LOVENSES.apk 악성앱 분석 | 공식 앱과 다른 패키지·민감 권한·의심 API

분석 대상은 공식 Lovense 앱 자체가 아닙니다

먼저 브랜드와 파일을 분리해야 합니다. Google Play에 공개된 정상 앱 이름은 Lovense Remote이고, 공식 스토어 주소에 표시되는 안드로이드 패키지는 com.lovense.wear입니다. 반면 제공된 기술 자료의 액티비티는 com.astreon.lumisphere.view.MainActivity와 com.astreon.lumisphere.view.SecondActivity로 시작합니다.

앱 화면이나 파일명이 Lovense와 비슷하더라도 패키지가 다르면 공식 앱과 동일한 설치물로 볼 수 없습니다. 특히 메신저에서 APK 파일을 직접 받았고, 공식 스토어가 아닌 파일 설치 화면을 거쳤다면 정상 브랜드와 별개의 앱을 설치했을 가능성을 먼저 확인해야 합니다. 이 글은 Lovense 브랜드나 공식 앱을 악성으로 분류하는 것이 아니라, 해당 이름을 사용한 특정 해시의 별도 APK를 분석하는 글입니다.

LOVENSES.apk 악성앱 분석 기준 샘플 정보

파일명은 공격자가 자유롭게 바꿀 수 있으므로 분석 대상을 특정하려면 해시를 함께 봐야 합니다. 제공된 화면에서 확인한 기준 샘플은 아래와 같습니다. 다른 해시의 `LOVENSES.apk`는 이름이 같아도 이 글의 분석 결과와 동일하다고 단정할 수 없습니다.

권한 선언은 무엇을 가능하게 하나

제공된 Manifest 분석 화면에는 연락처, 전화번호, 사진, 영상, 외부 저장소와 네트워크 관련 권한이 함께 나타납니다. 몸캠피싱 상황에서는 이 조합을 가볍게 볼 수 없습니다. 다만 Manifest에 권한이 적혀 있다는 사실과 실제로 권한이 허용되어 데이터가 읽혔다는 사실은 구분해야 합니다. Android 6.0 이상에서 위험 권한은 일반적으로 실행 중 사용자 승인이 필요하며, 저장소 권한의 동작 범위는 Android 버전과 앱의 대상 SDK에 따라 달라집니다.

액티비티와 서비스 이름만으로 악성 행위를 확정할 수 없습니다

제공된 화면에는 대상 앱의 MainActivity, SecondActivity 외에 com.blankj.utilcode.util.UtilsTransActivity와 com.blankj.utilcode.util.MessengerUtils$ServerService가 보입니다. 여기서 Blankj의 AndroidUtilCode는 공개된 범용 안드로이드 유틸리티 라이브러리입니다.

공개 소스의 `UtilsTransActivity`는 권한 결과나 다른 액티비티 결과를 콜백으로 전달하는 투명 액티비티 형태의 도우미이고, `MessengerUtils$ServerService`는 Android의 `Messenger`와 `Binder`를 이용해 앱 프로세스 사이에서 메시지를 전달하는 서비스입니다. 이름에 `Messenger`와 `Server`가 들어가지만, 그 자체가 인터넷 메신저 자동 발송이나 C2 서버 통신을 뜻하지 않습니다.

번들 요약의 XML 510개, PNG 170개, WEBP 13개, SO 4개, DEX 2개 같은 수치도 동일합니다. 리소스나 DEX 개수는 앱 구성의 단서일 뿐이며, 개수가 많거나 적다는 사실만으로 정상·악성 또는 은닉 기능을 판정할 수 없습니다. `MessageBodyReader`, `MessageBodyWriter`, JSON, GZ, RSA, Coroutine 관련 문자열 역시 정상 앱과 악성 앱 모두에서 쓰일 수 있는 일반 기술 구성요소입니다.

내장 도메인은 강한 정황이지만 실제 전송 증거와는 다릅니다

정적 분석 화면에는 bhyjznbalkf[.]monster/prod-api/ 문자열이 포함돼 있습니다. 공식 앱 패키지와 무관한 APK 안에 무작위 문자열 형태의 외부 도메인과 `prod-api` 경로가 들어 있다는 점은 주의할 만한 네트워크 지표입니다. 그러나 APK 안에 URL 문자열이 있다는 사실만으로 설치 직후 그 주소에 접속했거나 연락처·미디어를 업로드했다고 단정할 수는 없습니다.

몸캠피싱에서 이런 APK가 설치되는 흐름

제공된 사례 맥락에서는 상대가 SNS나 메신저로 접근한 뒤 성인기기 제어 또는 영상 연결에 필요한 앱처럼 설명하며 APK 설치를 유도합니다. 이용자는 정상 브랜드 이름을 보고 의심을 낮추지만, 실제로는 공식 스토어가 아닌 파일 설치 화면을 거치게 됩니다.

1. SNS·메신저에서 친밀감을 형성합니다.
   짧은 대화 뒤 영상통화나 별도 기기 연동을 제안합니다.
2. 익숙한 브랜드와 비슷한 파일명을 보냅니다.
   공식 앱처럼 느끼게 하지만 설치 경로는 메신저 파일이나 외부 다운로드 페이지입니다.
3. 알 수 없는 앱 설치 허용을 요구합니다.
   브라우저나 메신저에 외부 APK 설치 권한을 열도록 안내할 수 있습니다.
4. 연락처·전화번호·사진·영상 권한을 요청합니다.
   앱 기능에 필요하다는 설명과 함께 여러 민감 권한을 연속으로 요구할 수 있습니다.
5. 확보했다고 주장하는 정보를 압박에 사용합니다.
   실제 접근 범위와 상대의 과장 문구가 섞일 수 있으므로 설치·실행·권한 허용 여부를 따로 확인해야 합니다.

위 흐름은 제공된 사례 맥락을 바탕으로 재구성한 사회공학적 설치 유도 시나리오입니다. 각 단계가 해당 SHA-256 샘플의 동적 코드로 모두 입증됐다는 뜻은 아닙니다.

설치했다면 삭제 전에 확인할 기록

불안해서 바로 초기화하거나 모든 기록을 지우기보다 현재 상태를 짧게 남기는 편이 좋습니다. 앱이 실행 중이거나 권한을 허용했다면 가능할 때 Wi-Fi와 모바일 데이터 연결을 잠시 끊고, 다른 기기로 상담 경로를 확보한 뒤 아래 항목을 확인합니다.

• 받은 파일: 실제 파일명, 다운로드 폴더, 받은 시각과 전달된 대화 화면
• 앱 정보: 설정의 앱 정보 화면에 표시된 이름, 패키지, 버전, 설치 출처
• 권한 상태: 연락처, 전화, 사진과 동영상이 허용인지 거부인지
• 추가 설정: 접근성, 알림 접근, 기기 관리자, 다른 앱 위에 표시가 활성화돼 있는지
• 실행 시간대: 설치 시각, 처음 실행한 시각, 권한을 허용한 순서
• 계정 기록: 외부 페이지에 입력한 로그인 정보와 새로운 로그인 알림이 있었는지
• 증상: 모르는 알림, 예상하지 못한 메시지, 배터리·데이터 사용량 변화가 있었는지

이번 정적 자료에는 접근성 서비스, 기기 관리자, 부팅 완료 리시버가 직접 확인되지 않았습니다. 따라서 이 샘플이 반드시 해당 기능을 사용한다고 쓰지는 않습니다. 다만 같은 이름을 쓰는 다른 변형 APK일 수 있으므로 실제 설치된 앱의 설정 화면을 확인하는 과정은 필요합니다.

안드로이드와 아이폰의 확인 포인트는 다릅니다

아이폰에서 `LOVENSES.apk`를 내려받았다는 사실만으로 Android 권한이 작동하지는 않습니다. 다만 같은 대화에서 다른 링크나 구성 프로필, 계정 입력 페이지로 이어졌다면 그 흐름은 별도로 확인해야 합니다.

이번 분석에서 확인된 것과 확인되지 않은 것

이렇게 증거 수준을 나누는 이유는 피해 범위를 축소하기 위해서가 아닙니다. 확인되지 않은 기능을 모두 작동한 것처럼 쓰면 이용자가 무엇을 실제로 확인해야 하는지 흐려집니다. 반대로 패키지 불일치와 민감 권한, 의심 도메인이라는 확인된 정황만으로도 이 APK를 계속 실행하거나 권한을 유지해서는 안 된다는 판단에는 충분합니다.

자주 묻는 질문

조사에 사용한 공개 자료

본문은 제공된 샘플 정적 화면을 출발점으로 삼고, 공식 앱 정보와 Android 공식 문서, 공개 라이브러리 원본 코드를 교차 확인해 작성했습니다. 의심 도메인은 직접 접속하지 않고 공개 DNS와 URLScan 검색 기록만 확인했습니다.