Crocodilus 악성 앱 분석 | 접근성 악용과 숨김 원격 제어, 가짜 연락처 추가 흐름

Crocodilus가 왜 문제 되는가

공개 보안 보고서 기준으로 Crocodilus는 2025년 3월 처음 공개된 안드로이드 기기 장악형 악성앱 계열입니다. 처음부터 접근성 서비스 악용, 오버레이, 원격 제어, 검은 화면 은닉, 텍스트 수집 기능을 함께 갖춘 점이 특징으로 설명됐습니다. 특히 설치 뒤 접근성 서비스를 켜게 만들고, 이후 열리는 앱 화면과 입력 텍스트를 바탕으로 사용자 흐름을 가로채는 구조가 핵심입니다.

일반 사용자 입장에서는 앱 이름을 직접 보지 못했더라도, `설치 허용 → 접근성 허용 → 화면이 어두워지거나 조작감이 이상해짐 → 인증 문자나 OTP 흐름이 불안해짐` 같은 순서가 있었다면 단순 설치형보다 더 넓은 범위를 염두에 두고 현재 기록을 다시 확인해야 합니다.

피해 흐름 각색: 보너스 앱·브라우저 업데이트처럼 시작됐다

실제 상담 문의로 바꾸면 이런 흐름과 비슷합니다. 사용자는 SNS 광고나 메신저 링크에서 `포인트 적립`, `브라우저 업데이트`, `인증 보조앱`, `보안 점검 앱`처럼 보이는 화면을 봅니다. 설치 버튼을 누르면 정상 스토어가 아니라 외부 APK가 내려오고, 실행 뒤에는 기능 화면보다 권한과 추가 설정 화면이 더 길게 이어집니다.

Crocodilus 관련 공개 보고서에서도 악성 광고와 가짜 보너스 앱, 가짜 브라우저 업데이트, 지역별 금융 앱 위장 같은 유입 방식이 확인됐습니다. 사용자는 여기서 단순 설치로 생각하기 쉽지만, 실제로는 접근성 허용과 숨김 원격 제어를 위한 준비 단계가 더 중요합니다.

권한 오용 표: 어떤 조합이 특히 위험한가

Crocodilus 악성 앱 분석에서 가장 실무적인 구간은 권한 표입니다. 공개 자료 기준으로 이 계열은 접근성 서비스를 중심으로 문자, 연락처, 원격 제어, OTP 수집과 연결되는 구조를 보였습니다. 아래 표처럼 권한과 역할을 조합해서 확인하는 편이 좋습니다.

위험 신호 표: Crocodilus에서 특히 봐야 할 동작

Crocodilus는 단순 수집형보다 `보이게 압박하는 기능`과 `안 보이게 조작하는 기능`이 동시에 언급된 점이 특징입니다. 아래 표는 공개 보고서 기준으로 특히 눈에 띄는 위험 신호를 일반 사용자 관점으로 바꿔 정리한 것입니다.

삭제 전 확인해야 할 자료

Crocodilus 악성 앱 분석 관점에서는 빨리 지우는 것보다 먼저 기록을 남기는 편이 중요합니다. 특히 외부 APK 설치, 접근성 허용, 문자 역할 변경, 연락처 변화, 오버레이 흔적은 삭제 후 바로 되돌아보기 어렵습니다.

• 설치 파일명, 다운로드 경로, 설치 시각, 설치를 유도한 링크를 먼저 기록합니다.
• 접근성 서비스, 기본 SMS 역할, 화면 위 표시, 알림 접근 설정을 캡처합니다.
• 연락처 목록에 최근 추가된 낯선 이름이나 번호가 있는지 확인합니다.
• 인증 문자, 인증앱 사용 시각, 최근 알림 흐름을 정리합니다.
• 배터리 사용량, 데이터 사용량, 최근 실행 앱, 설치 앱 목록을 함께 남깁니다.

이 글은 ThreatFabric의 2025년 3월·6월 공개 보고서와 Zimperium의 2025년 4월 후속 조사에서 공개된 기능을 바탕으로 일반 사용자가 이해하기 쉬운 형태로 재구성한 것입니다. 실제 문의 파일은 같은 이름이 아니어도 유사한 구조를 가질 수 있습니다.

안드로이드와 아이폰 확인 포인트 차이

Crocodilus는 안드로이드 설치형 악성앱 계열로 보는 편이 맞습니다. APK 설치와 접근성 서비스, 기본 SMS 역할, 오버레이 허용이 모두 안드로이드 흐름과 연결되기 때문입니다. 반면 아이폰에서는 같은 이름의 직접 설치보다 링크 이동, 프로필 설치, 로그인 입력, 클라우드 기반 노출 여부를 더 자주 구분하게 됩니다.

자주 묻는 질문