1. 불길한 징조, 잠복기를 유지하고 있는 모바일 DDoS 공격!


잉카인터넷 대응팀은 국내 안드로이드 기반의 스마트폰 이용자들에게 DDoS 공격기능을 탑재한 악성앱(KRDDoS)이 지속적으로 유포 중인 실체를 여러차례 최초 공개한 바 있으며, 여러가지 가능성을 열어두고 신중하게 추적 모니터링을 이어가고 있다. 지금도 베일 뒤에 숨어 있는 공격자는 모바일 DDoS 기능을 탑재한 악성앱을 국내 이용자들에게 은밀히 쉴세없이 전파시키고 있어 잠재적 모바일 보안위협은 점차 증가되고 있는 추세이다. 이러한 정황은 공격자가 치밀하게 공격을 사전모의하고 있는 것을 의미하며, 적정 이상의 좀비(Zombie) 스마트폰을 확보하기 위한 일련의 준비과정으로 예측된다. 현재까지 전 세계적으로 실제 모바일 DDoS 공격에 대한 공식적인 피해사례나 수법 등이 구체적으로 보고되진 않았기 때문에 상황의 심각성을 직접적으로 인식하기에는 여러모로 어려움이 있을 수 있다. 

하지만 공격자가 끊임없이 악성앱을 유포하고 있다는 그 이상징후만으로도 모바일 DDoS 공격에 대한 현실 가능성과 피해가능범위 등 철저한 사전 대비와 논의가 진행돼야 할 시점으로 보인다. 모바일 DDoS 공격의 수법과 피해는 최근까지 가상의 내용으로만 존재하고 있기 때문에 한국의 모바일 이용자 수와 초고속 무선 이동통신망의 환경적 특성을 염두에 두고 다각적인 대응 인프라를 고려하여 초기진압을 할 수 있어야 한다. 예측이 어려운 신규 보안위협은 항상 무방비 상태로 놓여 있을 수 밖에 없지만. 보안의 조건이라는 것은 단순 통과의례와 시행착오를 통한 대처보다도 사전준비를 통해 피해를 미연에 최소화하는데 많은 노력과 관심이 모아져야 한다.


- 모바일 DDoS 역습과 보안의 조건을 고민할 때!
- 사각지대에 놓인 모바일 DDoS 공격, 무방비로 두고 볼 것인가?
- 시기상조가 아닌 이미 잠복기를 통한 잠재적 위협으로 중시해야 할 때

스마트폰 겨냥한 악성파일, 보안업계 예의주시
http://www.etnews.com/news/special/2730348_1525.html

[정보보호]모바일 디도스 공격 확대 "안심할 수 없다"
http://www.etnews.com/news/computing/security/2730136_1477.html

잠재된 뇌관 `모바일 디도스` 폭발하나…스마트폰 겨냥 악성파일 확산
http://www.boan.com/news/articleView.html?idxno=7945

점점 짙어지는 '모바일 디도스' 그림자
http://news.inews24.com/php/news_view.php?g_serial=728546&g_menu=020200&rrf=nv

★혹시 이와 유사한 문자메시지를 수신할 경우 내용에 포함되어 있는 단축URL 주소를 클릭하여 앱을 설치하지 마시고, 해당 문자화면을 캡처하여 잉카인터넷 대응팀(erteam@inca.co.kr)으로 이미지를 첨부하여 제보해 주시면 분석 후에 신속하게 변종여부 등의 결과를 통보해 드리고 있습니다.

[#Update 2013. 02. 28]

2013년 02월 28일 오후 2시 35분 현재 이 시간 기존 국내 모바일 백신제품들에서 전혀 탐지되지 않는 새로운 변종 모바일 디도스 악성앱이 국내에 다수 유포 중에 있다. 잉카인터넷 대응팀은 nProtect Mobile for Android 제품을 통해서 Trojan/Android.KRDDoS.P 진단명으로 국내 최초로 탐지 및 치료 기능이 제공 중인 상태이다. 더불어 한국인터넷진흥원(KISA)에 해당 유포 사이트를 차단할 수 있도록 긴급 요청한 상태이다.

◈ nProtect Mobile for Android 다운로드 URL
https://play.google.com/store/apps/details?id=com.inca.nprotect

com.inca.nprotect_2.1.91.apk



이번에도 구글앱 엔진 서버를 이용했으며, 직접적으로 apk 파일을 링크하지 않고, 내부 자바스크립트 명령으로 설치되도록 구성한 점이 특징이다. 이는 문자메시지에서 apk 파일 링크를 차단할 수 있기 때문에 공격자가 점차 지능화된 방법으로 차단을 우회시키고 있다는 것을 알 수 있다.


[#Update 2013. 03. 04]

[공지사항]Android 2013년
제9주시스템 업데이트,다운로드
해주세요.http://i***.kr/****


[#Update 2013. 03. 06]

[긴급] 안드로이드전용 모바일
보안업데이트 링크클릭 http://goo.gl/*****


[#Update 2013. 03. 10]

Android 주시스템 업데이트,다운로드 해주세요. http://me2.do/********




2. 이동통신사(114) 발신번호로 위장하여 유포 중

모바일 DDoS 공격 기능을 탑재하고 있는 한국 맞춤형 안드로이드 악성파일(KRDDoS)이 꾸준히 국내 이용자들을 표적으로 유포되고 있다. 특히, 국내 유명 이동통신사 고객지원 전화번호인 114 대표번호로 발신자명을 조작하여 보내고 있기 때문에 이용자들은 정상적인 이통사 문자메시지(SMS)로 착각하여 악성앱에 노출되는 피해가 이어지고 있다.

아래는 실제 국내 이용자들에게 배포된 문자메시지로 114 번호로 위장하여 정상적인 문자메시지와 함께 보여지는 경우가 많아 이용자들은 실제 정상적인 문자메시지로 오인하고 있으며, 공격자는 의도적으로 끊임없이 악성앱을 전파시키고 있다.

발송되는 문자메시지 내용은 다음과 같고, 정상적인 문자와 함께 수신된 경우도 존재한다.

[긴급] 안드로이드전용 모바일 보안업데이트 링크클릭 http://goo.gl/**********


모바일 디도스용 악성파일 제작자는 그동안 여러가지 앱으로 위장하여 유포한 바 있는데, ▲구글코리아 신규서비스앱 ▲폰키퍼 ▲카카오 업데이트 등이 있고, 제작자는 ▲안드로이드 전용 모바일 보안업데이트 링크클릭 이라는 내용을 가장 오래 사용하고 있다.

 



[주의]안드로이드 전용 모바일 보안업데이트로 가장한 좀비폰 미끼
http://erteam.nprotect.com/387

[주의]이통사 고객지원번호(114), 카카오 내용으로 사칭한 안드로이드 악성파일 등장
http://erteam.nprotect.com/384

[주의]구글 코리아와 V3 제품으로 변장한 디도스용 모바일 위협
http://erteam.nprotect.com/382

[긴급]구글 코리아 신규서비스 사칭 DDoS 기능의 악성 안드로이드 앱 증가
http://erteam.nprotect.com/368

[주의]국내 스마트폰 이용자의 SMS 등 개인정보 전문 탈취형 스파이앱
http://erteam.nprotect.com/394

2013년 01월 23일 발견된 형태는 google 코리아 안드로이드 전용 모바일 보안 업데이트 링크 클릭이라는 문자내용과 해외의 단축 URL 서비스를 조합하여 안드로이드 악성파일을 설치하도록 유도하는 문자메시지 형태가 발견되었다. 공격자는  유포 서버의 IP주소가 차단돼면 계속해서 새로운 IP주소를 만들어서 악성 APK 파일을 전파시킨 바 있다.

잉카인터넷 대응팀이 확인한 공격자의 서버 IP주소는 다음과 같은데, 거의 동일한 대역폭을 사용하고 있다는 것을 알 수 있다.

- 103.21.208.160
- 103.21.208.162
- 103.21.208.164
- 103.21.210.215
- 103.21.210.219
- 103.21.210.220

IP 주소는 중국에서 사용하고 있으며, 할당된 IP 대역폭은 다음과 같다.

- 103.21.208.0 ~ 103.21.211.255


공격자는 국내 ISP망에서 접속이 차단돼면 지속적으로 IP주소를 변경하여 운영하였으며, 카카오 업데이트 위장한 변종부터는 IP 주소를 조금씩 변경하였다.

- 2013년 01월 21일 : 184.22.13.126
- 2013년 01월 25일 : 192.154.109.132
- 2013년 01월 27일 : 184.22.13.126
- 2013년 02월 03일 : 198.13.97.233
- 2013년 02월 05일 : 142.0.140.235

그 이후에는 구글의 앱 엔진(Google App Engine) 서비스를 통해서 모바일 DDoS 악성앱을 유포하고 있다. 현재까지 잉카인터넷 대응팀이 파악하고 있는 바에 의하면 모바일 DDoS 공격기능의 APK 파일은 2번의 구글 앱 엔진 도메인에서 유포되었고, 2013년 02월 09일과 02월 16일 동일한 주소이지만 다른 종류의 악성앱이 전파되었다.

구글 앱 엔진을 통해서 안드로이드 악성앱을 유포하면 실제 스마트폰을 통한 감염 통계자료 등을 대시보드로 활용할 수 있을 것으로 예상되고, 공격자는 디도스용 좀비 스마트폰의 감염현황 등을 조회하기 위한 목적으로 사용했거나 구글 공식 관련 앱처럼 위장하기 위한 목적으로 악용했을 가능성이 있어 보인다.

애플리케이션 설치과정에서는 Google Mobile 제목으로 아래와 같은 권한 내용을 보여주며, 마치 구글과 관련된 앱처럼 보이도록 위장한다.


[설치]가 완료되면 다음과 같이 마치 "AhnLab V3 Mobile PLUS 2.0" 제품처럼 조작된 화면을 사용자에게 보여주지만, 실제로는 DDoS 기능을 보유한 악성파일에 감염되게 된다.

악성파일은 중국 DNS 소재(ns14.dns.com.cn) gzqtmtsnidcdwxoborizslk.com (TCP Port 2700-2799) 사이트로 접속을 시도하며, 스마트폰에 수신되는 문자메시지(SMS)를 감시하게 되며, 문자메시지 명령어에 따라 DDoS 기능을 수행할 수 있게 된다. 도메인은 조건에 따라 다양한 문자열로 조합되어 차단을 우회할 수 있다.

- #m : 해당 문자열로 시작할 시 특정 번호로 SMS 무단 발송
- #b : 시간 확인 및 변수 할당
- #u : 특정 사이트를 공격 목표로 DDoS 기능 수행
- #e : 스레드 실행 여부 확인 및 지연
- #t : 감염된 스마트폰의 전화번호 확인

3. 대응방법

대부분의 안드로이드 악성 애플리케이션은 사용자들이 육안상으로 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 애플리케이션으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하거나 마치 정상적인 애플리케이션이 오동작을 일으킨것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이 부분에 쉽게 현혹될 수 있다.

점차적으로 유포 및 감염에 있어 지능화 되어 가는 악성 애플리케이션들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 문자메시지로 받은 쿠폰이나 이벤트, 특정 프로그램으로 소개하는 단축URL 주소로 악성파일이 배포되는 경우가 많으므로, 추가 애플리케이션이 설치되지 않도록 각별히 주의한다.

4. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

5. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

6. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

7. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

8. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

9. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

10. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같이 진단/치료 기능을 제공하고 있으며, 보안 위협에 대비하여 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ nProtect Mobile for Android 탐지 진단명

- Trojan/Android.KRDDoS.A
- Trojan/Android.KRDDoS.B
- Trojan/Android.KRDDoS.C
- Trojan/Android.KRDDoS.D
- Trojan/Android.KRDDoS.E
- Trojan/Android.KRDDoS.F
- Trojan/Android.KRDDoS.G
- Trojan/Android.KRDDoS.H
- Trojan/Android.KRDDoS.I
- Trojan/Android.KRDDoS.J
- Trojan/Android.KRDDoS.K
- Trojan/Android.KRDDoS.L
- Trojan/Android.KRDDoS.M 외 다수 (변종 계속 발견 중)

◈ nProtect Mobile for Android 다운로드 URL
https://play.google.com/store/apps/details?id=com.inca.nprotect


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 개 요


얼마전 유럽의 사용자들을 대상으로 한 프리미엄 서비스 SMS관련 애플리케이션이 발견되어 이슈
가 된 바 있다. 기존과 달리 중국과 러시아에 국한되지 않고 감염 범위를 다양하게 가져간 측면에서 화제가 되었는데 최근 해당 악성 애플리케이션의 변종이 또다시, 출현하여 감염 범위 확장에 대한 심각성이 더욱 고조되고 있다. 이러한 추세라면 얼마 지나지 않아 곧 유럽을 뛰어넘어 훨씬 다양한 국가에서 수 많은 악성 애플리케이션들이 활동을 시작할 것이라는 추정이 가능하다. 잉카인터넷 대응팀에서는 해당 변종을 다수 확보한 상태이고, 지속적으로 업데이트를 수행 중이다.
  

참고로 국내에 공식적인 감염 사례가 보고되지는 않았으며, 외산 안드로이드 기반 악성파일이 악용하는 프리미엄 SMS 기능은 국내 환경과 차이가 있기 때문에 직접적인 피해가 발생할 가능성은 낮은 편이다. 

[참고]안드로이드 악성 애플리케이션 유럽 상륙
http://erteam.nprotect.com/220

2. 유포 경로 및 감염 증상

이번에 출현한 변종의 경우 기존의 악성 애플리케이션의 유포 경로와 뚜렷한 차이점을 보이는데 바로 구글의 안드로이드 마켓을 통해 유포가 시도되었다는 점이다. 물론, 블랙마켓 및 3rd Party 마켓을 통해서도 유포가 이루어지며, 안드로이드 마켓 측에서는 현재 해당 악성 애플리케이션들을 모두 차단시켜 놓은 상태이다.
 
기존에 발견되었던 유럽을 대상으로한 악성 애플리케이션은 총 8개국을 감염 대상으로 삼고 제작되었다. 그러나, 이번에 발견된 변종의 경우 그보다 대폭 상승한 총 18개국을 감염 대상으로 하고 있다.

※ 감염 대상 국가 (총 18개국)

 - 아제르바이잔
 - 아르메니아
 - 영국
 - 벨라루스
 - 독일
 - 그루지아
 - 이스라엘
 - 카자흐스탄
 - 키르키스스탄
 - 라트비아
 - 리투아니아
 - 러시아
 - 폴란드
 - 타지키스탄
 - 우크라이나
 - 프랑스
 - 체코
 - 에스토니아

또한, 해당 악성 애플리케이션의 경우 기존에 유포되었던 것들과는 다르게 다양한 애플리케이션을 통해 한꺼번에 유포를 시도하였다. "게임", "월 페이퍼" 등 다양한 종류를 통하여 동일한 악성 기능을 가지는 총 27개의 악성 애플리케이션들이 구글의 안드로이드 마켓에 등록된 것으로 알려졌다.

이미지 출처 : Symantec Blog


※ 안드로이드 마켓에 등록된 악성 애플리케이션 목록 (총 27개)

Corazon LLC:
 - Horoscope (horoscope.android)
 - Horoscope (com.corazon.horoscope)

Corelly LLC:
 - Horoscope (com.corelly.horoscope)

Ranzy LLC:
 - Twilight (com.Twilight.wallpapers)
 - Puss in Boots (com.Puss.Boots.wallpapers)
 - Moneyball (com.Moneyball.wallpapers)

Astrolog LLC:
 - Sim City Deluxe FREE (com.astrolog.sim.city.deluxe.free)
 - Need for Speed Shift FREE (com.astrolog.need.forspeed.shift.free)
 - Great Little War Game FREE (com.astrolog.great.little.war.game.free)

Logastrod:
 - Cut the Rope (com.Cut.the.Rope)
 - Angry Birds (com.Angry.Birds)
 - Assassins Creed (com.Assassins.Creed)
 - Talking Tom Cat (com.Talking.Tom.Cat)
 - NEED FOR SPEED Shift (com.nsf.Shift)
 - Where is My Water? (com.swampy.Water)
 - Great Little War Game (com.Great.little.War.Game)
 - World of Goo (com.World.Goo)
 - Shoot The Birds (com.Shoot.The.Birds)
 - Riptide GP (com.Riptide.GP)
 - Talking Larry the Bird (com.Talking.larry.Bird)
 -  Bag It! (com.Bag.It)
 - Talking Larry the Bird (com.Talking.Larry.Bird)
 - Angry Birds (com.Angry.Birds.free)

Allwing Concept:
 - TETRIS (com.tetris.free)
 - Pool Master Pro (com.Pool.Master.free)
 - Reckless Racing (com.Reckless.Racing.free)
 - Paradise Islad (com.Paradise.Island.free)

유포에 동원된 악성 애플리케이션들은 무료 게임, 월 페이퍼 등으로 위장되었기 때문에 일반 사용자들의 경우 쉽게 현혹되어 해당 악성 애플리케이션들을 다운로드 할 수 있다.

해당 악성 애플리케이션의 악성 동작은 이미 출현한 바 있는 프리미엄 서비스 SMS 관련 악성 애플리케이션과 동일하다. 차이점이 있다면 애플리케이션 실행 시 아래와 같은 URL을 통해 추가적인 APK파일 다운로드 및 설치 시도 등이 있으나, 현재는 해당 URL이 차단되어 더이상의 다운로드는 불가능한 상태이다.

※ 추가 APK 파일 다운로드 URL

http://(생략)/app/riptide.apk

※ 최초 다운로드 조건

☞ 감염된 스마트폰의 국가 코드 정보가 위에서 언급한 18개국의 국가 코드와 일치하지 않을 경우.


아래의 그림은 해당 악성 애플리케이션에 대한 실행 화면이다.


 

 

 

해당 애플리케이션은 위 그림과 같이 최초 감염된 후 실행 시 추가적인 APK 파일에 대한 다운로드 및 설치를 시도하게 된다. 그 후 "3"번 과정을 거치기 전 감염된 스마트폰의 국가 코드 정보를 조회 후 위 에서 설명한 18개의 국가 코드 정보와 일치 경우 아래의 일부 코드와 같이 프리미엄 SMS 서비스에 특정 내용이 포함된 문자 메시지를 발송해당 프리미엄 SMS 서비스 측으로 부터 문자 메시지를 회신 받을 경우 사용자 몰래 해당 SMS를 삭제하게 된다.

 


또한, 만일 감염된 스마트폰의 국가 코드정보가 내부에 정의된 18개의 국가 코드 정보와 일치하지 않을 경우에는 "4"번 항목과 같이 재차 특정 URL에서 추가적인 APK 파일에 대한 다운로드를 시도하게 된다.

3. 예방 조치 방법

해당 악성 애플리케이션의 특징은 기존의 유포 방식과 다르게 구글의 안드로이드 마켓을 이용했다는 점, 감염 대상 국가가 중국, 러시아 등의 특정 국가에 국한되지 않고 점점 그 대상을 확대해 나가고 있다는 점, 마지막으로 한번에 여러 종류의 악성 애플리케이션을 제작하여 유포를 시도했다는 점 이렇게 세가지로 요약해 볼 수 있다. 여기서 구글의 안드로이드 마켓에 등록된 해당 악성 애플리케이션들은 모두 다운로드 횟수에서 상위를 차지하고 있는 카테고리인 "무료 게임", "월 페이퍼" 등의 종류로 업로드 되어 있어 일반 사용자들의 경우 쉽게 현혹되어 감염될 수 있다는 점도 주목할만 하다.

이러한 악성 애플리케이션의 경우 위장 등의 사회공학 기법을 사용하고 정상 마켓을 통해 서비스 된다는 점 때문에 일반 사용자들의 경우 악성 여부를 식별해 내기가 매우 까다로울 수 있다. 때문에 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ 진단 현황

- Trojan-SMS/Android.EUsendSMS.A
- Trojan-SMS/Android.EUsendSMS.B

 


 

저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 개 요

 

기존에도 중국을 중심으로 특정 프리미엄 SMS 서비스를 이용한 과금 유발 형태의 악성 애플리케이션이 다수 발견된 사례가 있었다. 이러한 프리미엄 SMS 서비스는 국내에선 실시되고 있지 않은 서비스이며, 다양한 이동통신사 및 망사업자 등의 조건이 충족되는 국가에서 실시되고 있는 서비스이다. 그런데 최근 다양한 국가의 사용자들을 대상으로하는 프리미엄 SMS 과금 유발 형태의 악성 애플리케이션이 발견되었으며, 향후 이와 유사한 변종 형태의 SMS 관련 악성 애플리케이션이 출현할 것으로 전망되고 있어 외산 애플리케이션 다운로드에 사용자들의 각별한 주의가 요망되고 있다.

2. 유포 경로 및 감염 증상

해당 악성 애플리케이션은 해외 블랙마켓, 3rd Party 마켓 등을 통해 유포가 이루어지고 있으며, 특정 애플리케이션의 설치본 형태로 제작되었다. 실제로 해당 악성 애플리케이션을 설치하면 특정 애플리케이션에 대한 다운로드 여부를 묻는 화면이 출력된다.

■ 간략 정보

아래의 그림은 해당 악성 애플리케이션 설치 시 출력될 수 있는 권한 요구 화면이다.


설치본 형태로 제작된 애플리케이션이기 때문에 별다른 권한은 요구하지 않고 있으며, SMS 발송을 위해 아래와 같은 권한만을 요구하고 있다.

※ 전체 권한

 - <uses-permission  android:name="android.permission.SEND_SMS"  > </uses-permission>


해당 악성 애플리케이션에 대한 설치가 완료된 후 실행하게 되면 아래의 그림과 같은 실행화면을 볼 수 있다.


위 그림을 살펴보면 알 수 있듯이 "geared" 라는 특정 애플리케이션에 대한 다운로드 여부를 묻고있으며, "Next" 버튼 클릭 시 아래의 그림과 같은 게임 애플리케이션에 대한 다운로드 및 설치를 진행할 수 있다.
  

◆ 추가적으로 다운로드 및 설치되는 게임 애플리케이션(geared)

  ▶ 권한 요구


  ▶ 실행 화면

  

또한, 해당 악성 애플리케이션의 실행화면에서 "Rules" 버튼을 클릭하게 되면 아래의 그림과 같이 사용자들의 입장에서 쉽게 지나칠 수 있는 약관 형태의 "Rules" 화면을 출력하게 된다.


위 약관을 자세히 살펴보면 1번 항목 등에서 특정 컨텐츠 접근 및 SMS 과금 형태에 대한 설명이 기재되어있다. 그러나 일반 사용자들은 보기 불편한 위와같은 약관을 자세히 보지 않고 쉽게 지나쳐 버리게 되며, 제작자는 이러한 측면을 악용하고 있다.

한가지 특이한 점은 해당 악성 애플리케이션이 추가적으로 다운로드되는 게임 애플리케이션의 설치본 형태를 띄고 있으면서도 두가지 애플리케이션이 서로 패키지명이 다르다는 것이다.

※ 패키지명 비교

 - 악성 애플리케이션 : com.depositmobi
 - 게임 애플리케이션 : com.scoreloop.games.geared


■ 상세 정보

위에서 설명한 프리미엄 SMS 과금 유발 형태의 악성 기능은 아래의 일부 코드를 통해 구현되어 있다.

화면을 클릭하시면 확대된 화면을 보실 수 있습니다.


위와 같은 SMS 발송 등의 악성 기능은 애플리케이션이 실행된 후 버튼에 대한 클릭이 진행되면 바로 동작하게 되며, 사용자는 SMS 발송에 대한 확인이 불가능하다. 위와 같은 Direct SMS Deliver 코드 형태로 발송된 SMS의 경우 발신함에 그 기록이 남지 않기 떄문이다.

또한, 해당 악성 애플리케이션은 위 일부 코드와 같이 감염된 스마트폰의 망사업자 등에 대한 확인 코드가 실행되며, 이를 바탕으로 화면에 뿌려주는 언어를 설정하게된다. 화면에 뿌려주는 언어는 "Raw" 폴더내의 "countries.cfg" 파일에 정의되어 있으며, 추가적인 게임 애플리케이션(geared)에 대한 다운로드 시 URL 파싱을 위해 사용되는 "sms.cfg" 파일 또한 동일한 폴더내에 존재하고 있다.

※ 게임 애플리케이션(geared) 다운로드 URL

 - http://moyandroid.net/(생략)/download.php?id=(생략)

아래의 일부 코드는 위에서 설명한 다양한 국가 고유 코드에 대해 선언된 변수 값이다.


3. 예방 조치 방법

위와 같은 SMS 관련 악성 애플리케이션은 현재 유포되고 있는 안드로이드 악성 애플리케이션에서 주류를 이루고 있다. 다만, 최근 발견된 악성 애플리케이션의 경우 다양한 사회공학 기법 활용과 더불어 감염 대상을 특정 국가의 사용자에 국한하지 않고 여러 국가의 사용자들을 감염 대상으로 하고 있다는 점이 주목할만하다. 일반 사용자들의 경우 나날이 고도화되고 있는 안드로이이드 악성 애플리케이션으로부터 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 것이 최선의 방법이될 수 있을 것이다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect

1. 개 요


최근 스마트폰 기기의 불법적인 정보 수집기능을 가지는 애플리케이션이 지속적으로 발견되고 있다. 스마트폰의 기기의 정보가 유출될 경우 다양한 방면에서 악용될 소지가 다분하며, 이는 곧 사용자의 보안 위협으로 작용될 것이다. 이러한 와중에 스마트폰 기기의 정보에 대한 불법적인 수집 및 외부 유출을 시도하는 악성 애플리케이션이 추가적으로 발견되어 사용자들의 각별한 주의가 요망되고 있다. 현재 안드로이드 악성 애플리케이션의 경우 특별한 진단 및 분류 정책 마련 등이 아직은 미비한 상태이며, 이러한 악성 애플리케이션의 경우 일반인들도 충분히 제작이 가능하기 때문에 스마트폰 보안 위협은 앞으로 지속적으로 증대될 전망이다.

  

2. 유포 경로 및 감염 증상

이러한 악성 애플리케이션의 경우 각종 블랙마켓, 3rd Party 마켓 등을 통해 주로 유포가 이루어질 수 있으며, 악의적인 목적을 가지지않고 제작될 경우 구글 안드로이드 마켓을 통해서도 유포가 이루어질 수 있다.

해당 악성 애플리케이션은 다운로드 후 설치 시 아래의 그림과 같은 권한 요구 화면을 보여줄 수 있다.


※ 전체 권한

android:name="android.permission.INTERNET"             

android:name="android.permission.ACCESS_NETWORK_STATE" 

android:name="android.permission.RECEIVE_BOOT_COMPLETED"

또한, 해당 악성 애플리케이션은 설치가 완료된 후 별도의 실행 아이콘은 존재하지 않으며 내부의 코드에 의해 아래의 그림과 같이 스마트폰 재부팅 후 자동실행될 수 있다.

  

■ 상세 분석

해당 악성 애플리케이션은 아래와 같은 감염 증상을 유발할 수 있다.

※ 감염 증상

1. IMEI, IMSI 정보 수집

2. 스마트폰 제조 업체 및 모델명 등의 정보 수집

3. 네트워크 연결상태 체크 후 수집된 정보 외부 유출 시도

4. 특정 애플리케이션에 대한 설치 여부 확인


해당 악성 애플리케이션의 경우 별도의 Receiver는 등록하지 않는다. 다만, BroadcastReceiver 상속을 통해 스마트폰 내의 다른 애플리케이션에 대한 Action 및 Event처리를 시도 할 수 있다.

"※ 감염 증상" 부분에서 설명한 것과 같이 해당 악성 애플리케이션은 스마트폰 기기에 대한 정보 수집 및 특정 애플리케이션에 대한 설치 여부 확인 등을 주요기능으로 하고있으며, 특정 애플리케이션에 대한 설치 여부 확인은 MD5 체크 수식을 통해 패키지명 파싱 등의 방법으로 진행된다.

아래의 일부 코드를 통해 해당 악성 애플리케이션은 스마트폰 기기에 대한 정보를 수집할 수 있다.

그림을 클릭하시면 확대된 이미지를 확인하실 수 있습니다.


또한, 위와 같이 수집된 정보는 아래의 일부 코드와 같이 특정 메소드 등을 통한 일련의 데이터링 과정을 거친 후 전역 변수로 선언된 URL 레퍼런스를 통해 외부로 유출 시도될 수 있다.

그림을 클릭하시면 확대된 이미지를 확인하실 수 있습니다.


3. 예방 조치 방법

이동 통신 수단의 발전에 따라 향후에는 각종 결제 및 정보에 대한 처리가 스마트폰을 통해 수행되는 등 휴대용 통신 수단에 대한 의존도가 늘어날 것으로 전망된다. 이에 따라 자연스럽게 다양한 목적에 의한 휴대용 통신 수단의 보안 위협 또한 비례하여 증대될 것이다.

갈수록 지능화 되는 이러한 보안 위협으로부터 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다고 할 수 있다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ 진단 현황


- Trojan-Spy/Android.NetiSend.A





저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect
1. 개 요


최근 유포되고 있는 안드로이드용 악성 어플리케이션은 정상적인 어플리케이션들을 재패키징하여 유포하는 것이 트랜드가 되어가고 있다. 정상적인 어플리케이션을 디컴파일 등의 과정을 통해 악성코드를 함께 삽입 후 다시한번 패키지화 하는것을 재패키징 기법이라 한다. 이러한 악성 어플리케이션에 감염될 경우 일반 사용자 입장에서는 육안상으로 악성 여부를 판별해 내기가 매우 어렵기 때문에 확산성을 가진 악성 어플리케이션이 등장할 경우 감염 범위는 기하급수적으로 늘어날 수 있다.

이러한 가운데 최근 웹을 통한 중국의 Video 스트리밍 서비스 어플리케이션으로 재패키징된 악성 어플리케이션이 발견되어 이슈가 되고 있다.

  

2. 유포 경로 및 감염 증상

해당 악성 어플리케이션은 지속적으로 유사 변종이 발견되고 있으며, 재패키징 악성 어플리케이션의 특성상 주로 각종 블랙마켓, 3rd party 마켓 등을 통해 유포가 이루어지고 있다.

우선, 해당 악성 어플리케이션은 안드로이드 SDK 1.6 이상 버전에서 안정적으로 구동될 수 있으며 설치 시도 시 아래의 그림과 같이 특정 권한 요구 화면을 보여주게 된다.


※ 전체 권한

"android.permission.INTERNET"                     
                                                              
"android.permission.ACCESS_NETWORK_STATE"         
                                                             
"android.permission.MOUNT_UNMOUNT_FILESYSTEMS"    
                                                              
"android.permission.SEND_SMS"                     
                                                              
"android.permission.WRITE_EXTERNAL_STORAGE"       
                                                              
"android.permission.RECEIVE_BOOT_COMPLETED"       
                                                             
"android.permission.RECEIVE_SMS"                  
                                                              
"android.permission.WRITE_SMS"                    
                                                              
"android.permission.READ_SMS"                     
                                                              
"com.android.launcher.permission.INSTALL_SHORTCUT"


또한, 설치가 완료되면 아래의 그림과 같은 실행 아이콘이 생성된다.

  

■ 상세 분석

해당 악성 어플리케이션에 대한 설치 과정이 모두 완료된 후 실행되면 아래의 그림과 같은 일부 코드에 의해 추가적인 악성 어플리케이션이 다운로드 및 설치될 수 있다.


※ 추가적인 악성 어플리케이션 다운로드 URL

http://(생략).ku6.(생략)/(생략)/Android_video_201_gen_f001.apk

※ 추가 다운로드 악성 어플리케이션 간략 설명

아래의 그림은 위의 설명과 같이 추가적으로 다운로드 되어 실행될 수 있는 악성 어플리케이션에 대한 실행 화면 및 아이콘이다. 정상 어플리케이션과 상당히 유사하며, 스트리밍 서비스 또한 정상적으로 이루어지고 있다.

◆ 설치 후 실행 화면


◆ 설치 후 생성 아이콘


추가적으로 다운로드될 수 있는 악성 어플리케이션은 조건에 따라 광고 목적을 띄고 해당 악성 어플리케이션의 다운로드가 가능한 링크를 삽입하여 이메일이나 SMS 등을 통해 지인들이게 무작위 발송될 수 있다.

또한, 아래의 일부 코드를 통해 중국의 이동통신(China Mobile)측에 총 6개의 문자 메시지를 사용자 몰래 보낼 수 있다.

 


수신처로 지정되어 있는 특정 번호는 중국 이동통신(China Mobile)의 서비스 번호로서 문자 메시지 발송을 통해 "잔액, 모바일 데이터 확인 등의 각종 조회"가 가능하며, "무료 문자 메시지" 서비스 등을 신청할 수 있다. 이때 무료 문자 메시지 등 다수의 서비스 신청 시 일정 금액의 사용 요금이 매달 결제될 수 있으며, 신청된 무료 문자 메시지 등의 서비스는 자신 뿐만 아니라 다른 사용자도 이용이 가능하다.

위 그림을 통해 "8번" 항목의 메뉴를 문자 메시지 발송을 통해 요청한 것으로 추정되고 있으며, 각 메뉴 선택 시 해당 메뉴의 요청 결과를 문자 메시지로 다시 전달 받아볼 수 있다. 해당 악성 어플리케이션은 이러한 서비스 요청을 사용자 몰래 진행하기 위해 아래의 코드를 통하여 일부 회신되는 문자 메시지를 사용자 몰래 삭제할 수 있다.


위 그림의 적색 박스 부분과 같이 "10"으로 시작되는 발신번호를 가지는 문자 메시지를 BroadcastReceiver를 상속 받아 abortBroadcast()를 통해 모두 사용자 몰래 삭제처리 한다. 이렇게 되면 일반 사용자의 경우 자신의 스마트폰을 통해 특정 서비스 신청 등이 이루어지고 있는 상황을 인지할 수 없게 된다.

이 외에도 아래의 그림과 같이 스마트폰의 Sim카드 시리얼 번호를 수집하여 특정 외부 사이트에 유출 시도를 할 수 있으며,


유출된 정보는 복사 휴대폰 제작 등에 악용될 수 있다. 또한, 특정 코드 등을 통해 네트워크 동작 상태를 실시간으로 체크 후 동작하는 기능을 수행하기도 한다.

3. 예방 조치 방법

현재 안드로이드용 악성 어플리케이션의 경우 정상 어플리케이션으로 위장되어 유포되는 경우가 대부분이며, 이 가운데 재패키징을 통한 유포 기법이 주요 트랜드로 자리매김하고 있는 상황이다. 이러한 악성 어플리케이션은 특성상 일반 사용자들이 악성 여부를 판별하기에는 무리가 따른다. 때문에 안전한 스마트폰 사용을 위해 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다고 할 수 있다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ nProtect Mobile for Android의 진단 현황

 - Trojan-SMS/Android.KuVideoSMS.A
 - Trojan-SMS/Android.KuVideoSMS.B

 


저작자 표시
신고
크리에이티브 커먼즈 라이선스
Creative Commons License
Posted by nProtect