Applore 의심스러운 앱 검사의 작동 방식과 한계

무언가를 바꾸기 전에

검사가 비교하는 것

Applore의 의심스러운 앱 검사는 휴대폰에 설치된 모든 앱을 살펴보고 세 가지 방법으로 위협 목록과 비교합니다.

• 앱의 패키지 이름: com.example.app처럼 모든 Android 앱이 가진 고유 ID입니다.
• 앱의 서명 인증서: 개발자가 사용하는 디지털 서명입니다. 앱 이름이 바뀌어도 여기서 일치하면 일치로 봅니다.
• 앱의 파일 지문: 휴대폰에 있는 앱 설치 파일에서 계산한 코드입니다. 앱의 정확한 빌드 하나와 일치합니다.

위협 목록은 여러 공개 출처를 합친 것입니다.

• CC BY 4.0 라이선스로 공개된 Echap의 스토커웨어 지표. 다른 사람을 몰래 감시하도록 판매되는 앱인 스토커웨어와, 자녀 보호나 직원 추적 도구처럼 보통 공개적으로 설치되는 모니터링 앱인 워치웨어를 별도 목록으로 다룹니다.
• 연구자들이 기록한 상용 스파이웨어 앱을 정리한 Mobile Verification Toolkit 지표(MIT 라이선스).
• 유해한 Android 앱에 대한 ESET 공개 지표(BSD 2-Clause 라이선스).
• 백신 테스트용 앱과 스토커웨어 제품 이름처럼 Applore가 직접 관리하는 짧은 목록.

알려진 유해 앱은 패키지 이름만으로 일치 여부를 판단하지 않습니다. 재포장된 유해 앱은 인기 앱의 이름을 그대로 쓰는 경우가 많아, 이름만으로 비교하면 진짜 앱이 신고될 수 있습니다. 그래서 서명 인증서나 정확한 파일 지문으로만 일치 여부를 판단합니다.

목록이 휴대폰에 도달하는 방법. 사람이 각 업데이트를 검토하고 직접 게시합니다. Applore는 휴대폰이 온라인일 때 하루에 한 번 정도 서명된 새 목록이 있는지 확인합니다. 서명을 확인해 바뀌었거나 손상되었거나 예상보다 작은 파일은 거부하고, 이미 가진 목록을 계속 사용합니다. 앱에도 목록 사본이 들어 있습니다. 업데이트를 확인할 때는 파일을 다운로드할 뿐, 휴대폰의 앱에 대한 정보는 아무것도 보내지 않습니다.

이 출처 중 어느 것도 완전하지 않습니다. Echap은 자신들의 지표가 스토커웨어의 완전한 목록이 아니며 정확성을 보장하지 않는다고 밝히고 있고, 앱의 새 버전은 어떤 목록에 포함되기 전에 나타날 수 있습니다. 그래서 Applore는 경고 신호도 함께 살펴봅니다.

Google Play Protect 결과

Google Play Protect가 켜져 있으면 Applore는 Play Protect가 유해하다고 보고한 설치된 앱이 무엇인지도 물어보고, 출처를 Play Protect로 밝혀 목록에 표시합니다. Play Protect는 Google Play가 있는 Android 휴대폰에 기본으로 들어 있는 Google의 검사 도구입니다. Play Protect가 꺼져 있거나 휴대폰에 Google Play 서비스가 없으면 검사의 이 부분은 건너뛰고 나머지는 계속 진행됩니다. Play Protect가 꺼져 있으면 의심스러운 앱 검사에 다시 켤 수 있도록 안내가 표시됩니다. Google Play Protect가 확인하는 것에서 Play Protect 자체의 한계를 설명합니다.

Applore가 점수를 매기는 동작 신호

목록과 일치하지 않는 앱에 대해서는, 모니터링 앱에서 자주 보이는 신호에 점수를 매깁니다. 각 신호 하나만 놓고 보면 일반 앱에서도 흔합니다.

앱 스토어 밖에서 설치되었다는 것은 하나의 관문일 뿐, 그 자체로 증거는 아닙니다. 파일로 설치되었고 아이콘이 보이는 앱은 다른 강한 신호가 뒷받침할 때만 높음이 됩니다. 숨겨진 아이콘, 접근성과 알림 접근 권한을 모두 가진 경우, 시스템 같은 이름, 개발자 테스트 인증서, 또는 계속 실행되고 휴대폰과 함께 시작되도록 설정된 상태에서 마이크, 카메라, 위치, 메시지, 통화 기록, 연락처 중 4개 이상에 접근할 수 있는 경우입니다. 직접 설치한 통화 녹음 앱은 마지막 경우처럼 보일 수 있으므로, 신뢰하는 앱으로 표시할 수 있습니다.

인기 앱의 복제본은 그것만으로는 확인 필요입니다. 수정된 버전이나 개발자 웹사이트에서 받은 공식 다운로드도 이렇게 보이기 때문입니다. 숨겨진 아이콘이나 접근성, 알림 접근, 기기 관리자 권한이 함께 있을 때만 높음이 됩니다.

Applore는 시스템 앱과 자기 자신은 건너뜁니다. 지역 앱이나 통신사 앱처럼 휴대폰 제조사 자체 펌웨어로 설치된 앱은 앱 스토어에서 설치한 앱처럼 취급합니다.

수준의 의미

신고된 앱에는 앱과 같은 용어로 다음 수준 중 하나가 표시됩니다.

알려진 모니터링 앱높음확인 필요신고되지 않음

• 알려진 모니터링 앱: 패키지 이름, 서명 인증서 또는 파일 지문이 목록의 알려진 스토커웨어와 일치하거나, 알려진 모니터링 앱이 파일로 설치되어 아이콘을 숨기거나, 스토어 밖에서 설치된 앱이 알려진 스토커웨어 제품 이름을 쓰면서 민감한 접근 권한을 사용할 수 있는 경우입니다.
• 높음: 앱 스토어 밖에서 설치되었고, 꺼진 아이콘이나 숨겨진 아이콘에 접근성, 알림 접근 또는 기기 관리자 권한이 함께 있는 것 같은 강한 경고 신호가 있는 경우입니다. 인증서나 파일로 알려진 유해 앱과 일치하는 앱이나 Google Play Protect가 유해하다고 보고한 앱도 출처와 관계없이 높음입니다. 백신 테스트용 앱도 여기에 표시되며, 무해한 테스트용 위협으로 표시됩니다.
• 확인 필요: 경고 신호가 몇 가지 있거나, 알려진 모니터링 앱을 앱 스토어에서 설치한 경우입니다. 시간이 날 때 검토하세요.
• 신고되지 않음: 일치하는 항목이 없고 신호도 충분하지 않습니다. 앱이나 휴대폰이 괜찮다는 증거는 아닙니다.

Applore에서는 신고된 앱마다 수준과 신고된 주된 이유가 표시됩니다. Applore Pro에서는 이 앱 정보가 각 결과를 쉬운 말로 자세히 설명합니다. 앱이 무엇을 볼 수 있거나 할 수 있는지, 어디서 왔는지, 언제 설치되었는지, 숨겨져 있는지, 신고된 모든 이유입니다. Pro는 Applore Free와 같은 검사를 실행하며, 더 많은 앱을 찾아내지는 않습니다.

모니터링 앱과 스토커웨어

Google Play에서 받은 가족 앱, 자녀 보호 앱, 직원 관리 앱은 스토커웨어가 아니라 모니터링 앱으로 표시됩니다. 보통 공개적으로 설치되고 정당하게 쓰일 수 있지만, 악용될 수도 있습니다. 앱 스토어에서 설치한 앱은 위협 목록과 일치하거나 Play Protect가 보고하지 않는 한 최대 확인 필요까지만 표시됩니다. 모니터링 앱과 스토커웨어에서 차이를 설명합니다.

Play에서 제거됨: 별도의 목록

Applore는 Play에서 제거됨 목록도 보여 줍니다. 주로 애드웨어나 사기 같은 정책 위반으로 Google이 Google Play에서 내린 앱의 목록을 다운로드해, 그 목록에 있는 설치된 앱을 표시합니다. 스파이웨어나 악성 앱 확인 기능이 아니며, 의심스러운 앱 검사와는 따로 관리됩니다. 앱의 스토커웨어 수준을 올리지 않으며, 이 목록만으로는 알림을 보내지 않습니다.

검사가 실행되는 시점

Applore는 처음으로 앱 목록을 읽기 전에 동의를 구합니다. 그 후 검사는 다음과 같은 때 실행됩니다.

• Applore를 열 때
• 예약된 일정에 따라 백그라운드에서. 설치된 모든 앱을 매일 다시 확인하는 것도 포함됩니다.
• Android가 알려 주는 앱 추가나 업데이트가 있을 때

Android의 배터리 절약 기능 때문에 백그라운드 검사가 지연될 수 있으므로, 새 앱이 바로 확인되지 않을 수 있습니다.

Applore가 알려진 모니터링 앱이나 높음 결과를 찾으면, 조치할 때까지 나중에 다시 알려 줍니다. 약 1시간 후, 그날 늦게, 다음 날, 그다음 일주일 동안 매일, 그 뒤로는 매주 알려 줍니다. 알림을 밀어서 없애도 결과는 사라지지 않습니다. 앱이 제거되거나, 앱 잠금 PIN이나 패턴으로 신뢰하는 앱으로 표시하면 결과가 해결됩니다. 확인 필요 결과는 알림 없이 목록에만 표시됩니다.

Applore가 할 수 없는 일

또한 Applore는 사용 기록 액세스나 다른 앱 위에 표시 같은 일부 설정에 대해, 다른 앱이 실제로 어떤 특수 접근 권한을 받았는지 볼 수 없습니다. 앱이 그 권한을 요청했다는 것만 볼 수 있습니다.

어떤 종류의 감시는 어떤 앱 검사로도 볼 수 없습니다.

• 휴대폰 시스템 소프트웨어에 심어진 도구나 루팅된 휴대폰이 필요한 도구
• 제로클릭 공격처럼 앱이 전혀 필요 없는 공격
• 공유되었거나 로그인된 계정 또는 클라우드 서비스를 통한 감시. 안전 점검은 그런 설정을 하나씩 안내하지만, 대신 검사할 수는 없습니다.
• 네트워크 트래픽, 그리고 통신사를 통해 설정된 전화나 메시지 착신 전환

전송되는 것과 전송되지 않는 것

• 검사는 휴대폰에서 실행됩니다. 탐지 과정에서 앱에 대한 정보는 아무것도 업로드되지 않으며, 결과는 기기에 남습니다.
• 위협 목록 업데이트는 다운로드만 합니다. Applore는 applore.io에서 서명된 목록을 가져옵니다. 다른 웹 요청과 마찬가지로 서버에 IP 주소가 표시되지만, 앱에 대한 정보는 담겨 있지 않습니다.
• Play Protect에는 휴대폰 안에서 묻습니다. Play Protect가 켜져 있으면 Applore는 휴대폰의 Google Play 서비스를 통해 Play Protect에 묻습니다.
• 분석 도구로 패키지 이름이 전송되지 않습니다. 검사에 대한 분석 이벤트에는 앱 이름이 아니라 개수만 담깁니다.
• 예외 하나, 앱 카테고리. 앱 관리자에서 앱 카테고리를 열면 앱을 카테고리별로 묶기 위해 패키지 이름이 Applore 서버로 전송됩니다. 이것은 별도의 기능이며 개인정보처리방침에 공개되어 있습니다.
• 보고서는 직접 공유할 때만 휴대폰을 떠납니다. 증거 보고서(Applore Pro)는 휴대폰에서 만들어지며, Android 공유 시트를 통해 직접 고른 곳으로만 전송됩니다. Applore가 찾은 내용의 기록 공유하기를 참고하세요.

도움 받기

Applore 앱에는 인도, 미국, 영국의 상담 연락처와 국제 상담 기관이 들어 있습니다. 다른 나라에 산다면 내 나라의 가정 폭력 상담 전화를 검색해 보세요. 상담 전화에서 어디서 시작할지 안내합니다. 당장 위험한 상황이라면 지역 긴급 전화번호로 연락하세요.

Applore가 사용하는 제3자 데이터와 라이선스 목록은 크레딧에서 볼 수 있습니다. 모든 안전 가이드는 안전 허브에 있습니다.