FILEM 악성 앱 분석: 12.87MB APK에서 확인할 권한·서명·통신 증거

FILEM 악성 앱 공개 보고서에서 확인된 숫자

이번 글의 레퍼런스는 아크링크가 2025년 8월 공개한 기술 보고서입니다. 보고서는 사진·영상 또는 뷰어 앱처럼 보이는 FILEM APK 한 사례를 분석하고, 파일 기본정보와 매니페스트 구성요소를 제시합니다. 아래 수치는 보안 업계 전체 통계가 아니라 공개 보고서에 기재된 특정 샘플의 관찰값입니다.

용량·서명·공개 라이브러리는 단독 판정 근거가 아닙니다

정확한 FILEM 악성 앱 분석은 정적 정보와 실행 증거를 연결해야 합니다. 파일 해시와 서명은 “무슨 파일인가”를, 권한 상태는 “무엇에 접근할 수 있었나”를, 네트워크 기록은 “실제로 어디와 통신했나”를 답합니다.

READ_CONTACTS부터 READ_MEDIA_VIDEO까지, 선언과 허용을 분리해야 합니다

공개 보고서에는 연락처, 전화번호, 사진·영상, 외부 저장소와 관련된 권한이 기록돼 있습니다. Android 공식 문서상 `READ_CONTACTS`와 `READ_PHONE_NUMBERS`는 위험 수준 권한이며, Android 6.0(API 23) 이상에서는 매니페스트 선언 외에 사용자의 런타임 허용이 필요합니다.

Android 13 이상에서 이미지와 영상은 세분화된 권한으로 나뉩니다. 두 권한을 동시에 요청하면 시스템 대화상자는 하나로 표시될 수 있습니다. 반대로 사진 선택기(Photo Picker)를 이용하는 정상 앱은 전체 미디어 권한 없이 사용자가 고른 항목에만 임시 접근할 수 있습니다. 따라서 단순 뷰어가 처음부터 연락처와 전체 미디어를 함께 요구한다면 기능 설명과 맞는지 다시 확인해야 합니다.

Activity·Service·URL은 무엇을 보여주고 무엇을 보여주지 못하나

Android의 Activity는 사용자가 보는 한 화면의 진입점이고, Service는 사용자 인터페이스 없이 백그라운드 작업을 수행할 수 있는 구성요소입니다. 앱에 여러 Activity나 Service가 있다는 사실 자체는 일반적입니다. 중요한 것은 해당 구성요소가 어떤 조건에서 시작되고, 어떤 API를 호출하며, 허용된 데이터가 어느 목적지로 전달되는지입니다.

개인 스마트폰에서 의심 파일을 다시 열어 동작을 시험해서는 안 됩니다. 실행 증거가 필요하다면 원본을 보존하고, 개인 연락처·사진·로그인 계정이 없는 분석 환경에서 다뤄야 합니다.

FILEM APK를 받았을 때 설치 단계별 초기 점검

파일을 받았다는 사실과 설치·실행·권한 허용은 다른 단계입니다. 먼저 어디까지 진행했는지 나누면 불필요한 공포와 놓친 보안 조치를 동시에 줄일 수 있습니다.

1. 의심 APK를 다시 실행하지 않습니다. 화면 확인을 위해 재실행하면 추가 권한 요청이나 외부 통신이 발생할 수 있습니다.
2. 대화와 파일 유입 경로를 보존합니다. 메신저 대화, 프로필, URL, 파일명, 다운로드 시각을 화면과 원본 형태로 남깁니다.
3. 앱 설치 정보를 기록합니다. 설정의 앱 정보에서 표시 이름, 버전, 설치 출처, 데이터 사용량을 확인합니다.
4. 권한별 상태를 따로 기록합니다. 연락처·전화·사진·동영상과 특수 앱 접근 여부를 화면으로 남깁니다.
5. 추가 통신이 의심되면 연결을 분리합니다. 비행기 모드를 활용하되 분석에 필요한 기록을 먼저 확보합니다.
6. 신뢰할 수 있는 다른 기기에서 계정을 점검합니다. 메신저와 이메일의 접속 기기, 복구 정보, 비밀번호 재사용 여부를 확인합니다.

자주 묻는 질문