앱스토어·구글플레이 숨어든 악성코드 '스파크키티' 주의보

가상자산(암호화폐) 사용자를 겨냥한 신종 악성코드 '스파크키티(SparkKitty)'가 애플 앱스토어와 구글 플레이에 유포된 것으로 확인됐다.

27일(현지시간) 가상자산 전문 미디어 더블록에 따르면 사이버보안 기업 체크포인트(Check Point)는 이날 보고서를 통해 스파크키티가 앱스토어, 구글 플레이, 서드파티 안드로이드 앱 마켓 등 다양한 경로로 배포됐다고 밝혔다. 이 악성코드는 광학문자인식(OCR) 기술을 활용해 감염된 기기에 저장된 이미지를 스캔하고, 가상자산 지갑 복구 문구(시드 구문)를 추출한다.

체크포인트는 스파크키티가 기존에 보고된 정보 탈취 악성코드 '스파크캣(SparkCat)'의 진화형으로 추정된다고 밝혔다. 스파크캣 역시 OCR을 이용해 스크린샷에서 데이터를 수집하는 방식을 사용했다.

악성코드는 가상자산 서비스, 메시지 플랫폼, 엔터테인먼트 앱으로 위장한 애플리케이션에 숨겨져 배포됐다. 설치 후 사진 라이브러리 접근 권한을 요청하며, 이후 기기에 저장된 기존 이미지와 새로 추가된 이미지를 지속적으로 스캔한다. 추출된 지갑 복구 문구, 비밀번호, QR코드 데이터는 기기 기본 정보와 함께 해커가 통제하는 서버로 전송된다.

iOS에서는 앱스토어에 등록된 '币coin'이라는 이름의 가상자산 관련 앱에 악성코드가 삽입됐다. 이어 안드로이드에서는 메시지 및 가상자산 거래 플랫폼으로 위장한 'SOEX' 앱에서 스파크키티가 발견됐다. 구글 플레이에서 삭제되기 전까지 1만 건 이상 다운로드된 것으로 나타났다.

체크포인트는 "복구 문구만 있으면 지갑에 완전한 접근이 가능하다"라며 "지갑 복구 문구를 스크린샷이나 사진으로 저장하는 사용자가 가장 큰 피해 위험에 노출돼 있다"라고 경고했다.