미드나이트 미모사 악성코드, 안드로이드폰 펌웨어에 탑재돼 150여 개국으로 확산

첫 전원을 켜기도 전에 감염된 휴대전화

150여 개국에서 수천 대의 안드로이드 기기가 미드나이트 미모사(Midnight Mimosa)의 영향을 받았다. 이 악성코드 캠페인은 구매자가 기기를 켜기도 전에 휴대전화 펌웨어에 악성 소프트웨어를 심는다. 비트디펜더는 이 작전으로 배포된 위장 앱을 최소 32개 확인했으며, 같은 광고 사기 코드가 들어 있고 작전의 제어 인프라와 통신하는 구글 플레이 앱도 13개 발견했다.

10월 8일 공개되고 10월 9일 업데이트된 조사 결과는 약 2년간 관찰된 작전을 설명한다. 피해 기기에는 미디어텍 플랫폼을 사용한 저가형 휴대전화, 애플과 삼성 모델명을 도용한 위조 제품, 그리고 스스로를 Doogee S200 X 및 Cubot KINGKONG X라고 표시하는 기기가 포함된다.

비트디펜더의 기술 보고서가 밝힌 핵심은 감염이 구매자의 의심스러운 앱 다운로드에 의존하지 않는다는 점이다. 악성 시스템 구성 요소가 기기와 함께 들어오고, 강력한 운영체제 권한을 보유하며, 소유자에게 묻지 않고 추가 소프트웨어를 설치할 수 있다.

이런 특성 때문에 위협을 제거하기가 특히 어렵다. 원치 않는 날씨 앱이나 앱 잠금 앱을 삭제해도 작전의 눈에 보이는 일부만 사라지고, 해당 앱을 설치한 구성 요소는 그대로 남을 수 있다. 연구진은 같은 기기에서 페이로드가 반복적으로 나타났다가 사라지는 현상을 확인했다.

조사로 확인된 내용에는 한계도 있다. 펌웨어에 악성코드를 심은 주체는 밝혀지지 않았다. 연구진은 감염된 휴대전화를 통해 트래픽을 전달할 수 있는 코드를 발견했지만, 시험 기기에는 중계 지시가 내려오지 않았다. 운영자들이 민감한 권한을 사용할 수 있었지만, 분석 과정에서 실제 사용은 관찰되지 않았다.

설치를 제어하는 숨겨진 구성 요소

비트디펜더의 행동 탐지 기술이 com.android.system.lite를 찾아내면서 조사가 시작됐다. 이름과 일반적인 ‘System’ 표시는 평범한 안드로이드 구성 요소처럼 보였지만, 실제 동작은 달랐다. 이 앱은 관련 없는 앱을 조용히 설치하고 제거했으며 민감한 접근 권한을 반복적으로 활성화했다.

이 구성 요소에는 사용자에게 보이는 실행 아이콘이 없었다. 안드로이드 플랫폼용으로 서명됐고 시스템 사용자 권한으로 실행됐으며, 지속적으로 작동하도록 설정돼 있었다. 패키지 설치와 삭제, 다른 앱에 대한 권한 부여, 보안 설정 변경 권한도 갖고 있었다. 이는 일반적으로 휴대전화 소유자가 다운로드한 앱에 허용되는 범위를 훨씬 넘어서는 권한이다.

연구진은 이후 com.android.sys.prot, com.android.sys.gmsprot, com.android.sys.bcprot 등 다른 이름으로 유통된 동일한 악성코드 핵심부를 발견했다. 휴대전화 소유자들이 제보한 com.android.non.szcz도 같은 계열로 확인됐다. 빌드에 따라 이름이 달랐고, 일부는 서명 인증서도 달랐다.

이는 탐지와 정리에 중요하다. 패키지 이름 하나만으로 위협 전체를 규정할 수 없기 때문이다. com.android.system.lite가 없는 휴대전화에도 같은 기능을 하는 다른 버전이 들어 있을 수 있다. 안드로이드 앱 목록에 표시된 이름보다 공통된 동작과 기반 코드가 더 유용한 식별 기준이다.

원격 코드가 휴대전화의 작동을 바꾸는 방식

악성 로직 상당 부분은 시스템 앱의 일반 코드에 드러나지 않고 libeasy.so라는 네이티브 라이브러리에 숨겨져 있었다. 초기화 과정에서 라이브러리는 RC4 암호화로 약 142KB 크기의 내장 프레임워크를 은폐한 뒤 복원했다.

이 프레임워크는 감염 기기를 운영자가 지시하는 원격 서비스인 명령·제어 서버에서 설정을 가져왔다. 또 안드로이드 및 자바 실행 코드를 패키징하는 데 쓰이는 DEX 및 JAR 파일을 다운로드하고 불러올 수 있었다. 이를 통해 운영자는 기기가 판매된 뒤에도 동작을 바꿀 수 있었다.

연구진은 플러그인 계열 세 가지를 확인했다. com.wz.sdk.DxFactory와 연관된 플러그인은 조작된 광고 노출과 클릭을 처리했다. com.earnsdk.lib.DxFactory 및 com.gogo.third.lib.DxFactory와 연관된 플러그인은 다른 앱을 조용히 설치하고 제거하는 기능을 지원했으며, 후자에는 WebView 기능도 포함됐다.

따라서 시스템 구성 요소는 고정된 단일 광고 악성코드가 아니라 지속적으로 작동하는 제어 장치 역할을 했다. 오늘의 페이로드를 제거해도 내일 다른 페이로드를 가져오는 것을 막을 수 없다. 원격 코드 로딩과 높은 권한을 부여하는 기능이 결합돼 있어 실제 조사에서 포착된 동작보다 더 광범위한 활동이 가능했다.

일반 앱으로 위장해 가짜 클릭으로 수익 창출

작전의 주된 목적은 수익 창출로 보인다. 연구진은 날씨 유틸리티, 앱 잠금 도구, 파일 관리자, 아이콘 도구, 텍스트 인식 도구, 오디오 편집기 등으로 위장한 페이로드 앱을 최소 32개 확인했다. 일부는 실제 기능을 제공했지만, 다른 앱은 이름이 내세우는 기능을 제대로 수행하지 않았다.

예를 들어 com.mobile.applock.wt는 앱 잠금 도구를 표방했지만, 해당 기능을 제공하는 데 필요한 인터페이스와 코드가 없었다. 사용자에게 숨겨진 채 추가 악성 소프트웨어를 전달하는 프로그램인 또 다른 악성코드 드로퍼로 작동했다. 확인된 다른 페이로드에는 com.dmstudio.weather, com.dl.guard.lock, picturetranslate.extractor.text.lite가 포함됐다.

위장 앱에는 합법적인 광고 소프트웨어 개발 키트(SDK)가 들어 있었다. SDK는 앱에 광고를 표시하고 광고 활동에 대한 대금을 받을 수 있도록 하는 도구다. SDK가 들어 있어 사기성 트래픽에 수익을 귀속할 앱과 광고 식별자가 제공됐다.

비트디펜더 보안 연구원 아드리안 미하이 고조브와 알렉스 바치우는 지속적으로 작동하는 시스템 구성 요소와 위장 앱의 역할 분담을 다음과 같이 설명했다.

시스템 앱 자체는 사기성 노출과 클릭을 등록하지 않는다.

제어 장치는 지시와 타이밍, 인위적인 상호작용을 제공했고, 광고 식별자는 위장 앱에 속해 있었다. 앱들은 공유 서비스를 통해 통신하고 동일한 기기 식별자를 보고했으며, 여기에는 날씨 API로 위장한 제어 서비스도 포함됐다. 그 결과 겉보기에는 별개인 유틸리티들이 하나의 조직적인 광고 작전으로 연결됐다.

기술 분석에서는 사용자 터치 없이 이뤄지는 자동 클릭, 무작위 광고 대상 선정, 일일 한도, 조작된 상호작용 사이의 간격이 확인됐다. 60초 타이머가 끝난 뒤 자동으로 전환을 보고하는 기능도 발견됐다. 이런 제어 기능은 동일한 이벤트를 끊임없이 생성하는 대신 허위 활동의 속도를 조절할 수 있었다.

구글 플레이는 회피 대상이자 유통 경로

페이로드를 배포하기 전 악성코드는 com.android.vending, 즉 구글 플레이 스토어 앱을 일시적으로 비활성화했다. 이후 앱을 복구했고, 사용자가 기기를 사용 중일 때 복원하는 안전장치도 포함했다. 비트디펜더는 이를 모든 설치가 검사를 피했다는 증거가 아니라 플레이 프로텍트 탐지를 피하려는 시도로 봤다.

일부 변종은 안드로이드의 설치 기록도 조작해 악성코드가 설치한 소프트웨어가 구글 플레이에서 설치된 것처럼 보이게 했다. 이런 위장은 소유자가 출처를 확인할 때 낯선 앱을 덜 의심하게 만들 수 있었다.

광고 기능은 사용자가 요청하지 않은 상태에서 열리는 화면과 다른 앱 위에 표시되는 오버레이 등을 이용했다. 광고 표시 화면 가운데 하나는 보안 화면으로 설정돼 스크린샷이나 화면 녹화에 나타나지 않았다. 보고서는 숨겨진 광고 활동뿐 아니라 눈에 띄는 광고 표시도 설명하므로, 작전을 전적으로 보이지 않는 형태로 이해해서는 안 된다.

구글 플레이는 별도의 유통 경로이기도 했다. 연구진은 같은 광고 사기 코드가 들어 있고 미드나이트 미모사 인프라와 통신하는 공개 앱 13개를 확인했다. 이들 앱은 서로 다른 서명 인증서 13개와 최소 두 개의 개발자 계정(fivedev, CPS Developer)을 사용했다.

이 스토어 앱에는 사전 설치된 시스템 구성 요소가 보유한 높은 권한이 없었다. 이는 중요한 차이다. 앱을 다운로드해도 펌웨어에 악성 구성 요소가 들어간 기기처럼 조용히 설치할 수 있는 권한이 자동으로 주어지지는 않는다. 그럼에도 소유자가 휴대전화를 적극적으로 사용하지 않을 때를 포함해 자체 인터페이스 밖에 광고를 표시할 수 있었다.

조사 결과가 보도됐을 당시 관련 앱 가운데 적어도 일부는 여전히 이용할 수 있는 것으로 전해졌으며, 구글은 논평 요청에 즉각 답하지 않았다. 앱 삭제 일정이 확정된 것은 아니다. 구글 플레이 관련 조사 결과는 위조 하드웨어나 제조 단계에서 이미 감염된 휴대전화만이 노출 경로가 아니었음을 보여준다.

프록시 등록은 확인됐지만 실제 트래픽 중계는 관찰되지 않아

또 다른 페이로드인 com.mobile.applock.en에는 TCP 프록시 구성 요소가 들어 있었다. 프록시는 다른 사람을 대신해 인터넷 트래픽을 전달한다. 일반 휴대전화 소유자의 연결이 이용될 경우, 트래픽은 실제 지시자가 아니라 소유자의 인터넷 주소에서 나온 것처럼 보일 수 있다.

이 구성 요소는 기기를 원격 서버에 등록하고 지정된 목적지에 연결해 트래픽을 전달하라는 지시를 받을 수 있었다. 이런 기능은 원격 제어 기기 네트워크, 즉 봇넷을 만드는 데 쓰일 수 있으며, 해당 연결에 대한 접근권을 판매해 또 다른 수익원을 창출할 수도 있다.

비트디펜더는 프록시 인프라가 시험 기기의 등록을 받아들인 사실을 확인했다. 그러나 시험 중 해당 기기는 중계 대상을 받지 않았다. 따라서 이번 조사는 등록과 트래픽 전달 기능은 입증했지만, 시험 과정에서 실제 트래픽이 중계됐음을 보여주지는 않는다.

많은 기기에서 트래픽을 보내 표적을 압도하는 분산 서비스 거부(DDoS) 공격에도 같은 주의가 필요하다. 연구진은 봇넷 참여와 이런 공격을 잠재적 용도로 설명했다. 미드나이트 미모사 감염 휴대전화가 특정 공격을 수행했다거나, 누가 해당 기기 연결에 대한 접근권을 구매했는지는 조사 결과로 확인되지 않았다.

조사에서 확인된 기기와 국가

감염 기기의 지리적 분포에서는 멕시코, 프랑스, 이탈리아가 가장 많았고, 그 뒤를 미국, 독일, 브라질, 스페인이 이었다. 집계에는 약 2년간 확인된 고유 기기 수천 대가 포함됐지만, 캠페인 전체의 정확한 규모는 제시되지 않았다. 이는 탐지된 기기 수이지 감염된 상태로 판매된 모든 휴대전화의 전수조사는 아니다.

감염 기기의 11% 이상이 스스로를 Cubot과 연관된 모델명 KINGKONG X로 표시했고, 4% 이상은 Doogee와 연관된 S200 X로 표시했다. 보고된 두 모델군은 탐지 기기의 15% 이상을 차지했다. 조사 관련 보도에서는 Cubot Kingkong 9도 확인됐다.

감염 기기의 35.8%는 상위 15개 휴대전화 브랜드에 속했다. 약 64%는 ‘기타’로 분류됐으며, 이는 반올림한 수치다. 이 분포는 특정 유명 브랜드에 국한된 작전이라기보다 여러 기종으로 파편화된 시장에서 발생했음을 시사한다.

위조 모델명에는 i17 Pro Max, i16_Pro_Max, 17_Pro_Max, S25 Ultra, S24 Ultra, Note 18 Ultra가 포함됐다. iPadAirPro라는 태블릿 모델명도 나타났다. 이 이름은 저가형 안드로이드 하드웨어에서 보고된 것으로, 정품 애플이나 삼성 제품에 악성코드가 탑재됐다는 증거로 오해해서는 안 된다.

소프트웨어가 기기 정체성을 다르게 표시할 수 있으므로 모델 식별자만으로는 완벽한 증거가 되지 않는다. 특정 모델에서 감염이 탐지됐다고 해서 그 이름으로 판매된 모든 제품이 감염됐다는 뜻도 아니다. 기술 조사 결과는 피해 기기와 펌웨어 빌드에 관한 것으로, 모든 미디어텍 제품이나 언급된 브랜드의 모든 휴대전화를 대상으로 한 것은 아니다.

펌웨어 인증서만으로 책임 소재를 단정할 수 없어

피해 펌웨어 가운데 일부는 Shenzhen Zediel이라는 이름이 적힌 인증서로 서명돼 있었다. 서명 정보는 악성 구성 요소가 기기에서 신뢰하는 펌웨어에 포함됐음을 보여준다는 점에서 중요하다. 그러나 이것만으로 누가 악성코드를 넣었는지, 인증서 보유자가 그 사실을 알고 있었는지를 입증할 수는 없다.

고조브와 바치우는 조사로 해당 책임 소재를 규명할 수 있는 범위를 명확히 한정했다.

확인할 수 있는 것은 Shenzhen Zediel이라는 이름이 적힌 인증서가 피해 기기의 펌웨어 서명에 사용됐다는 사실뿐이다.

보도마다 해당 이름과 연관된 업체를 안드로이드 기기 제조사로, 또는 메인보드 개발사와 관련된 것으로 각각 설명했다. 그러나 이런 설명만으로 책임 소재가 밝혀지는 것은 아니다. 비트디펜더는 Zediel 명의의 펌웨어 인증서가 없는 피해 휴대전화도 발견했다. 따라서 해당 서명 정보는 전체 상황을 설명하지도, 모든 피해 기기를 가려내는 지표도 아니다.

악성코드가 유입됐을 가능성이 있는 지점으로는 주문자상표부착생산(OEM) 업체, 펌웨어 통합업체, 물류 파트너 또는 유통 과정의 다른 주체가 있다. 보고서는 어느 한 곳을 지목하지 않았다. 확인된 사실은 피해 휴대전화가 판매되기 전에 악성코드가 펌웨어에 들어갔다는 것이다.

앱 삭제만으로는 부족하다는 소유자 제보

Cubot 및 Doogee 휴대전화 소유자들은 의심스러운 앱을 제거해도 다시 설치된다고 전했다. 한 Doogee Fire 3 Max 소유자는 공식 펌웨어 업데이트로 감염이 발생했고, 이전 펌웨어로 되돌리자 사라졌으며, 업데이트를 다시 설치하자 재발했다고 보고했다. 이는 사용자 제보이며, 피해를 일으킨 모든 펌웨어 버전의 이력이 독립적으로 확인된 것은 아니다.

일부 소유자는 이후 제조사 업데이트로 감염이 해결됐다고 밝혔다. 제조사들은 악성 코드가 피해 펌웨어에 들어간 경위를 공개적으로 설명하지 않았다. 이런 제보를 종합하면 다운로드한 앱을 삭제하는 것으로 문제가 끝난다고 가정하기보다 펌웨어 버전을 조사와 복구의 핵심 요소로 다뤄야 한다.

조사와 후속 보도를 통해 확인된 주요 경과는 다음과 같다.

• 비트디펜더는 약 2년에 걸쳐 150여 개국에서 피해 기기 수천 대를 관찰했다.
• 2026년 10월 8일, 비트디펜더가 미드나이트 미모사 조사 결과를 공개했다.
• 2026년 10월 9일, 기술 보고서가 업데이트됐다.
• 10월 12일 보도 당시 관련 구글 플레이 앱과 피해 펌웨어의 책임 소재는 여전히 해결되지 않은 문제로 남아 있었다.

비트디펜더는 악성 구성 요소를 비활성화하거나 펌웨어 문제를 해결해야 감염을 정리할 수 있다고 밝혔다. 비활성화에는 보통 ADB라고 불리는 안드로이드 디버그 브리지(Android Debug Bridge)를 이용할 수 있다. ADB는 컴퓨터가 디버깅 및 관리 작업을 위해 안드로이드 기기와 통신하도록 하는 도구다. 구성 요소를 비활성화하는 것은 손상된 펌웨어를 검증된 정상 버전으로 교체하는 것과 다르다.

모든 기기에 적용되는 정리 명령이나 정상임이 확인된 펌웨어 목록은 제시되지 않았다. 소유자는 ‘공식’이라고 표시된 업데이트를 무조건 안전하다고 여기기보다 판매자나 제조사에 검증된 해결책 또는 교체를 요청해야 한다. 기기 상태가 확인되지 않은 동안에는 감염이 확인된 기기에서 금융 업무를 하거나 민감한 계정 인증을 진행하고 중요한 정보를 저장하지 않는 것이 현명한 예방책이다.

연구진이 실제 사용을 관찰하지 못한 민감한 접근 권한도 우려 사항에 포함된다. 접근성 및 알림 접근 권한이 반복적으로 부여되고 취소됐으며, SMS 권한도 있었다. 원격으로 전달된 코드가 이를 활성화하면 화면 내용, 알림 또는 인증 메시지가 노출될 수 있다. 이는 입증된 위험이지만, 분석 중 미드나이트 미모사가 실제로 해당 정보를 훔쳤다는 증거는 아니다.

핵심 내용

• 미드나이트 미모사는 피해 기기가 구매자에게 전달되기 전 안드로이드 펌웨어에 심어진 상태로 발견됐다.
• 비트디펜더는 약 2년에 걸쳐 150여 개국에서 피해 기기 수천 대를 확인했다.
• 작전은 위장 페이로드 앱을 최소 32개 배포했으며, 구글 플레이 앱 13개가 같은 광고 사기 코드와 인프라를 공유했다.
• 시스템 권한으로 조용한 앱 설치와 권한 부여, 원격 코드 로딩이 가능했다.
• 프록시 등록은 확인됐지만 시험 기기에서 실제 트래픽 중계는 관찰되지 않았다.
• 펌웨어 서명 인증서만으로 악성코드를 심은 주체나 인증서 보유자의 관여 여부를 규명할 수는 없다.
• 위장 앱만 제거해서는 지속적으로 작동하는 구성 요소를 해결할 수 없다. 펌웨어 조치나 해당 구성 요소의 비활성화가 필요하다.