AV-Comparatives 연구원들은 Google Play 공식 카탈로그에 있는 인기 보안 앱 250개를 분석했고, 실망스러운 결론에 도달했습니다. 안드로이드 백신의 약 3분의 2가 광고에서 내세운 기능을 제대로 수행하지 못한다는 것입니다. 더 심각한 것은 이러한 앱들이 때때로 스스로를 악성코드라고 부르고, 실제 위협을 ‘인식’하지 못하며, 사실상 아무런 유용한 기능도 하지 않는다는 점입니다.
테스트는 아주 단순한 방식으로 진행되었습니다. 전문가들은 별도의 기기에 백신을 설치했고, 해당 기기의 브라우저가 악성 앱을 자동으로 열고 다운로드하도록 했습니다. 각 앱마다 이 과정을 2,000번씩 반복했으며, 지난해 발견된 ‘유명한’ 악성코드의 서로 다른 이미지 2,000개를 사용했습니다. 여기서 “탐지”란 백신 솔루션이 이러한 악성코드를 알고 있어야 했다는 의미입니다. 그러나 현실에서는 결과가 완전히 달랐습니다.
연구된 250개 앱 중 80개만이 오탐지 없이 최소 30%의 위협을 식별할 수 있었습니다. 즉, 나머지 170개 앱은 “테스트를 범람시켰다”는 뜻입니다. 250개 중 단 23개 앱만이 위협의 100%를 탐지했는데, 이는 주로 Avast, Bitdefender, ESET, F-Secure, G-Data, Kaspersky Lab, McAfee, Sophos, Symantec. , Tencent, Trend Micro, Trustwave 등 유명 백신 개발사의 솔루션이었습니다.
연구원들은 많은 백신이 사용자가 다운로드하고 설치한 앱을 전혀 검사하지 않고, 블랙리스트와 화이트리스트만 확인하며, 코드가 아닌 패키지 이름만 검사한다고 기록했습니다. 따라서 많은 앱이 단지 적절한 목록에 없다는 이유만으로 기본적으로 악성으로 표시됩니다. 이 때문에 때때로 우스운 상황이 발생하기도 합니다. 예를 들어 이러한 ‘백신’은 제작자가 화이트리스트에 자사 제품 이름을 추가하는 것을 잊었더라도 악성으로 간주될 수 있습니다. 반대로 다른 솔루션들은 이름이 “com.adobe.*”로 시작하는 앱을 무해한 것으로 간주합니다. 즉, 이름이 com.adobe인 모든 악성코드는 제한을 우회하게 됩니다.
AV-Comparatives 전문가들은 이러한 백신 앱 상당수가 정보 보안 전문가가 아닌 개발자에 의해 만들어졌다는 점이 우려스럽다고 기록합니다. 이들은 아마추어나 주요 활동이 정보 보안과 거리가 먼 기업(예: 게임 개발사)에 의해 만들어졌습니다. “마지막 범주는 수익화와 광고를 목적으로 모든 종류의 앱을 만들거나, 포트폴리오에 안드로이드 보안 솔루션을 갖고 싶어 하는 개발자들입니다”라고 전문가들은 설명합니다.
더 심각한 것은 많은 보안 솔루션이 동일한 ‘파이프라인’에서 나온 것처럼 보인다는 점입니다. 수십 개의 앱이 거의 동일한 인터페이스를 갖고 있으며, 제작자들은 분명 제대로 작동하는 악성코드 스캐너를 만드는 것보다 광고 노출에 더 관심이 많습니다.
AV-Comparatives 연구 결과는 안드로이드 백신 분야의 상황을 지켜봐 온 사람들에게 크게 놀랍지 않을 것입니다. 예를 들어 지난봄 ESET 전문가들은 Google Play에서 백신으로 위장한 광고 앱 35개를 발견했는데, 이 앱들은 7,000,000회 이상 다운로드되었습니다. ESET 분석가들은 이러한 ‘가짜’ 앱을 보호 소프트웨어의 작업을 흉내 낼 뿐인 악성코드라고 불렀습니다.
