Mackeabit
뉴스

ToxicPanda 2.0 Turns Android Permissions Into a Banking Fraud Chain

모바일 보안업체 Zimperium의 zLabs 연구팀은 8월 19일 안드로이드 뱅킹 트로이목마 ‘ToxicPanda 2.0’을 공개했다.

  • IT
  • AI

Date: 2026-08-24
Topic: Mobile Security
Primary source: Zimperium zLabs

모바일 보안업체 Zimperium의 zLabs 연구팀은 8월 19일 안드로이드 뱅킹 트로이목마 ‘ToxicPanda 2.0’을 공개했다. 새 변종은 167개 원격 명령을 갖추고 16개국의 금융·은행·가상자산·전자지갑 앱 349개를 가짜 화면으로 노린다. 2024년 처음 분석된 초기형이 은행 앱 16개를 겨냥했던 것과 비교하면 공격 범위와 기기 장악 기능이 크게 늘었다.

특히 이 악성코드는 VPN 권한으로 Google Play와 Play 서비스의 통신을 가로막은 뒤, 접근성 서비스를 이용해 무선 ADB 설정과 연결 과정을 자동화한다. 감염된 기기에서 셸 수준 명령을 실행하고 앱 PIN이나 화면 잠금 정보까지 훔칠 수 있어, 안드로이드 사용자와 금융 앱 운영사 모두 권한 요청과 비공식 앱 설치 경로를 다시 살펴야 하는 상황이다.

What Happened

Zimperium이 분석한 ToxicPanda 2.0은 사용자가 설치한 작은 실행 파일인 ‘드로퍼’에서 시작한다. 드로퍼는 가짜 설치 화면을 띄워 VPN 사용을 허용하도록 유도하고, 앱 내부에 숨겨 둔 실제 악성코드를 복호화해 설치한다. 이어 접근성 서비스 권한을 요구해 화면을 읽고 버튼을 대신 누를 수 있는 기반을 만든다.

연구진이 확인한 표본은 Amazon AWS 버킷을 통해 전달됐다. 이는 AWS 자체가 침해됐다는 뜻이 아니라, 공격자가 정상 클라우드 저장소를 악성 APK 배포에 이용했다는 의미다. BleepingComputer는 이 분석을 8월 23일 후속 보도하며 VPN 통신 제어와 무선 ADB 자동화가 이번 변종의 두드러진 변화라고 짚었다.

Key Details

  • 167개 원격 명령: 화면 조작, 데이터 수집, 앱 실행, 기기 설정 변경과 같은 다양한 작업을 원격에서 지시할 수 있다.
  • 349개 앱 대상 오버레이: 사용자가 표적 금융 앱을 열면 공격 서버에서 해당 앱과 닮은 가짜 화면을 받아 진짜 앱 위에 겹쳐 띄운다. 연구진은 이 목록이 16개국에 걸쳐 있다고 밝혔다.
  • 140개 이상 앱을 겨냥한 PIN 탈취: 별도 모듈이 은행·가상자산 앱의 PIN 입력 과정을 노린다. 가짜 화면은 피해자에게 보이지 않는 방식으로 터치 입력을 수집할 수도 있다.
  • 화면 잠금 정보 수집: 안드로이드 잠금 화면을 흉내 내 PIN, 패턴, 비밀번호 입력을 빼낼 수 있다.
  • Google Play 통신 방해: 로컬 VPN 인터페이스로 Google Play와 Play 서비스의 통신을 차단해 앱 검사, 업데이트, Play Protect 통신 같은 보호 동작을 방해할 수 있다.
  • 무선 ADB 자동화: 접근성 권한으로 개발자 옵션과 무선 디버깅을 켜고, 화면에 표시된 페어링 코드와 포트를 읽어 기기 내부 ADB 서비스에 연결한다.

여기서 ADB는 개발자가 앱을 설치하거나 기기를 진단할 때 쓰는 안드로이드 디버깅 도구다. 구글 문서에 따르면 무선 디버깅은 Android 11 이상에서 페어링 코드를 이용해 컴퓨터와 기기를 연결한다. ToxicPanda 2.0은 이 정상 절차를 사용자 대신 자동으로 수행한 뒤 셸 사용자 권한으로 명령을 내려, 일반 앱 권한 창을 우회하고 백그라운드 제한을 약화하는 데 이용한다.

Background

ToxicPanda는 2024년 10월 Cleafy가 처음 추적한 악성코드 계열이다. 당시 연구진은 유럽과 중남미에서 1,500대가 넘는 감염 기기를 확인했고, 주로 사회공학으로 사용자가 APK를 직접 설치하게 만드는 방식이 쓰였다고 설명했다. 공격자가 감염된 스마트폰 안에서 금융 거래를 직접 조작하는 ‘온디바이스 사기’가 주요 목적이었다.

초기형은 아직 개발 단계에 가까워 여러 원격 명령이 빈 기능으로 남아 있었다. 이번 분석에서는 당시 미완성이던 기능 일부가 실제로 작동했고, 대상도 은행 앱 16개에서 여러 종류의 금융 앱 349개로 확대됐다. 다만 Zimperium 보고서는 현재 감염자 수, 피해 금액, 한국 금융 앱 포함 여부를 공개하지 않았다. 따라서 숫자만으로 국내 확산이나 실제 피해 규모를 단정해서는 안 된다.

Core Lens
이번 위협의 핵심은 새로운 안드로이드 취약점 하나가 아니라, 사용자가 허용한 정상 기능 여러 개를 연결해 기기 통제권을 넓힌다는 데 있다.

Why It Matters

VPN, 접근성 서비스, 개발자 옵션은 모두 합법적인 용도가 있다. 문제는 사용자가 각 권한을 개별적으로 보면 위험을 알아채기 어렵다는 점이다. VPN 요청은 보안 연결처럼 보일 수 있고, 접근성 권한은 편의 기능으로 오해하기 쉽다. 그러나 한 앱이 설치 직후 이 권한들을 연달아 요구하고 무선 디버깅까지 켜려 한다면, 각각의 기능이 하나의 공격 경로로 이어질 수 있다.

금융회사에도 앱 로그인 화면만 보호해서는 충분하지 않다는 신호다. 공격이 감염된 실제 기기 안에서 진행되면 기기 식별 정보나 평소 사용 환경이 정상처럼 보일 수 있다. 금융 앱은 화면 위에 다른 창이 겹쳐지는지, 접근성 서비스가 입력을 대신하는지, 비정상적인 셸 권한이나 자동 조작이 나타나는지 같은 기기 행동도 함께 살펴야 한다.

What Users Should Watch

구글은 출처가 불분명한 앱이 접근성 같은 제한된 설정을 요구할 때 개발자를 신뢰할 수 있는지 먼저 확인하라고 안내한다. Play Protect는 외부에서 설치한 앱도 검사하지만, ToxicPanda 2.0처럼 관련 통신을 방해하려는 악성코드가 나타난 만큼 한 가지 방어 기능에만 의존하기는 어렵다.

  • 문자·메신저·광고 링크가 APK 설치를 요구하면 공식 회사 웹사이트와 Google Play에서 앱을 다시 확인한다.
  • 설치 직후 VPN, 접근성, 기기 관리자, 개발자 옵션을 한꺼번에 요구하는 앱은 사용을 중단한다.
  • 개발 목적으로 무선 디버깅을 쓰지 않는다면 꺼 두고, 알 수 없는 페어링 기기가 있는지 점검한다.
  • Play Protect와 안드로이드 보안 업데이트를 유지하고, 의심 앱을 발견하면 금융 앱 비밀번호 변경과 거래 내역 확인을 함께 진행한다.

앞으로 확인할 것은 실제 배포 경로와 감염 규모다. 연구진이 공개한 지표는 악성코드의 기능과 표적 범위를 보여주지만, 어느 나라에서 얼마나 활발히 유포되는지는 아직 설명하지 않는다. 보안업체나 금융기관이 한국 대상 앱과 피해 사례를 추가로 확인하는지 지켜볼 필요가 있다.

Sources