NetMirror Android 애플리케이션의 보안, 개인정보 보호 및 리버스 엔지니어링 종합 분석

최종 공식 공개 보안 연구 백서 - 버전 1.0

분류: 공개 연구 (PUBLIC RESEARCH) | 2026년 8월

목차

1. 섹션 1: 서론 (INTRODUCTION) - 연구 목적, 목표, 범위, 대상, 중요성, 윤리, 책임 있는 공개(Responsible Disclosure) 및 한계

2. 섹션 2: NetMirror 소개 (ABOUT NETMIRROR) - 애플리케이션 아키텍처, React Native 및 Hermes 엔진 통합, 대상 사용자 및 SDK 버전

3. 섹션 3: 연구 방법론 (RESEARCH METHODOLOGY) - 디컴파일러 도구, 매니페스트(Manifest) 및 번들 분석, 네이티브 검사, 다중 LLM 교차 검증

4. 섹션 4: Android 보안 기초 (ANDROID SECURITY BASICS) - 권한(Permissions), Android ID, WRITE_SETTINGS, 클리어텍스트 트래픽(Cleartext Traffic), WebView, JNI에 대한 입문

5. 섹션 5: 상세 애플리케이션 분석 (DETAILED APPLICATION ANALYSIS) - 선언된 모든 매니페스트 권한 및 프레임워크 구성 요소에 대한 철저한 감사

6. 섹션 6: 네트워크 분석 (NETWORK ANALYSIS) - 정적 엔드포인트(Endpoint) 분석, 캡티브 포털(Captive Portal) 핑, 임베디드 트래킹 도메인 및 클리어텍스트 위험

7. 섹션 7: 기기 정보 수집 (DEVICE INFORMATION COLLECTION) - Android ID 핑거프린팅(Fingerprinting), 전화 통신 사업자 지표, IP/MAC 주소 및 리퍼러(Referrer) 트래킹

섹션 8: 개인정보 보호 분석 (PRIVACY ANALYSIS) - 민감한 데이터 카테고리(연락처, SMS, 카메라, 마이크, 위치, 저장소) 평가

9. 섹션 9: React Native 분석 (REACT NATIVE ANALYSIS) - Hermes 바이트코드(Bytecode) 구조, JS 브릿지(JS Bridge), 네이티브 모듈 브릿지(Native Module Bridges) 및 클립보드 통합

10. 섹션 10: 네이티브 라이브러리 (NATIVE LIBRARIES) - ARM64-v8a, ARMEABI-v7a, x86 및 x86_64 공유 객체 (.so 파일) 심층 감사

11. 섹션 11: 보안 위험 매트릭스 (SECURITY RISK MATRIX) - 다계층 위협 분류 표 및 취약점 등급

12. 섹션 12: 오탐 (FALSE POSITIVES) - 정당한 React Native 프레임워크 보일러플레이트(Boilerplate)와 악성 동작의 구분

13. 섹션 13: 흔한 오해 (COMMON MISUNDERSTANDINGS) - Android ID, WRITE_SETTINGS 및 클립보드(Clipboard) API를 둘러싼 기술적 신화 해소

14. 섹션 14: 권장 사항 (RECOMMENDATIONS) - 사용자, 앱 개발자 및 보안 연구자를 위한 실행 가능한 조치 가이드

15. 섹션 15: 최종 결론 (FINAL CONCLUSION) - 종합된 증거 기반 판결: 확인됨(Confirmed), 가능성 높음(Likely), 발견되지 않음(Not Found) 주장

16. 섹션 16: FAQ - 50가지 종합 사이버 보안 및 리버스 엔지니어링 질문 및 답변

17. 섹션 17: 용어 사전 (GLOSSARY) - 100가지 기술적 사이버 보안, 리버스 엔지니어링 및 Android OS 용어를 쉬운 영어로 설명

18. 섹션 18: 참고 문헌 (REFERENCES) - 참고 아카이브, AOSP 문서 및 분석 결과물

19. 부록 (APPENDIX) - ASCII 아키텍처 다이어그램, 데이터 흐름 다이어그램, 권한 표 및 증거 인덱스

20. NetMirror 앱에 대한 나의 의견 (My Opinion On NetMirror App) - 개발자로서 이 앱에 대해 말할 수 있는 것

섹션 1: 서론 (INTRODUCTION)

1.1 이 연구가 수행된 이유

현대의 Android 스트리밍 애플리케이션은 사용자가 제3자 배포 포털이나 홍보 웹사이트에서 패키지를 다운로드하고 설치하는 불투명한 생태계에서 운영되는 경우가 많습니다. NetMirror는 광고가 없는 고화질 엔터테인먼트 및 미디어 미러링 유틸리티로 널리 광고되고 있습니다. 그러나 사용자들과 개발자들은 무료 미디어 애플리케이션이 스파이웨어 (spyware), 침해적인 트래킹 SDK (tracking SDKs), 또는 백그라운드 자격 증명 수집기 (background credentials harvesters)를 비밀리에 포함하고 있는지에 대해 자주 우려를 표명합니다. 본 연구는 NetMirror의 정확한 코드, 매니페스트 선언 (manifest declarations), 네이티브 라이브러리 (native libraries), 그리고 네트워크 엔드포인트 (network endpoints)를 분석하여 타협 없는 투명하고 기술적으로 엄격한 공개 보안 백서 (security white paper)를 제공하기 위해 시작되었습니다.

1.2 목적 및 목표 (Purpose & Objectives)

본 보안 연구 보고서의 주요 목표는 NetMirror (버전 3.1, 패키지 app.netmirror.nmv2)의 디컴파일된 애플리케이션 패키지 (APK)를 감사하고, 증거에 기반한 보안 태세 (security posture)를 확립하는 것입니다. 구체적으로, 본 연구는 다음을 목표로 합니다:

● 애플리케이션이 요청하는 모든 권한 (permission)을 검증하고, 해당 권한이 소스 코드 내에서 실제로 사용되는지 여부를 결정합니다.

● 기기 식별자 (device identifiers), 전화 통신사 메트릭 (telephony carrier metrics), 클립보드 브리지 (clipboard bridges), 그리고 시스템 설정 (system settings)을 포함한 모든 민감한 데이터 액세스 경로를 감사합니다.

● 정적 네트워크 구성 (static network configurations), 평문 트래픽 허용 (cleartext traffic allowances), 그리고 하드코딩된 외부 도메인 문자열 (hardcoded external domain strings)을 조사합니다.

● React Native 및 Hermes JavaScript 바이트코드 런타임 (bytecode runtime)을 해체하여 숨겨진 백그라운드 지속성 (background persistence) 또는 검증되지 않은 원격 코드 실행 (RCE) 여부를 확인합니다.

● 확인됨 (Confirmed) 사실, 가능성 높음 (Likely) 아키텍처 추론, 그리고 찾지 못함 (Not Found) 기능 사이의 명확한 구분을 제공합니다.

1.3 범위 및 대상 (Scope & Audience)

본 연구의 범위는 공식 NetMirror Android 애플리케이션 APK (디컴파일러 도구를 통해 분석된 MD5/SHA jar 아카이브)의 정적 리버스 엔지니어링 (static reverse engineering) 및 구조적 코드 분석으로 엄격히 제한됩니다. 대상 독자는 다음과 같습니다:

● 일반 Android 사용자 (Everyday Android Users): 앱이 스마트폰에서 무엇을 접근할 수 있고 무엇을 할 수 없는지에 대한 쉬운 영어 설명을 찾는 사용자.

● Android 앱 개발자 (Android App Developers): React Native 보안, 매니페스트 강화 (manifest hardening), 그리고 권한 범위 지정 (permission scoping)의 모범 사례를 찾는 개발자.

● 보안 연구원 및 악성코드 분석가 (Security Researchers & Malware Analysts): 정확한 클래스 경로 (class paths), smali 참조, 그리고 네이티브 공유 라이브러리 (native shared library) 구조 검증이 필요한 전문가.

1.4 윤리, 책임 있는 공개 및 한계 (Ethics, Responsible Disclosure & Limitations)

본 분석은 전문적인 윤리적 보안 연구 가이드라인을 준수하여 수행되었습니다. 공격적인 공격, 승인되지 않은 서버 침입, 또는 저작권 침해 평가는 수행되지 않았습니다. 모든 결과는 공개적으로 배포된 소프트웨어의 클라이언트 측 정적 분석 (static analysis)을 통해 도출되었습니다. 정적 분석의 한계는 Hermes로 컴파일된 JavaScript 바이트코드 (bytecode)를 전문적인 바이트코드 역어셈블 (bytecode disassembly) 없이는 가공되지 않은 일반 텍스트 ASCII로 읽을 수 없다는 점입니다. 따라서 문자열 추출 기술을 Java Native Interface (JNI) 브리지 검사와 결합하여 사용하였습니다.

섹션 2: NetMirror 소개 (SECTION 2: ABOUT NETMIRROR)

2.1 애플리케이션 배경 및 대상 사용자 (Application Background & Target Users)

2.2 기술 스택: React Native 및 Hermes 엔진 (Technology Stack: React Native & Hermes Engine)

NetMirror는 Meta (Facebook)에서 제작한 오픈 소스 모바일 애플리케이션 프레임워크인 React Native를 사용하여 구축되었습니다. 개발자들은 UI를 완전히 네이티브 Java 또는 Kotlin으로 작성하는 대신, 비즈니스 로직을 JavaScript/TypeScript로 작성하고 이를 index.android.bundle이라는 이름의 고성능 바이트코드 자산으로 컴파일했습니다.

이 번들을 실행하기 위해 NetMirror는 **Hermes JavaScript 엔진 (libhermes.so)**을 통합합니다. Hermes는 Android에서 React Native 앱을 실행하는 데 최적화된 오픈 소스 JavaScript 엔진입니다. 이는 JavaScript를 바이트코드로 사전 컴파일 (ahead-of-time (AOT) compilation)하여 메모리 사용량을 줄이고, 앱 실행 지연 시간 (latency)을 단축하며, APK 다운로드 크기를 축소합니다.

섹션 3: 연구 방법론 (RESEARCH METHODOLOGY)

3.1 역컴파일 및 정적 분석 워크플로우 (Decompilation & Static Analysis Workflow)

주요 기기에서 잠재적으로 신뢰할 수 없는 코드를 실행하지 않고 종합적인 보안 감사 (security audit)를 수행하기 위해, [Decompiler APK Analysis Archive]를 통해 확보한 역컴파일 아카이브를 사용하여 정적 리버스 엔지니어링 (static reverse engineering)을 수행했습니다. 구조적 파이프라인은 다음과 같이 구성되었습니다:

1. 매니페스트 및 메타데이터 파싱 (Manifest & Metadata Parsing): resources/AndroidManifest.xml에서 정확한 권한 (permissions), 액티비티 (activities), 프로바이더 (providers), 리시버 (receivers) 및 SDK 타겟 파라미터를 추출합니다.

2. Java/Kotlin 역컴파일 검토 (Java/Kotlin Decompilation Review): sources/ 하위의 역컴파일된 클래스 파일 (class files)을 분석하며, 패턴 매칭 (pattern matching)을 사용하여 권한 확인 (permission checks), JNI 브리지 래퍼 (JNI bridge wrappers) 및 네이티브 메서드 바인딩 (native method bindings)을 추적합니다.

3. Hermes 바이트코드 문자열 추출 (Hermes Bytecode String Extraction): resources/assets/index.android.bundle 전체에서 출력 가능한 ASCII 문자열 추출 (최소 길이 4)을 적용하여 하드코딩된 URL, 제3자 모듈 이름 및 에러 문자열을 열거합니다.

4. 네이티브 라이브러리 (.so) 구조적 매핑 (Native Library (.so) Structural Mapping): ARM64-v8a, ARMEABI-v7a, x86 및 x86_64 아키텍처 전반에 걸친 모든 공유 객체 (shared object) 바이너리를 카탈로그화합니다.

3.2 멀티 LLM 삼각 측량을 이용한 교차 검증 (Cross-Validation Using Multi-LLM Triangulation)

단일 분석가의 편향을 제거하고 환각된(hallucinated) 보안 주장을 방지하기 위해, 세 개의 독립적인 AI 연구 보조 도구인 ChatGPT (GPT-5 Mini), Claude AI, 그리고 GitHub Copilot CLI에게 동일한 파일 트리와 소스 코드 스니펫(snippet)을 분석하도록 과제를 부여했습니다. 왜 여러 AI 시스템을 사용하는 것이 신뢰도를 높일까요? 각 LLM은 서로 다른 토큰화(tokenization) 및 패턴 인식 가중치(pattern-recognition weighting)를 사용합니다. 세 모델 모두가 독립적으로 특정 메서드 시그니처(예: SystemSetting.java 내의 Settings.System.putInt)를 지적할 경우, 해당 발견에 대한 신뢰도는 거의 절대적인 확신 수준으로 높아집니다. 그러나 AI 시스템은 프레임워크의 상용구(boilerplate) 코드를 오해할 수 있습니다. 따라서 플래그가 지정된 모든 라인은 본 보고서에서 **확인됨 (Confirmed)**으로 지정되기 전에 소스 파일과 대조하여 수동 검증 (manually verified) 과정을 거쳤습니다.

섹션 4: 안드로이드 보안 기초 (ANDROID SECURITY BASICS)

안드로이드에 대한 사전 지식이 없는 독자들이 이 보안 연구를 쉽게 이해할 수 있도록, 이 섹션에서는 본 백서 전체에서 언급되는 기본적인 사이버 보안 개념을 설명합니다.

● 안드로이드 권한 (Android Permissions - 일반 vs 위험): 안드로이드는 앱 권한을 계층별로 나눕니다. 일반 권한 (Normal permissions) (예: INTERNET)은 사용자 개인정보에 미치는 위험이 거의 없기 때문에 설치 시 자동으로 부여됩니다. 위험 권한 (Dangerous permissions) (예: 카메라, 연락처, SMS, 정밀 위치)은 민감한 사용자 데이터에 대한 접근 권한을 부여하며, 반드시 런타임 팝업 대화 상자를 통해 사용자의 명시적인 승인을 받아야 합니다.

● 매니페스트 권한 (Manifest Permissions): 모든 안드로이드 앱은 반드시 AndroidManifest.xml 파일을 포함해야 합니다. 만약 특정 권한이 이 파일에 선언되어 있지 않다면, 앱 내부에 어떤 코드가 작성되어 있더라도 안드로이드 운영체제는 해당 기능을 사용하는 것을 물리적으로 차단합니다.

● 포그라운드 vs 백그라운드 실행 (Foreground vs. Background Execution): 포그라운드(foreground) 앱은 화면에 열려 있고 보이는 상태입니다. 백그라운드(background) 앱은 무대 뒤에서 조용히 실행됩니다. 안드로이드 10 이상 버전은 백그라운드 앱이 할 수 있는 동작을 엄격하게 제한합니다 (예: 백그라운드 앱은 클립보드를 읽거나 몰래 위치 정보에 접근할 수 없습니다).

● Android ID (Settings.Secure.ANDROID_ID): 사용자가 기기를 설정할 때 생성되는 64비트 16진수 문자열입니다. Android 8.0 (Oreo) 이상 버전부터 이 ID는 애플리케이션 패키지 및 서명 키(signing key)별로 범위가 제한(scoped)됩니다. 이는 NetMirror가 동일한 스마트폰에 설치된 다른 앱들과는 완전히 다른 Android ID를 보게 된다는 것을 의미합니다.

● WRITE_SETTINGS: 앱이 전역 시스템 설정(디스플레이 밝기, 화면 자동 꺼짐 시간 또는 시스템 벨소리 등)을 수정할 수 있도록 허용하는 특수 시스템 권한입니다. 사용자가 특수 시스템 메뉴에서 토글(toggle) 액세스를 허용해야 합니다.

● HTTP vs. HTTPS & Certificate Pinning (인증서 피닝): HTTP는 데이터를 평문(plain text)으로 전송하므로, 동일한 Wi-Fi 네트워크에 있는 누구나 데이터를 가로챌 수 있습니다. HTTPS는 SSL/TLS를 사용하여 데이터를 암호화합니다. _Certificate Pinning (인증서 피닝)_은 앱이 특정 암호화 인증서만을 신뢰하도록 하는 고급 보안 강화 기술로, 공격자가 신뢰할 수 있는 루트 CA(root CA)를 설치하더라도 트래픽을 가로채는 것을 방지합니다.

● WebView: Chrome을 열지 않고도 웹 페이지나 HTML/JS 인터페이스를 렌더링할 수 있는 앱 내부의 임베디드 웹 브라우저 구성 요소입니다.

● JNI (Java Native Interface) & Native Libraries (.so): Android 앱은 일반적으로 Java/Kotlin으로 작성됩니다. JNI를 통해 앱은 공유 객체 (.so) 파일로 알려진 머신 코드 바이너리로 컴파일된 C/C++ 코드를 실행할 수 있습니다.

섹션 5: 상세 애플리케이션 분석

NetMirror의 resources/AndroidManifest.xml에 선언된 모든 권한은 운영상의 필요성과 위험 등급을 확립하기 위해 역컴파일된 소스 코드와 대조하여 개별적으로 감사되었습니다.

5.1 심층 분석: WRITE_SETTINGS가 존재하는 이유 및 보호 방식