Offcanvas

모바일 / 보안 / 애플리케이션 / 클라우드

안드로이드 폰 1억 대를 위험하게 한 바이두 앱

2015.11.03 Brian Cheon  |  CIO KR
중국의 거대 인터넷 서비스 기업 바이두가 개발해 수천 여 안드로이드 애플리케이션에 활용되고 있는 소프트웨어 개발 키트(SDK)로 인해 빨간 불이 켜졌다. 안드로이드 기기에 백도어 형태의 접근을 가능하게 하는 기능이 포함됐기 때문이다.


Baidu's offices in Beijing. Credit: Michael Kan

트렌드마이크로가 31일 게재한 블로그 포스트에 따르면 모플러스(Moplus)라는 이름의 이 SDK는 지금껏 약 1만 4,000여 종의 앱에 활용된 것으로 추산된다. 그 중 4,000 종은 바이두가 직접 개발한 것이다.

트렌드마이크로는 이 SDK의 영향을 받은 앱이 약 1억 대의 안드로이드 기기에 설치된 것으로 추산하고 있다.

이 보안 기업은 모플러스 SDK가 기기 상에서 HTTP 서버를 개설한다며, 그 서버가 인증 과정 없이 인터넷 상의 모든 이로부터 리퀘스트를 수령한다고 설명했다.

뿐만 아니라 이 숨겨진 HTTP 서버에 리퀘스트를 발송함으로써 SDK에 내장된 사전 정의 명령을 실행시킬 수도 있다고 트렌드마이크로는 경고했다. 이를 통해 위치 및 검색 쿼리, 연락처, 업로드 파일과 같은 민감한 정보를 수집할 수 있고 전화 발신, 허위 메시지 게재, 애플리케이션 설치 등의 작업도 가능하다는 설명이다.

트렌드마이크로는 이번 보안 이슈에 대해 바이두 및 구글에 통보했으며, 이에 바이두는 SDK 신버전을 배포했다. 트렌드마이크로는 그러나 아직 악용의 소지가 남아있다고 경고했다.

이에 대해 바이두 대변인은 지난 30일까지 모든 보안 이슈를 해결한 상태라며, 남아 있는 코드의 경우 실제로는 영향력을 상실한 데드 코드(dead code)라고 전했다.

그러나 바이두의 SDK를 이용해 앱을 개발한 개발자들 새로운 버전을 얼마나 빨리 적용할지는 미지수이기에 아직 주의가 필요한 단계인 것으로 관측되고 있다. ciokr@idg.co.kr
 
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.