1. 개 요

 

최근 악의적인 목적을 가지고 스마트폰 단말기 정보 등의 탈취를 시도하는 악성 애플리케이션이 다수 발견되고 있다. 이러한 가운데 해외에서 E-mail 계정 및 비밀번호 탈취를 시도하는 악성 애플리케이션이 발견되어 사용자들의 주의를 요망하고 있다. 해당 악성 애플리케이션은 해외의 동영상 스트리밍 서비스 업체의 정상 애플리케이션으로 위장하고 있어 일반 사용자의 경우 쉽게 현혹되어 E-mail계정과 비밀번호를 입력 후 로그인 하게될 경우 계정정보가 외부로 유출될 수 있다.
  

2. 유포 경로 및 감염 증상

해외를 중심으로 각종 블랙 마켓, 3rd Party 마켓 등을 통해 유포될 수 있으며, 국내에서는 해당 동영상 스트리밍 서비스 업체의 사업이 진행되지 않아 특별한 감염 및 피해 사례는 나타나지 않고 있다.

해당 악성 애플리케이션은 설치시 아래와 같은 권한들을 요구하게 된다.

 
※ 전체 권한

- android:name="android.permission.INTERNET"
- android:name="android.permission.INTERNET"
- android:name="android.permission.ACCESS_NETWORK_STATE"
- android:name="android.permission.ACCESS_WIFI_STATE"
- android:name="android.permission.READ_PHONE_STATE"
- android:name="android.permission.WAKE_LOCK"
- android:name="android.permission.INJECT_EVENTS"
- android:name="android.permission.READ_LOGS"
- android:name="android.permission.WRITE_EXTERNAL_STORAGE"
- android:name="android.permission.DUMP"
- android:name="android.permission.GET_TASKS"


설치가 완료되면 아래의 그림과 같은 실행 아이콘이 생성된다.


위와같이 모든 설치 과정이 완료된 후 해당 악성 애플리케이션을 실행하면 아래의 그림과 같은 실행화면을 보여주게 된다. 해당 악성 애플리케이션은 해외의 동영상 스트리밍 서비스 업체의 애플리케이션으로 위장한 형태이므로 아래의 그림과 같이 육안상으로 정상 애플리케이션과 구별이 가능하다.


위 그림을 자세히 살펴보면 레이아웃 구성에서 차이점이 있는것을 확인할 수 있다. 우선 상단 부분의 "스마트폰 상태바"가 정상 애플리케이션의 경우 존재하나 악성 애플리케이션의 경우 존재하지 않는다. 또한, 정상 애플리케이션의 경우 진행되는 "프로그레스바"가 안드로이드에서 제공되는 일반 프로그레스바를 사용하고 있으나, 악성 애플리케이션의 경우 디자인된 프로그레스바를 사용하고 있다. 마지막으로 "인 화면의 이미지에 검은색 테두리""loading 텍스트의 유무"로도 구별이 가능하다.

위의 과정을 거쳐 애플리케이션 로딩이 완료되면 아래의 그림과 같이 메인 로그인 창이 출력된다.


위 그림을 자세히 살펴보면 마찬가지로 정상/악성 애플리케이션 간에 차이를 육안상으로 확인할 수 있다. "스마트폰 상태바"와 "이메일 계정 정보 입력창" 등 다양한 부분에서 차이점이 발견된다.

이때, 악성 애플리케이션의 경우 위 그림에서 로그인을 위한 계정 정보 입력 후 "Sign in" 버튼을 클릭하면 아래의 일부 코드에 의해 Email, Password가 저장된 EditText 값을 아래와 같은 특정 외부 URL로 유출 시도를 할 수 있다.


※ 이메일 계정 정보 유출 시도 URL

http://erofolio.[생략].biz/login.php

위 그림과 같은 로그인 과정 진행이 진행될때 해당 악성 애플리케이션은 이메일 계정 입력 시 어떠한 계정 정보를 입력해도 로그인 과정을 완료할 수 있으나, 정상 애플리케이션의 경우 해당 업체의 계정정보를 입력하지 않으면 아래의 그림과 같이 로그인 과정을 완료할 수 없다.

 


위 그림을 살펴보면 정상 애플리케이션의 경우 해당 업체의 계정 정보 이외의 정보 입력 시 로그인에 실패함을 확인할 수 있으며, 악성 애플리케이션의 경우 계정 정보 존재 유무에 상관없이 무조건 위 그림과 같은 창을 출력하게 된다. 또한, 악성 애플리케이션의 경우 위 그림과 같은 "Cancel" 버튼을 클릭할 경우 해당 악성 애플리케이션에 대한 삭제를 진행할 수 있다.

3. 예방 조치 방법

일반 사용자들은 동영상 스트리밍 서비스 업체의 정상 애플리케이션이 어떻게 구성되어 있는지 모르는 경우가 많다. 해당 악성 애플리케이션의 경우 이러한 점을 악용해 최대한 정상 애플리케이션과 유사한 화면을 구성하여 사용자들을 속일 수 있으며, 이로인해 유출될 수 있는 이메일 계정 정보는 다양한 목적을 가지고 악용될 수 있다. 이러한 악성 애플리케이션으로부터 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.


※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 위와 같은 악성 애플리케이션에 대해 아래와 같은 진단/치료 기능을 제공하고 있으며, 24시간 지속적인 대응체계 가동 및 "nProtect Mobile for Android" 를 통해 다양한 모바일 보안 위협에 대응하고 있다.

◆ 진단 현황

- Trojan-Spy/Android.FakeNefilix.A





저작자 표시
신고
Posted by nProtect

1. 개 요


전 세계적인 인기를 누리고 있는 안드로이드 스마트 폰용 게임인 "앵그리 버드 리오(Angry Birds Rio) Unlocker 프로그램 파일에서 안드로이드용 악성파일이 발견"되어 스마트폰 게임 사용자들의 각별한 주의가 요망된다. "잉카인터넷 대응팀에서는 거의 매일 새로운 외산 악성 안드로이드 악성 파일을 수집, 대응하고 있을 정도로 양적으로도 크게 증가하고 있는 추세이다."앵그리 버드의 경우 국내에도 게임 사용자가 많고, 언락 프로그램도 인터넷 커뮤니티 등에서 공공연하게 공유가 이루어지고 있어 안드로이드 폰 사용자들은 최신 스마트폰 백신을 통한 보안 강화가 절실히 요구된다.

  

※ Angry Birds 란?

국내에서도 선풍적인 열풍이 불고 있는 앵그리버드는 지난 2009년 아이폰용으로 처음 출신된 이래 전 세계적으로 약 7천 500만 건 이상, 매월 사용자 약 4천만 명 이상을 기록하고 있는 안드로이드 폰 최고의 인기게임이다.

게임의 내용은 자신의 알을 도둑맞은 성난 새들이 알을 훔쳐간 돼지들을 향해서 돌진, 격파한다는 심플한 내용이며, 앵그리 버드 시즌(Angry Birds Season), 앵그리 버드 리오(Angry Birds RIO) 등 후속 시리즈 등이 개발됐다.

SK 텔레콤의 경우 지난 5월 경 앵그리버드의 개발사인 핀란드의 로비오와 계약을 맺고 T스토어를 통해서 앵그리 버드, 앵그리버드 시즌, 앵그리버드 리오 등 앵그리버드의 전 시리즈를 무료로 서비스한다고 밝힌 바 있으며, LG전자 역시 로비오와 제휴를 맺고 앵그리버드 리오 게임 콘텐츠를 스마트 폰에 최초로 사전 탑재하고 다양한 마케팅을 펼치고 있다.

최근에 아래 내용처럼 안드로이드용 게임으로 위장한 악성 파일이 지속적으로 발견되고 있으므로, 컴퓨터용 악성파일 뿐만 아니라 안드로이드 스마트폰 용 악성 파일도 증가하고 있다는 것을 인식하고 보안 경각심을 가지는 것이 중요한 시기이다.

[주의]중국 PPXIU 게임으로 위장한 안드로이드용 악성 파일 발견
http://erteam.nprotect.com/167

[주의]중국 안드로이드 QQ 게임으로 위장한 악성 어플 발견
http://erteam.nprotect.com/165

2. 유포 경로 및 감염 증상

■ 앵그리 버드 리오 언락 파일처럼 위장한 악성 파일

이번에 발견된 안드로이드용 악성파일은 Angry Birds Rio Unlocker 파일처럼 위장한 형태로 발견되었으며, 설치되는 과정은 다음과 같다.


 

 


설치가 완료되면 다음과 같은 아이콘이 생성되고, 실행이 되면 Angry Bird Rio 가 설치되어 있지 않은 상태에서 "Game not found" 라는 안내 문구가 보여진다.




 Angry Bird Rio 게임이 설치되어 있는 경우에는 다음과 같은 Unlocker 기능이 정상적으로 수행된다.



악성 파일은 Unlock 기능이 수행되면서 백그라운드로 악의적으로 필요한 서비스를 실행하며, Device ID, SDK 버전 등과 같은 정보를 탈취하여 Remote Server 로 전송을 시도하며, 또 다른  악성 어플 등을 설치할 수 있는 것으로 추정되며, 정밀 분석을 진행 중에 있다.

Unlock 기능은 정상적으로 수행이 가능하기 때문에 사용자들은 악의적인 기능이 몰래 수행되는 것을 인지하기 어렵다. 아래 화면은 Unlocker 기능이 수행된 후 실제 게임의 화면이며, 미션 잠금 기능이 정상적으로 해제된 것을 확인할 수 있다.


nProtect Mobile for ANDROID 제품에서는 Trojan-Spy/Android.FakeABRUnlocker.A 라는 진단명으로 탐지된다. 또한, 버전이 다른 앱을 조작하여 만든 악성 변종 샘플도 추가로 발견하였고, 잉카인터넷 안드로이드 보안 제품에서는 동일한 진단명으로 진단하고 있다.

3. 예방 조치 방법


일반 사용자들은 아래의 "스마트폰 보안 관리 수칙"을 준수하는 등 스스로 관심과 주의를 기울이는 것이 안전한 스마트폰 사용을 위한 최선의 방법이라 할 수 있다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 다운로드한 어플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

4. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문을 자제한다.

5. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

6. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

7. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

8. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

9. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 "nProtect Mobile for Android" 를 통해 위와 같은 모바일용 악성 어플리케이션에 대한 진단/치료 기능을 제공하고 있으며, 다양한 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.

 

 


저작자 표시
신고
Posted by nProtect

1. 개 요


최근 안드로이드용 악성 어플리케이션이 지속적으로 등장하고 있어 스마트폰의 보안 위협이 계속해서 증가되고 있다. 악성 어플리케이션 제작에는 최근 정상 어플리케이션에 악의적인 기능을 추가하는 "재패키징" 기법이 가장 널리 사용되고 있으며, 최근에는 이러한 재피키징 기법에 새로운 악성 APK 파일을 내부에 포함하는 "2중 패키징 기법"을 사용하는 사례가 속속 발견되고 있다. 이번 시간에는 중국 QQ게임을 재패키징하고 내부에 2중 패키징 기법을 사용한 형태의 악성 어플리케이션을 살펴보고 해당 기법을 사용하는 악성 어플리케이션에 대한 대비책을 마련하는 시간을 가져보도록 하자.

[[주의]2중 패키징된 안드로이드용 악성 어플리케이션 등장]
http://erteam.nprotect.com/163

2. 유포 경로 및 감염 증상

■ 정상 어플리케이션을 재패키징한 형태의 악성 어플리케이션

정상 어플리케이션에 악의적인 기능을 추가해 재패키징하는 형태의 악성 어플리케이션은 안드로이드 마켓, 블랙 마켓, 3rd party 마켓 등 넓은 유포 경로를 가질 수 있는 것이 특징이다.
  

 
해당 악성 어플리케이션은 설치 시 아래와 같은 권한 요구 화면을 보여주게 된다.

 

※ 코드에 포함된 권한 부분

  - android:name="android.permission.ACCESS_NETWORK_STATE"
    -> WiFi "ON" 체크 등 네트워크 통신에 관한 권한
  - android:name="android.permission.INTERNET"
    -> 외부 인터넷 사이트와 통신을 수행하기 위한 권한
  - android:name="android.permission.VIBRATE"
    -> 휴대폰 진동 제어 설정 권한
  

위 그림과 같은 권한 요구 과정을 거친 후 설치를 완료하면 아래의 그림과 같은 "QQ Game"의 메인화면을 볼 수 있다.


해당 악성 어플리케이션은 설치 완료 후 아래와 같은 아이콘을 사용하고 있으며, 사용중인 아이콘은 정상 어플리케이션의 아이콘과 같다.
  

<QQ 게임 아이콘>

설치가 완료되면 해당 어플리케이션은 내부의 코드를 이용해 추가적인 악성 APK 파일 설치를 위한 일련의 작업 과정을 거친다. 작업 과정에 사용될 추가적인 악성 APK 파일은 최초에 설치된 "QQ Game"의 APK 파일에 포함되어 있으며, 파일명 등은 아래의 그림을 참고 할 수 있도록 하자.


위 그림에는 두개의 적색 박스가 있으며, 각각의 파일은 APK, ELF(busybox는 압축된 형태의 파일) 파일이다. APK 파일의 경우 추가적인 악성 기능이 포함된 악성 어플리케이션이며, ELF 파일은 루팅 구문 구동을 위해 악용할 수 있는 리눅스 기반의 파일로 이해하면 쉬울 것이다.

위 설명에서 또 다른 악성 어플리케이션에 대한 설치를 위해 추가적인 작업 과정이 필요하며 위 그림은 그 과정에서 사용될 수 있는 파일이라 설명했다. 이제 해당 악성 어플리케이션에 대해 좀 더 세밀히 알아 보도록 하자.

설치된 악성 어플리케이션 내부에는 아래의 그림과 같이 리소스 부분을 따로 모아 선언해 놓은 부분이 있다.


위 그림의 "rageagainstthecage" 파일은 루팅을 위한 파일이며, 자세한 설명은 다음 부분에서 설명하도록 하겠다. 위 리소스를 참조하여 해당 악성 어플리케이션은 아래의 코드를 통해 "anserverb" 파일의 파일명을 "xxx.apk"로 바꾸게 된다.


또한, "xxx.apk" 파일의 설치를 위해 아래의 코드를 통해 앞전에서 미리 설명하였던 "추가적인 작업 과정"을 수행하게 된다. 여기까지 살펴보았다면 "추가적인 작업 과정"에 대해 어느정도 유추해 볼 수 있을것이다. 

"추가적인 작업 과정"은 바로 루팅을 위한 작업을 말한다. 아래의 코드를 통해 루팅 관련 작업 및 "xxx.apk"파일에 대한 설치를 진행하므로 참고할 수 있도록 하자.
  


◆ 압축 해제, 루팅 관련 작업, 추가적인 APK 파일 설치 관련 코드


☞ 위 그림에서 "SMSApp.apk"파일과 "xxx.apk"파일로 파일명이 변경되는 "anserverb"파일은 자체 코드내의 리소스 값이 같다. 따라서 동일한 파일임을 알 수 있다.



물론 위 그림에서 설명한 루팅 관련 작업은 "안드로이드 SDK 버전이 2.2 이하 버전"일 경우에만 정상적으로 동작 할 수 있으니 이점 참고할 수 있도록 하자.

여기 까지 설명한 모든 부분이 모두 충족되었다면 "xxx.apk"파일이 자동으로 설치되겠지만 이 경우 2중 패키지 파일에 대한 설명 글을 통해 설명했다시피 권한 요구 관련 화면은 출력되지 못한다.

■ 악성 어플리케이션 내부에 포함된 또 다른 추가적인 악성 어플리케이션
  

아래의 그림은 추가적으로 설치되는 악성 어플리케이션에 대한 권한 요구 화면이니 참고할 수 있도록 하자.


※ 코드에 포함된 권한 부분

  - android:name="android.permission.WRITE_SMS"
    -> SMS 등의 메시지를 작성하기 위한 권한
  - android:name="android.permission.RECEIVE_BOOT_COMPLETED"
    -> 휴대폰 부팅 후 어플리케이션의 자동 실행을 위한 권한
  - android:name="android.permission.VIBRATE"
    -> 휴대폰 진동 제어 설정을 위한 권한
  - android:name="android.permission.READ_SMS"
    -> SMS 등의 메시지를 읽기 위한 권한
  - android:name="android.permission.RECEIVE_SMS"
    -> SMS 등의 메시지 수신을 받아오기 위한 권한
  - android:name="android.permission.SEND_SMS"
    -> SMS 등의 메시지 송신을 위한 권한
  - android:name="android.permission.READ_PHONE_STATE"
    -> 휴대폰 단말기 정보 획득을 위한 권한
  - android:name="android.permission.DISABLE_KEYGUARD"
    -> 휴대폰의 Lock 상태인 KEYGUARD를 Disable 하기 위한 권한
  - android:name="android.permission.READ_CONTACTS"
    -> 주소록 등을 읽기 위한 권한
  - android:name="android.permission.WRITE_CONTACTS"
    -> 주소록 등을 쓰기 위한 권한
  - android:name="android.permission.INTERNET"
    -> 외부 인터넷 사이트와 통신을 수행하기 위한 권한
  - android:name="android.permission.ACCESS_NETWORK_STATE"
    -> 네트워크 상태 접근을 위한 권한
  - android:name="android.permission.CALL_PHONE"
    -> 전화 걸기 등 통화 관련 제어를 위한 권한
  - android:name="android.permission.WAKE_LOCK"
    -> Device Power 설정을 위한 권한
  - android:name="android.permission.RESTART_PACKAGES"
    -> 패키지에 대한 종료/재시작 등을 위한 권한
  - android:name="android.permission.WRITE_APN_SETTINGS"
    -> 네트워크 연결 등에 필요한 APN 설정 권한
  

추가적인 악성 어플리케이션의 경우 설치가 완료된 후 아래의 코드 등을 통해 SMS 수집 및 송신, 주소록 등의 정보 탈취, 단말기 정보 탈취, 실행중인 어플리케이션에 대한 정보 획득 및 특정 어플리케이션에 대한 실행 방해 동작 등의 악성 동작을 할 수 있다.

클릭하실 경우 확대된 화면을 보실 수 있습니다.


위에서 설명한 해당 악성 어플리케이션은 설치 후 별도의 아이콘을 가지고 있지 않는다. 다만, "응용프로그램 관리" 부분을 살펴보면 아래의 그림과 같이 어느 정도 구별이 가능하니 참고할 수 있도록 하자.


3. 예방 조치 방법

해당 악성 어플리케이션의 경우 중국 사용자들을 대상으로 제작된 게임 어플리케이션이며, 국내에서는 아직 해당 어플리케이션 등으로 인한 피해 상황은 보고되지 않고 있다. 다만 스마트폰 어플리케이션의 특성상 국내에서도 이러한 해외 어플리케이션 설치가 자유로우며, 동일한 형태의 악성 어플리케이션 등장이 충분히 가능해 추가적인 피해 발생이 전무할 것이라고 단언할 수 없다. 또한, 이러한 재패키징 및 2중 패키징 기법을 사용한 악성 어플리케이션의 경우 사용자 몰래 스마트폰에 설치 등을 시도 할 수 있으므로 일반 사용자들은 아래의 "모바일 보안 관리 수칙"을 준수하는 등 스스로 관심과 주의를 기울이는 것이 안전한 스마트폰 사용을 위한 최선의 방법이라 할 수 있다.

※ 모바일 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 어플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 어플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

※ 잉카인터넷(시큐리티대응센터/대응팀)에서는 아래의 그림과 같이 모바일용 백신 "nProtect Mobile for Android" 를 통해 위와 같은 모바일용 악성 어플리케이션에 대한 진단/치료 기능을 제공하고 있으며, 다양한 보안 위협에 대비하기 위해 24시간 지속적인 대응체계를 유지하고 있다.


2011년 06월 06일 잉카인터넷 대응팀은  이외에도 약 8종의 새로운 안드로이드용 악성파일을 추가로 발견하여 업데이트를 완료한 상태이다.



저작자 표시
신고
Posted by nProtect