1. 카카오톡 게임으로 사칭한 안드로이드 파이앱 등장

 

잉카인터넷 대응팀은 2013년 03월 4일 구글 플레이 공식마켓에서 한국 스마트폰 이용자들을 대상으로 하여 은밀하게 악성앱이 다수 전파 중인 정황을 포착하였다. 특히, 스마트폰 이용자들에게 널려 알려져 있고, 이용자가 많은 카카오톡 게임인 "애니팡", "윈드러너:진화의 시작", "터치파이터" 등의 아이콘으로 위장하여 이용자들을 현혹시키고 있다. "윈드러너:진화의 시작"으로 위장한 경우는 구글 플레이 마켓에는 "터치파이터" 내용으로 보여지지만, 설치가 완료되면 "윈드러너:진화의 시작" 아이콘으로 설치된다. 

제작자는 대만 계정의 hotmail.com 이메일을 사용하고 있으며, 국내 안드로이드 기반의 스마트폰 이용자들의 정보수집 목적으로 악성앱을 2013년 2월 2일 경부터 3월까지 꾸준히 유포 중에 있다. 또한, 잉카인터넷 대응팀이 추적한 결과 악성앱 제작자는 스마트뱅킹용 피싱기반의 악성앱도 제작하여 유포 중에 있었고, 마치 국내 유명 금융사이트의 스마트뱅킹 앱처럼 조작한 경우도 발견된 상태이다. 해당 악성앱은 인터넷뱅킹 이용자들이 주로 사용하는 개인 금융정보 입력을 과도하게 유도하여 불법적으로 탈취를 시도하고 있다.

[주의]모바일 청첩장으로 위장한 안드로이드 악성앱 등장
http://erteam.nprotect.com/398

[긴급]국내 스마트폰 이용자의 SMS 등 개인정보 전문 탈취형 스파이앱
http://erteam.nprotect.com/394

[긴급]안드로이드 스마트폰 이용자를 겨냥한 스파이앱 표적공격 증가
http://erteam.nprotect.com/395

2. 구글 플레이 공식마켓도 악성앱에 100% 안전하지 않다?

카카오톡 게임으로 위장한 악성앱은 구글 플레이 공식마켓을 통해서 다음과 같이 유포 중에 있다. 특이하게도 "터치파이터"의 경우 설치과정에서는 "윈드러너:진화의 시작" 아이콘으로 변경되고, "캔디팡"의 경우 "애니팡" 아이콘으로 설치된다. 구글 공식마켓에서도 악성앱이 배포될 수 있다는 점도 충분히 유념해야 할 것으로 보인다.

잉카인터넷 대응팀은 한국인터넷진흥원(KISA)에 구글 플레이 마켓에 등록된 악성앱들에 대한 정보를 제공하였고, 신속한 차단 및 공조협조를 요청한 상태이다.

스마트뱅킹용 피싱앱도 스미싱 기법으로 다수 유포 중에 있다.

보험금 미납금명세서조회 http://********.com

고객님!이번달 보험료미환급금조회 http://www.********.com

국민연금 미납되었으니 확인바람. 국민연금콜센터 1355 http://tinyurl.com/********

고객님 이번달 보험료 미환급금 조회
http://tinyurl.com/****** 한국 사이버결제 5만원


각각의 악성앱은 "애니팡", "윈드러너:진화의 시작" 아이콘처럼 위장되어 설치 시도가 진행되며, 설치권한은 두개 모두 다음과 같이 동일하다.


구글 플레이 공식마켓을 통해서 설치할 때는 다음과 같이 설치권한에 대한 자세한 설명도 별도로 볼 수 있다.

해당 악성앱은 사용자 스마트폰의 문자메시지(SMS)와 전화번호 날짜와 수신시간 등의 정보를 수집하여 특정 호스트로 유출을 시도한다. 해당 호스트 정보는 APK 내부의 "assets" 폴더에 포함되어 있는 "url.txt" 파일에 의해서 결정되는데, 이는 공격자로 하여금 호스트 서버가 차단되면 좀더 편리하게 변종을 제작해서 유포할 수 있는 환경을 만들어 놓기 위한 것으로 보여진다. 호스트 서버가 차단되면 악성앱 제작자는 "url.txt" 파일의 호스트 IP주소 정보만 변경해서 손쉽고 자유롭게 변종을 제작 유포할 수 있기 때문이다.

확인된 IP주소와 도메인은 다음과 같다.

- http://110.34.133.139
- http://110.34.133.140
- http://110.34.229.124:8081
- http://www.anipang2.com/aaa.php
- http://110.34.175.91/
- http://110.34.229.114:8081

또한, 악성앱 제작자는 게임으로 위장하여 스마트폰 문자메시지(SMS) 탈취형 스파이앱 뿐만 아니라 스마트뱅킹 이용자들을 겨냥한 피싱앱 등 총 6가지의 악성앱을 동시에 제작하여 유포한 정황도 확인된 상태이다.

다음은 마치 유명 카카오톡 게임과 국내 유명 스마트뱅킹 앱처럼 위장하여 설치된 화면이다. 아래 화면은 실제 정상적인 아이콘을 가지고 있지만 모두 정상앱으로 사칭한 악성앱들이다.

"SmsProctect" 이름의 악성앱의 경우는 NPKI 공인인증서 폴더와 "/sdcard/DCIM/Camera" 경로의 ".jpg" 파일을 확인하여 외부로 유출을 시도하는 기능도 보유하고 있다. 스마트폰에 보관중인 공인인증서와 사진파일(보안카드) 등이 외부로 노출될 위험이 있다.



이번에 발견된 안드로이드 스마트뱅킹 피싱앱은 스마트폰 단말기 상에서 웹 사이트 주소가 보여지지 않도록 조작한 것이 특징이며, 기존에 발견되었던 스마트뱅킹 피싱앱과 다르게 스마트 단말기에 최적화되도록 디자인되었다.

[주의]국내 스마트 뱅킹 이용자를 노린 피싱용 안드로이드 악성앱 등장
http://erteam.nprotect.com/378


스마트뱅킹 피싱앱은 마치 정상적인 금융보안 서비스 신청 내용처럼 위장하여 이용자로 하여금 과도하게 개인금융정보를 입력하도록 피싱을 유도한다. 특히 보안카드의 모든 비밀번호가 입력되면 실제 정상적인 금융 웹 사이트로 연결하여 사용자를 속이게 된다.


3. 마무리

대부분의 안드로이드 성앱은 사용자들이 육안상으로 쉽게 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 앱으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 앱이 오동작을 일으킨것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이 부분에 쉽게 현혹될 수 있다.

점차적으로 유포 및 감염에 있어 지능화 되어 가는 악성 애플리케이션들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 문자메시지로 받은 쿠폰이나 이벤트, 특정 앱으로 소개하는 인터넷 주소로 악성앱이 배포되는 경우가 많으므로, 추가 앱이 설치되지 않도록 각별히 주의한다.

4. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

5. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

6. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

7. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

8. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

9. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

10. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같이 진단/치료 기능을 제공하고 있으며, 보안 위협에 대비하여 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ nProtect Mobile for Android 탐지 진단명

- Trojan/Android.KRBanker.A
- Trojan/Android.KRBanker.B
- Trojan/Android.KRBanker.C 외 변종 다수 존재

◈ nProtect Mobile for Android 다운로드 URL
https://play.google.com/store/apps/details?id=com.inca.nprotect

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 국내 안드로이드 보안위협 신호탄


2012년 10월 26일 한국내 안드로이드 스마트폰 이용자를 직접적으로 겨냥한 안드로이드 악성파일이 구글 플레이 마켓에서 배포되고 있던 정황이 공식적으로 처음 확인되었다. 이 내용은 스마트폰 정보보호 민관합동 대응반을 통해서 신속하게 정보공유가 진행되었고, 유관기관들과 긴밀한 긴급대응이 진행되었다. 이번에 발견된 안드로이드 악성파일은 한글 소개서비스는 물론 대담하게도 정부기관을 사칭하여 설치를 유도했다는 점에서 더 큰 충격을 주고 있다. 이에 잉카인터넷 대응팀은 확보된 안드로이드 악성파일에 대해서 nProtect Mobile for Android 제품에 [Trojan-SMS/Android.KRSpammer]라는 대표 진단명으로 변종 탐지 및 치료기능을 긴급 업데이트한 상태이고 유사변종 출현 및 이상징후에 예의주시를 하고 있다.
 

해당 안드로이드 악성파일은 마치 스팸(Spam) 및 금융권 피싱 등을 차단하는 용도의 안드로이드 보안 애플리케이션처럼 위장하였으며, 개발자는 STech 이라는 필명을 사용하여 ▶Spam Guard, ▶Spam Blocker, ▶Stop Phishing!! 이라는 3가지 종류의 앱을 구글 플레이 마켓에 등록해 둔 상태이다. 특히, 코드 내부에는 국내 이통사와 보안업체 아이콘을 포함하고 있어, 처음부터 의도적으로 국내 이용자를 노려 제작된 것으로 추정된다.

※ <참고>스마트폰 정보보호 민관합동 대응반
방송통신위원회와 한국인터넷진흥원(KISA)이 스마트폰 보안위협의 신속한 정보공유와 선제적인 대응협력 체제 구축을 위하여 보안업체, 이동통신사, 단말기 제조사 등의 실무진들이 함께 참여하는 민관 스마트폰 정보보호 협력구성 특별 조직체이다.

2. 안드로이드 악성파일 정보

[정보]강남스타일로 위장한 안드로이드 악성 앱 발견 주의!
http://erteam.nprotect.com/348

[주의]안드로이드 기반 악성파일 국내 자료실에서 배포
http://erteam.nprotect.com/239

[안내]안드로이드 악성 앱 자동 탐지 & 분석 시스템 개발
http://erteam.nprotect.com/227

안드로이드 악성파일은 방송통신위원회(방통위)를 사칭해 마치 (스팸문자 차단 애플리케이션)처럼 위장된 내용과 단축 URL링크 주소를 클릭하도록 유도하는 형태로 배포되었고, 연결된 링크는 STECH 이라는 개발자가 등록한 구글 플레이(Google play) 마켓으로 연결된다. 구글 플레이 마켓에는 Spam Guard, Spam Blocker, Stop Phishing!! 등 3가지가 등록되어 있다.



특히, Spam Guard 프로그램의 경우 우리나라 태극기 이미지를 이용하여 프로그램 아이콘에 사용하였고, 최근까지도 국내에서 매우 극성을 부리고 있는 금융권 사칭 피싱과 스팸문자 피해를 필터링할 수 있는 프로그램처럼 소개를 하고 있어, 국내 상황을 익히 잘 알고 있는 사람이나 조직의 소행으로 어느정도 추정이 가능하다.



안드로이드 악성파일 내부에는 다음과 같은 다양한 아이콘 리소스 이미지를 포함하고 있는데, 이중에는 국내 유명 보안업체와 이동통신사 등의 아이콘을 포함하고 있어 제작자는 여러형태로 위장된 내용을 이용하려 했던 것으로 보인다.


위에서 언급된 3가지 악성 애플리케이션(Spam Guard, Spam Blocker, Stop Phishing!!)은 모두 동일한 정보에 대한 외부 유출 시도를 하며, 큰틀에서 악성 동작과 관련한 코드는 대부분 동일하다.

※ 전체 악성 동작

☞ 특정 외부 사이트로 단말기 및 SMS 정보 유출

※ 전체 유출 정보

☞ 감염된 스마트폰의 전화번호
☞ 감염된 스마트폰의 망사업자명(통신사명)
☞ 특정 번호에서 발신된 SMS


또한, 3가지 악성 애플리케이션 모두 아래와 같이 동일한 권한을 필요로 하고 있다.


해당 악성 애플리케이션들은 내부에 아래와 같은 3가지의 리시버를 등록하고 있으며, 해당 리시버의 동작을 통해서 악의적인 기능이 수행된다.

※ 등록된 리시버

☞ SMSService
 - SMS, MMS 수신시 동작한다.
 - 내부에 정의된 특정번호로 SMS가 수신될 경우 해당 정보에 대한 유출을 시도한다.

☞ RebootService
 - 재부팅시 동작한다.
 - 재부팅되면 메인액티비티를 실행하여 해당 애플리케이션이 동작하도록 한다.

☞ KeepAlive
 - 애플리케이션 실행 시 알람메니저를 통한 리시버 호출로 동작한다.
 - 지속적으로 인텐트를 수신받아 외부 특정 서버와의 통신 및 특정 정보 유출을 시도한다.


또한, 해당 악성 애플리케이션은 아래의 그림과 같이 리시버에 대한 우선순위를 설정하여, 다른 애플리케이션의 리시버보다 우선적으로 동작할 수 있도록 설정하고 있다. (BINARY_INTEGER 최대값 2147483647로 설정)


악성 애플리케이션이 실행되면 아래의 그림과 같이 한글로 사용문구가 표기된 메인 액티비티가 출력되지만, 실제로 스팸차단 기능은 전혀 포함하지 않고 있으며, 오직 스마트폰 이용자의 전화번호, 통신사 정보, 특정 번호에서 수신된 SMS 내용 등이 미국의 IP 주소로 전송 시도 되고 있다.


해당 악성 애플리케이션은 실행과 동시에 아래의 일부코드를 통해 특정 외부 사이트로 전화번호, 망사업자명 등의 정보를 유출 시도하며, KeepAlive 리시버를 통해 기능이 수행된다.


또한, 아래의 SMSService 리시버 일부 코드를 통해 수신되는 SMS에 대한 감시 후 내부에 저장된 특정 번호와 발신 번호가 동일할 경우 외부 사이트로 해당 SMS에 대한 내용을 유출 시도하게 된다.

 

※ 내부에 등록된 감시용 발신번호

15445553, 15448881, 15660020, 15663355, 15663357, 15665701, 15771006, 15880184, 15883610, 15885188, 15990110, 15991552, 15997474, 16000523, 16001522, 16001705, 16008870, 16441006, 16443333


해당 전화번호들은 휴대폰 소액결제 전문업체, 인터넷 쇼핑몰, 온라인 게임업체, 온라인 게임아이템 거래업체 등의 번호로 사용자에게 수신된 결제 내역이나 중요정보 등이 무단유출되는 피해를 입을 수 있다.


구글 플레이 마켓에서 발견된 3가지 악성 애플리케이션은 종류에 따라서 사용되는 IP주소가 각기 조금씩 다르고, 현재는 한국인터넷진흥원(KISA)에 의해서 모두 차단이 된 상태이다.

☞ 50.18.59.8 (Spam Blocker)
☞ 54. 243.187.198 (Stop Phishing!)
☞ 50.18.59.185 (Spam Guard)

정보가 유출 시도 되는 IP는 아래의 그림과 같이 미국에 소재하고 있다.


3. 안드로이드 악성파일 보안대비

그동안 해외(중국, 러시아 등) 이용자를 노린 안드로이드 악성파일은 매우 다양하고 많은 변종형태가 발견되어 보고된 바 있지만, 처음부터 의도적으로 국내 안드로이드 스마트폰 이용자를 주요 표적으로 제작된 악성파일 형태가 발견된 것은 공식적으로 처음이다.

이는 국내 스마트폰 이용자를 겨냥한 보안위협의 신호탄이라 할 수 있으며, 앞으로 다양한 형태의 보안위협으로 진화될 수 있을 것으로 예상된다. 따라서 이용자들은 스마트폰용 보안제품을 설치하여 정기적으로 업데이트 및 검사를 수행하도록 하는 노력이 중요하며, 의심스러운 애플리케이션이 발견되면 정부 및 보안업체 등에 신속히 신고하고 상담을 받는 것도 중요하겠다.

잉카인터넷 대응팀은 이번에 발견된 악성파일 3종을 nProtect Mobile for Android 제품에 Trojan-SMS/Android.KRSpammer.A, Trojan-SMS/Android.KRSpammer.B, Trojan-SMS/Android.KRSpammer.C 로 긴급업데이트를 완료한 상태이다.

또한, 일반 사용자들의 경우 백그라운드 상태에서 동작하는 악성 애플리케이션을 육안으로 식별해 내기란 매우 어려울 수 있다. 때문에 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 주의와 노력이 안전한 스마트폰 사용을 위한 최선의 방법이라 할 수 있을 것이다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같이 진단/치료 기능을 제공하고 있으며, 보안 위협에 대비하여 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect