호하는 데 매우 중요합니다.