보안2026. 11. 5. 오후 3:08 UTC·2 분 소요

Chrome·Snapdragon GPU 결함 엮어 Android 공격

Sekoia는 APT29 연계 해커가 Chrome과 Qualcomm Adreno 결함을 연쇄 악용해 Android 폰을 감염시켰다고 밝혔다. 두 결함은 이미 패치됐다.

이미지: Android Authority

보안업체 Sekoia가 Chrome 버그와 Qualcomm Adreno GPU 드라이버 결함을 연쇄 악용해 Android 스마트폰을 감염시킨 해킹 캠페인을 상세히 공개했습니다. 피해자가 링크를 누르거나 앱을 설치하거나 권한을 허용할 필요가 없었습니다. 구버전 Chrome으로 감염된 페이지를 여는 것만으로 충분했습니다.

단계별 공격 방식

Sekoia 보고서에 따르면 공격자는 먼저 Chrome 결함 CVE-2026-3910으로 브라우저 안에서 코드를 실행했습니다. 이어 Adreno 드라이버 결함 CVE-2025-27038을 악용해 Chrome 샌드박스를 벗어나 기기 깊숙이 접근했습니다. Adreno 그래픽은 Snapdragon 칩에 들어 있어 Qualcomm 칩 탑재 기기가 영향을 받았습니다.

공격 대상은 Chrome 139~145 버전이며, 143은 이유가 불분명하게 제외됐습니다. 감염 후에는 Sekoia가 AndroSnitch라고 부르는 악성코드가 Chrome 쿠키, 저장된 로그인 정보, 방문 기록과 연결된 네트워크 비밀번호가 담긴 Wi-Fi 설정 파일을 빼냈습니다. 갤럭시 S25 울트라를 감지하면 동작을 멈추도록 설계됐습니다.

공격자는 합법적 웹사이트에 악성 코드를 심고, 실제 사이트를 흉내 낸 가짜 사이트를 만들었으며, 우크라이나 웹 분석 서비스를 장악했습니다. 이 서비스는 8월 27일부터 9월 3일까지 주로 우크라이나의 수천 개 사이트에서 쓰였습니다. 가짜 사이트에는 America250 사이트 복제본과 영국 정부 청사 인근 고급 런던 호텔을 모방한 사이트가 있었습니다. 페이지 스크립트가 기기를 분석해 맞는 익스플로잇을 제공했습니다.

배후와 대응

Sekoia는 이 캠페인이 러시아 대외정보국과 연계된 APT29와 관련 있다고 밝혔습니다. 표적을 볼 때 외교관과 우크라이나 전쟁 관련 인물이 주된 대상으로 보입니다. iPhone도 공격받았습니다. iOS 16~17.4에서는 쿠키를 탈취했고, DarkSword 익스플로잇은 iOS 18.5 기기에서 메시지와 사진, 비밀번호를 빼냈습니다.

악용된 결함은 모두 공격 시작 전에 패치됐습니다. Play 스토어에서 Chrome을 업데이트하고 설정 > Chrome 정보에서 버전이 145보다 높은지 확인하는 것이 좋습니다. Qualcomm GPU 드라이버 수정은 월간 보안 패치로 제공되므로 최신 보안 업데이트도 설치해야 합니다.