1. 채팅을 통한 신체노출 유도와 악성앱 그리고 협박 종결자

 

잉카인터넷 대응팀은 안드로이드 스마트폰용 무작위 채팅 서비스 앱들을 통해서 음란한 문구나 자극적 화면으로 불특정 채팅 이용자들을 현혹시켜 유도한 후 안드로이드 악성앱을 몰래 감염시켜 개인정보를 탈취하는 신종 협박형 사기정황을 포착하여 내사를 진행 중에 있었고, 최근 실제 피해자로 부터 구체적인 수법을 제보받았다. 협박범들은 스마트폰 랜덤 채팅앱 등에서 여성으로 위장하여 불특정 남성들에게 음란한 광고성 글로 이용자들에게 미끼를 던진 후, 연결된 남성에게 "본격적으로 좀더 과감하게 음란한 채팅을 하자"고 유인한다. 이때 컴퓨터와 스마트폰간에 통화가 가능한 스카이프(Skype) 설치를 통해서 영상채팅을 하도록 유도하며, 남성의 얼굴과 성적으로 민감한 주요 신체부위 등을 노출하도록 만든 후 동영상으로 몰래 녹화를 하여 피해자의 영상을 확보하게 된다. 

그런 후 음성이나 화면이 잘 나오지 않는 것 같다는 핑계로 특정 채팅앱을 설치하도록 유도하는데, 이 앱을 자체 분석한 결과 스마트폰에 저장되어 있는 개인정보를 수집하여 특정 서버로 은밀히 유출시키는 악성앱(Trojan/Android.KRFakeChat.A)으로 판명되었다. 범죄자들은 악성앱을 통해 확보한 개인정보로 피해자 주변 지인들에게 노출 동영상을 공개하겠다고 협박하고, 고액의 금품을 요구하게 되는 신종 범죄수법이다. 이러한 모바일 협박사기가 급증하고 있으므로 안드로이드 스마트폰 이용자들의 각별한 주의가 요망된다.



2. 내 모습이 담긴 음란 동영상을 유출하겠다고? 모바일 범죄의 재구성

채팅앱으로 위장한 악성앱(Trojan/Android.KRFakeChat.A)은 스마트폰 단말기에서 이용자 전화번호, 전화번호부 연락처 목록, 모든 이메일 계정정보, 스마트폰 단말기 정보(브랜드, 통신사, 모델, 사양) 등을 몰래 수집하여 해외의 특정 호스트로 유출시도한다.

범죄자들은 불법적으로 탈취한 정보를 이용해서 신체노출 녹화 동영상을 주변 지인들의 전화번호로 공개하겠다는 내용으로 공갈과 협박을 시작하며, 내용을 공개하지 않는 댓가로 10~100만원(이상) 상당의 금품을 요구하게 된다. 

[주의]스마트 뱅킹 이용자를 노린 표적형 스미싱 사기의 역습
http://erteam.nprotect.com/418

[주의]대한민국 경찰청 앱으로 사칭한 도청가능 안드로이드 악성앱 등장
http://erteam.nprotect.com/417

[주의]모바일 청첩장 사칭 스미싱과 소액결제사기 범죄 기승
http://erteam.nprotect.com/414

[출시]소액결제사기 등 스미싱 원천차단방지 솔루션 "뭐야 이 문자"
http://erteam.nprotect.com/400

[주의]한국 모바일 보안 프로그램으로 위장한 스미싱 기승

http://erteam.nprotect.com/409

[주의]11번가, 아웃백, 신세계몰, G마켓, 모빌리언스, 다날로 위장한 스미싱
http://erteam.nprotect.com/404

[긴급]한국 맞춤형 소액결제 과금형 안드로이드 악성앱 피해 급증
http://erteam.nprotect.com/377

협박과 회유에 못 이겨 입금을 하더라도 범죄자들은 협박을 멈추지 않고 계속 집요하게 추가적인 금액을 요구하고 갈취를 시도하게 되므로, 피해자들은 절대로 범죄자들의 요구에 응하거나 입금을 하지 않는 것이 중요하다. 우선 피해자들은 감염되어 있는 악성앱을 nProtect Mobile for Android 제품으로 검사/치료하고, 사용중인 이메일 계정의 암호 등을 모두 변경조치한다. 그리고 범죄자들이 공개한 대포통장 계좌번호와 노출된 각종정보 등을 가까운 경찰서에 신고하는 것이 급선무이다. 또한, 문자메시지로 악의적인 악성앱을 설치하도록 유도할 수 있으므로, 스미싱 원천 차단솔루션 등을 통해서 사전예방하는 것이 중요하다.

다음은 국내 안드로이드 앱으로 서비스 중인 실제 랜덤 무료채팅 앱 중 하나로 음란한 광고성 글이 쉴새없이 등록되는 것을 볼 수 있다. 이러한 음란 광고성 글에 현혹되어 특정 사이트나 모바일 메신저 등으로 접근할 경우 각종 사기범죄와 악성앱에 노출될 수 있다는 점을 명심해야 한다. 또한, 이런 앱을 개발제작하는 업체는 특별한 가입조건없이 무분별하게 사용할 수 없도록 본인 인증절차를 강화하고, 광고성 글이 반복적으로 등록되지 않도록 지속적인 관리감독의 역할과 책임을 수행할 수 있어야 한다.


무료 채팅앱을 통해서 연결이 되면, 스카이프(Skype)를 통해서 음란 화상채팅을 하자고 제의하며, 스마트폰 카메라를 통해서 음란행위와 신체부위 등을 노출하도록 만든다.

스카이프(Skype)로 연결이 되면 아래와 같이 화상채팅과 대화를 이어가지만, 음성지원이 안된다거나 화질이 떨어진다거나 하는 등의 거짓 이유로 별도의 앱을 통해서 채팅하자고 유도한다. 그러면서 특정 블로그나 웹 사이트에 등록되어 있는 악성앱을 설치하도록 유인하게 된다.

범죄자 아이디 : 민아 * (일부 모자이크 처리)
피해자 아이디 : 나


범죄자가 유도하는 국내 포털사이트의 특정 블로그로 들어가면 안드로이드 악성앱을 설치할 수 있도록 만들어져 있으며, 이 악성앱은 제작자의 서버에도 등록되어 있는 상태이다.


악성앱(Trojan/Android.KRFakeChat.A)은 아래와 같은 아이콘으로 설치되고, 실행되면 마치 정상적인 채팅 프로그램처럼 이미지를 보여주지만, 채팅 기능은 전혀 보유하고 있지 않으며, 단말기에 포함되어 있는 개인정보를 수집하여 외부로 유출을 시도하게 된다.

 


악성앱(Trojan/Android.KRFakeChat.A)은 다음과 같이 스마트폰 이용자가 사용 중인 이메일 계정정보, 전화번호부 연락처 목록, 스마트폰 단말기 정보 등을 수집하여 해외의 특정 호스트로 유출시도한다.


개인정보를 확보한 범죄자는 해당 내용을 피해자에게 보여주면서, 동영상과 주변 지인들에게 유포를 하겠다는 식으로 협박을 하게 된다.



상기와 같이 계속해서 협박과 회유를 거듭하며, 거금을 특정 계좌로 입금하도록 요구하게 된다. 만약 이용자의 스마트폰 정보가 범죄자에게 유출되지 않았다면 이러한 공갈 협박을 받게되는 조건이 성립할 수 없다. 그러나 악성앱이 안드로이드 스마트폰에 감염 노출됨에 따라 범죄자가 피해자의 개인신상 정보를 이용해서 자유자재로 현금갈취를 요구할 수 있게 되는 것이다.

스미싱 기법의 사기가 기승을 부리고 있는 가운데, 스마트폰 채팅앱과 메신저 프로그램 등을 통한 신종 사기수법이 발생하고 있는 추세이다. 특히, 안드로이드 악성앱과 기능이 결합되면서 다양한 모바일 보안위협이 증가하고 있어 이용자들의 세심한 주의가 요구되고 있다.

이러한 사기와 범행에 노출되지 않기 위해서는 음란한 광고성 문구에 현혹되지 말아야 하며, 안드로이드 악성앱에 감염되지 않도록 공식적인 앱 마켓 외에서는 안드로이드 앱을 가급적 설치하지 않도록 하는 보안습관이 중요하다. 더불어 "nProtect Mobile for Android" 제품과 스미싱 원천 차단 솔루션인 "뭐야 이 문자" 등을 사전에 설치해 두면 악성앱과 스미싱을 예방하는데 도움을 받을수 있다.

"뭐야 이 문자" 무료 다운로드 URL (스미싱 원천 차단 기능제공)
https://play.google.com/store/apps/details?id=com.nprotect.antismishing

"nProtect Mobile for Android" 무료 다운로드 URL (악성앱 탐지 치료 기능제공)
https://play.google.com/store/apps/details?id=com.inca.nprotect

 


3. 스미싱 예방법 및 대응책

스미싱 악성앱은 지속적으로 변종이 발견되고 있으며, 이용자들은 스미싱 원천 차단제품인 "뭐야 이 문자" 와 nProtect Mobile for Android 제품을 이용해서 사전 탐지 및 치료가 가능하다. 더불어 설치된 직후 신속하게 삭제하면 피해를 최소화할 수 있지만, 피해를 사전에 예방하기 위해서 해당 이동통신사에 소액결제서비스 자체를 중단요청해 두는 것도 좋은 예방법이다.

안드로이드 기반 악성앱(APK)이 설치되었을 경우에는 신속하게 삭제조치하면 피해를 최소화할 수 있다. 다만, 설치 아이콘을 숨기는 경우나 정상앱처럼 리패키징하여 위장하는 경우, 추가 악성앱을 몰래 다운로드하여 설치하는 경우도 발견되고 있으므로, nProtect Mobile for Android 제품으로 전체검사를 수시로 수행해 보는 것이 좋다.

만약 단축 URL 주소를 포함한 의심스러운 문자메시지를 수신할 경우 해당 화면을 캡처하여 잉카인터넷 대응팀(erteam@inca.co.kr)으로 첨부해서 신고하면 악성 사기문자 여부를 분석하여 신속하게 결과를 통보해 주고있다.

점차적으로 유포 및 감염에 있어 지능화 되어 가는 안드로이드 악성 앱들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

01. nProtect Mobile for Android 모바일 백신을 최신엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

02. 안드로이드 앱 다운로드시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

03. 문자메시지(SMS)로 받은 쿠폰이나 이벤트, 특정 프로그램으로 소개하는 단축 URL 주소로 악성앱이 배포되는 경우가 많으므로, 추가 앱이 설치되지 않도록 각별히 주의한다.

04. 다운로드한 앱은 항상 nProtect Mobile for Android 제품으로 검사한 후 사용 및 설치 하도록 한다.

05. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

06. 발신처가 불분명한 SMS 등의 메시지, 이메일 등의 열람을 자제하고, 소액결제서비스를 이용하지 않는 경우 해당 이동통신사에 차단을 요청해 둔다.

07. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

08. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

09. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

10. 루팅 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

◆ nProtect Mobile for Android 탐지 한국 맞춤형 악성앱 대표 진단명

- Trojan/Android.KRSpammer
- Trojan/Android.KRSpyBot
- Trojan/Android.KRBanker
- Trojan/Android.KRDDoS
- Trojan/Android.KRFakeCop
- Trojan/Android.KRFakeChat

 


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 개 요


최근 해외를 중심으로 감염 증상 해결을 위해 금전적 요구를 하는 형태의 Ransomware가 지속적으로 등장하고 있어 일반 사용자들의 각별한 주의가 요망되고 있다. 일단 감염이 이루어지면 PC 사용 자체가 불가능해지며, 일정 금액을 지불해야만 해당 증상 해제를 위한 일종의 키값을 받을 수 있기 때문에 시간적, 물리적, 금전적 손실이 뒤따르게 된다. 이번 글을 통해 지속적으로 출현중인 Ransomware에 대해 살펴 본 후 혹시 있을지 모를 피해에 대비할 수 있도록 하자.

2. 감염 경로 및 증상

Ransomware는 취약점이 존재하는 특정 웹 사이트를 통해 유포될 수 있으며, 이메일의 첨부파일이나, 인스턴트 메신저 혹은 SNS(Social Network Services)등을 통해서도 유포가 가능하다.

어떠한 방법으로든 일단 감염이 이루어지면 아래의 그림과 같이 윈도우 창 자체에 일종의 "Lock"을 걸어 PC사용 자체를 불가능하게 한다.

위 그림을 살펴보면 앞서 설명했던 Ransomware의 주요 감염 증상인 금품 요구에 대한 부분을 확인할 수 있다. 또한, 재부팅을 진행해도 해당 "Lock" 증상은 사라지지 않는다.

3. 임시 대응 방법

그렇다면 이러한 악성파일에 감염될 경우 악성파일 제작자의 금품 요구를 따르던가 아니면 감염 PC에 대한 포멧 말고는 해결 방법이 없을까?

아래의 "수동 조치 방법"을 활용할 경우 임시적으로 수동 치료가 가능하니 참고할 수 있도록 하자.

  

◆ 수동 조치 방법

1) 윈도우를 재부팅하여 "F8" 키를 눌러 아래의 그림과 같은 화면으로 이동한 후 "안전 모드"를 선택해 계속해서 부팅 과정을 진행한다.

2) 윈도우 하단의 "시작" -> "실행" -> "regedit" 입력 후 "레지스트리 편집기"를 실행한다.

3) 아래의 경로에 존재하는 악성파일 레지스트리 정보를 삭제 한다.

  - 이   름 : [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
  - 데이터 : C:\Documents and Settings\(사용자 계정)\Application Data\Microsoft\explorer.exe

4) 아래의 경로로 이동하여 해당 악성파일을 삭제한다.

  - 경   로 : C:\Documents and Settings\%username%\Application Data\Microsoft
  - 파일명 : explorer.exe


5) 1~4번 항목을 모두 수행 한 후 재부팅을 진행하면 임시적인 수동치료는 모두 완료된다.

  

4. 예방 조치 방법

위와 같은 Ransomware는 금품 요구를 목적으로 PC사용 자체를 불가능하게 만들기 때문에 만일 기업체 등에서 감염될 경우 중요 데이터 손실 및 금전적 피해를 입을 수 있다.

또한, 해당 악성파일의 감염 특징상 사후조치가 어려우며 지속적인 변종 출현 가능성이 상당히 크기 때문에 사전 예방 조치가 반드시 선행되어야 한다. 아래와 같은 보안 관리 수칙을 준수해 해당 악성파일로부터 안전할 수 있게 대비하도록 하자.

◆ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용프로그램의 최신 보안패치 생활화 한다.

2. 신뢰할 수 있는 보안업체에서 제공하는 백신을 최신 엔진 및 패턴버전으로 업데이트해 실시간 감시 기능을 항상 "ON"상태로 유지하여 사용한다.

3. 인스턴트 메신저, SNS(Social Network Service) 등을 통한 링크 접속에 주의를 기울인다.

4. 발신처가 불분명한 이메일에 대한 열람과 첨부 파일의 다운로드를 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 이번에 발견된 Ransomware에 대해 아래의 그림과 같이 진단/치료 기능을 제공하고 있으며, 여러 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.



 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect