[아이티투데이 성상훈 기자] 구글플레이 스토어의 취약점과 안드로이드 표준 웹브라우저의 취약점을 조합해 원격으로 악성코드가 삽입된 앱을 설치하고 실행하는 위험이 발견됐다.

12일 주요 외신에 따르면 보안기업 래피드7이 보안 침투 테스트에 쓰이는 툴인 메타스플로잇에 이를 실행하는 모듈이 추가됐음을 알렸다.

구글플레이 스토어 취약점은 웹 응용 프로그램 도메인 주소(play.google.com)에서 클릭 잭킹 공격을 방지하기 위한 엑스 프레임 옵션(XFO) 지원이 원활하지 않은 것에서 비롯되고 있다.

이 취약점과 안드로이드 4.3(젤리빈)버전 까지 탑재되는 표준 브라우저의 범용 크로스 사이트 스크립트(UXSS)의 취약점을 조합해 특정 안드로이드 APK를 원격으로 설치하고 시작하게 하는 것이 가능하다.

안드로이드 사용자 대부분 거의 습관적으로 G메일이나 유튜브와 같은 구글 서비스에 로그인하고 있으며 이 플랫폼 역시 같은 위험에 노출될 우려가 있다고 래피드7은 전했다.

메타스플로잇에 추가된 모듈은 안드로이드 4.4(킷캣) 이전 버전에 탑재되는 표준 브라우저의 UXSS 취약점을 악용해 구글 플레이 내에서 원격 설치 기능을 통한 기능을 수행할 수 있다.

이 취약점을 피하기 위해서는 구글 크롬, 모질라 파이어폭스, 돌핀 브라우저 등 UXSS 취약점 영향을 받지 않는 웹브라우저를 사용하거나 웹브라우징을 하는 동안에는 구글 계정에 로그인하지 않는 것을 권한다고 래피드7은 지적했다.