[악성앱 분석 보고서 01] Rose Touch, 원격딜도사기에 사용된 악성앱

01  분석 개요

제보된 RoseTouch26.apk 파일의 권한, 실행 코드, 내부 리소스 및 외부 전송 구조를 분석했다. 그 결과 연락처·설치 앱 정보·단말 정보를 수집해 서버로 보내도록 구현된 경로와, 권한 및 설정에 따라 사진·위치를 전송하도록 구현된 경로를 확인했다. 개인정보 수집과 전송 기능이 정상적인 앱 이용 목적에 비해 과도하다는 점에서 정보탈취형 악성앱으로 판단된다.

02  주요 확인 결과

분석 범위: APK의 오프라인 정적 분석이며, 앱 실행·통신 관찰이나 실제 피해 단말 포렌식은 수행하지 않았다. 따라서 코드상 전송 기능과 피해 단말에서의 실제 유출 성공은 구분해야 한다.

03  앱 이용 과정에 결합된 정보 수집

이 APK는 전화번호·초대코드 입력 및 권한 확인을 거치는 화면 흐름을 포함한다. 등록 요청을 구성하는 과정에서 연락처와 설치 앱 정보 등이 함께 포함된다. 이후 응답과 설정, 접근 권한이 충족되는 경우 사진 업로드와 위치 전송 처리로 이어질 수 있다. 따라서 화면에 로그인이 성공했다고 표시됐는지 여부만으로 정보 유출 가능성을 판단해서는 안 된다.

04  사진과 위치 수집의 특징

사진 수집 기능은 Android의 이미지 저장소에서 접근 가능한 항목을 읽어 JPEG 형식으로 변환하고 서버에 업로드하도록 구현돼 있다. 긴 변이 큰 사진은 최대 1,280픽셀 기준으로 축소하고 품질 75로 인코딩한다. 업로드한 항목을 기록해 중복 전송을 피하는 로직도 확인됐다. 다만 모든 원본 사진이 전송됐다는 의미는 아니며, 운영체제가 허용한 접근 범위와 실행 조건에 따라 달라진다.

위치 접근 권한과 설정이 허용된 경우 현재 또는 최근 위치의 위도·경도를 확인해 전송할 수 있도록 구현됐다. 그러나 앱이 상시 백그라운드에서 위치를 추적한다는 기능은 이번 분석에서 확인되지 않았다.

05  사용자를 오도할 수 있는 권한 안내

앱 내부 한국어 안내에는 “앱을 사용하려면 모든 권한을 허용해 주세요.”, “계속하려면 전체 사진 보관함 개인정보 보호 권한을 활성화해야 합니다.” 등의 문구가 포함됐다. 개인정보 보호를 위한 절차처럼 보일 수 있지만, 실제 구현에는 해당 데이터의 외부 전송 기능이 포함된다.

※ 위 문구는 APK 리소스에서 확인한 내용이다. 실제 피해 당시 노출된 화면을 촬영한 자료는 아니다.

06  피해 위험과 판단의 한계

연락처와 사진이 유출될 경우 지인 사칭, 사생활 침해, 영상·사진 유포협박 등 2차 피해에 악용될 수 있다. 또한 설치 앱 목록과 위치·단말 정보는 피해자에 대한 추가 정보를 파악하는 데 이용될 가능성이 있다. 이는 구현된 수집 기능에 근거한 위험 평가이며, 본 샘플에서 실제 유포가 발생했다는 확인 결과는 아니다.

07  의심 설치 시 권고 사항

① 가해자와의 협상이나 추가 송금을 중단하고, 설치 파일·유입 링크·채팅·권한 허용 내역·시간 정보를 보존한다.

② 추가 통신이 우려되면 단말의 네트워크 연결을 제한하고, 조사 중 앱을 반복 실행하지 않는다. 개인정보 접근 권한을 점검하고 신뢰할 수 있는 보안 전문가의 안내에 따라 점검·제거한다.

③ 연락처 및 사진 접근이 허용됐거나 등록 절차가 진행됐다면 관련 정보 유출 가능성을 고려해 피해 범위를 조사한다. 실제 유출 여부는 단말 기록·통신 증거 등을 종합해 판단한다.

08  종합 결론

Rose Touch APK는 연락처와 설치 앱·단말 정보를 외부 요청에 포함하고, 조건에 따라 사진과 위치를 추가 전송하는 정보 수집 구조가 확인된 앱이다. 개인정보 보호를 강조하는 안내와 달리 실제 코드에는 민감한 정보의 수집·전송 기능이 있어 설치·권한 허용 및 입력 절차를 진행한 경우 신속한 점검이 필요하다. 다만 감염·탈취·유포의 실제 발생 여부는 별도 피해 자료로 확인해야 한다.