이탈리아 디지털 권리 단체 Osservatorio Nessuno는 최근 'Morpheus'라는 이름의 안드로이드 스파이웨어를 공개했고, 이 악성코드가 가짜 업데이트 앱으로 위장해 표적의 기기에 설치됐다고 밝혔다. 보고된 정황상 이 스파이웨어는 이탈리아 감청 기술 업체 IPS와 연결돼 있으며, 감염 과정에는 통신사 문자와 안드로이드 접근성 기능 악용이 포함됐다.1
그런데 지금 정말 중요한 건 "새 스파이웨어가 나왔다"는 한 줄이 아니다. 'Morpheus spyware'를 검색하면 안드로이드 감시 악성코드뿐 아니라 윈도우 랜섬웨어, 오래된 P2P 파일공유 프로그램, 심지어 범죄조직 브랜드 정보까지 한꺼번에 섞여 나온다.234 이름만 보고 대응하면, 잘못된 제거 가이드를 따르거나, 내부 보고서에 전혀 다른 위협을 적거나, 필요 없는 보안 제품을 사는 식의 실수가 생긴다.
'Morpheus'라는 이름이 함정인 이유
이번에 공개된 Morpheus는 모바일 스파이웨어다. 표적은 안드로이드이고, 감염은 사용자를 속여 직접 앱을 설치하게 만드는 방식이며, 설치 후에는 접근성 권한을 악용해 화면을 읽고 다른 앱과 상호작용한다. 특히 가짜 재부팅 화면과 WhatsApp 위장을 통해 생체인증을 유도하고, 그 결과 공격자가 WhatsApp 계정에 새 기기를 연결할 수 있었던 것으로 전해졌다.1
하지만 같은 이름의 다른 Morpheus도 있다. 보안 업계에서는 2024년 말부터 2025년에 걸쳐 'Morpheus'라는 이름의 랜섬웨어 운영이 따로 관찰됐다. 이 쪽은 윈도우 PE 실행 파일, _README_.txt 랜섬노트, 파일 암호화 같은 전형적인 랜섬웨어 행태를 보인다.24 여기에 검색 결과에는 2000년대 초반 윈도우용 파일공유 프로그램 Morpheus도 남아 있다.3
왜 이런 충돌이 생길까. 악성코드 이름은 상표가 아니고, 공격자도 연구자도 반복해서 그럴듯한 이름을 쓴다. 문제는 이름 재사용 자체보다, 독자가 이름을 "정체성"으로 오해하는 데 있다. 실제 방어와 대응에는 이름보다 플랫폼, 유포 방식, 권한 요구, 실행 후 행동이 훨씬 중요하다.
3가지 질문만 하면, 내가 봐야 할 'Morpheus'가 보인다
첫째, 어느 플랫폼 이야기인가. 안드로이드 APK와 접근성 권한, SMS 유도 설치, WhatsApp 계정 탈취가 보이면 모바일 스파이웨어일 가능성이 높다. 반대로 .exe, 윈도우 볼륨 암호화, 랜섬노트가 핵심이면 완전히 다른 Morpheus다.12
둘째, 감염은 어떻게 이뤄졌는가. 이번 스파이웨어 사례는 제로클릭이 아니라 사회공학형 감염이다. 모바일 데이터가 막힌 것처럼 보이게 한 뒤, 복구용 업데이트 앱 설치를 유도했다는 점이 특징이다.1 이건 "최첨단 무기"라기보다, 비교적 저비용이지만 충분히 효과적인 표적형 공격에 가깝다. 그래서 일반 사용자 입장에서는 "제로데이급이면 막을 수 없다"보다 "설치 유도와 권한 요청을 어디서 받았는지"를 먼저 봐야 한다.
셋째, 설치 후 무엇을 하려는가. 이번 Morpheus는 기기 전체를 암호화하지 않는다. 대신 화면 읽기, 앱 조작, 메시징 계정 접근 같은 감시에 초점이 있다.1 비슷하게 가짜 "System Update" 앱으로 위장한 안드로이드 RAT들도 접근성 서비스를 악용해 SMS, 통화, 파일, 위치 정보를 빼간 사례가 있다.5 즉 "가짜 업데이트"라는 외형만으로 동일 계열이라고 단정할 수는 없지만, 최소한 모바일 감시 악성코드에서 반복되는 전술이라는 점은 확인된다.
사용자, 기자, IT팀의 다음 행동은 달라야 한다
일반 사용자는 검색보다 기기에서 확인해야 한다. 최근 설치한 앱 중 업데이트 도우미, 시스템 복구, 통신 장애 해결 같은 이름이 있는지, 접근성 서비스 권한을 가진 낯선 앱이 있는지, WhatsApp 연결 기기 목록에 모르는 기기가 추가됐는지 먼저 보라. 이번 사례처럼 표적형일 수 있으므로, 증거 보존이 중요하다면 바로 초기화부터 하지 말고 신뢰할 수 있는 지원 단체나 포렌식 도움을 받는 편이 낫다.
기자는 이름보다 설명을 써야 한다. "Morpheus 감염 확산"처럼 쓰면 오해를 부른다. "이탈리아 연계 안드로이드 스파이웨어 Morpheus"처럼 플랫폼과 성격을 함께 적어야 한다. 같은 이름의 랜섬웨어가 이미 존재한다는 점을 한 줄만 밝혀도 독자의 혼란은 크게 줄어든다.
IT·보안팀은 IOC보다 서술형 분류를 병행해야 한다. 내부 공지나 티켓에 "Morpheus 대응"이라고만 쓰지 말고, "Android fake-update spyware abusing Accessibility"처럼 플랫폼과 전술을 함께 남겨야 한다. 이름 충돌이 잦아질수록, 탐지 규칙과 커뮤니케이션도 행위 중심으로 바뀌어야 한다.
결국 이번 사례의 교훈은 간단하다. 앞으로 위협 이름은 점점 덜 믿을 만해지고, 행위는 더 중요해진다. 지금 신경 써야 할 사람은 안드로이드 사용자를 둔 조직, 표적형 감시에 노출될 수 있는 활동가·기자, 그리고 보안 뉴스를 전달하거나 분류하는 팀이다. 'Morpheus'라는 단어를 봤을 때 해야 할 첫 반응은 공포가 아니라 확인이다. 안드로이드인가, 설치를 속였는가, 감시인가 암호화인가. 그 세 가지가 먼저다.
참고
1Another spyware maker caught distributing fake Android snooping apps
2HellCat and Morpheus | Two Brands, One Payload as Ransomware Affiliates Drop Identical Code
3Morpheus (file-sharing software) - Wikipedia
5Removal instructions for the fake "System Update" Android-targeting malware
이 노트는 보도·비평·교육·연구 목적으로 작성되었습니다. 저작권 문의가 있으시면 에서 알려주세요.