1. 채팅을 통한 신체노출 유도와 악성앱 그리고 협박 종결자

 

잉카인터넷 대응팀은 안드로이드 스마트폰용 무작위 채팅 서비스 앱들을 통해서 음란한 문구나 자극적 화면으로 불특정 채팅 이용자들을 현혹시켜 유도한 후 안드로이드 악성앱을 몰래 감염시켜 개인정보를 탈취하는 신종 협박형 사기정황을 포착하여 내사를 진행 중에 있었고, 최근 실제 피해자로 부터 구체적인 수법을 제보받았다. 협박범들은 스마트폰 랜덤 채팅앱 등에서 여성으로 위장하여 불특정 남성들에게 음란한 광고성 글로 이용자들에게 미끼를 던진 후, 연결된 남성에게 "본격적으로 좀더 과감하게 음란한 채팅을 하자"고 유인한다. 이때 컴퓨터와 스마트폰간에 통화가 가능한 스카이프(Skype) 설치를 통해서 영상채팅을 하도록 유도하며, 남성의 얼굴과 성적으로 민감한 주요 신체부위 등을 노출하도록 만든 후 동영상으로 몰래 녹화를 하여 피해자의 영상을 확보하게 된다. 

그런 후 음성이나 화면이 잘 나오지 않는 것 같다는 핑계로 특정 채팅앱을 설치하도록 유도하는데, 이 앱을 자체 분석한 결과 스마트폰에 저장되어 있는 개인정보를 수집하여 특정 서버로 은밀히 유출시키는 악성앱(Trojan/Android.KRFakeChat.A)으로 판명되었다. 범죄자들은 악성앱을 통해 확보한 개인정보로 피해자 주변 지인들에게 노출 동영상을 공개하겠다고 협박하고, 고액의 금품을 요구하게 되는 신종 범죄수법이다. 이러한 모바일 협박사기가 급증하고 있으므로 안드로이드 스마트폰 이용자들의 각별한 주의가 요망된다.



2. 내 모습이 담긴 음란 동영상을 유출하겠다고? 모바일 범죄의 재구성

채팅앱으로 위장한 악성앱(Trojan/Android.KRFakeChat.A)은 스마트폰 단말기에서 이용자 전화번호, 전화번호부 연락처 목록, 모든 이메일 계정정보, 스마트폰 단말기 정보(브랜드, 통신사, 모델, 사양) 등을 몰래 수집하여 해외의 특정 호스트로 유출시도한다.

범죄자들은 불법적으로 탈취한 정보를 이용해서 신체노출 녹화 동영상을 주변 지인들의 전화번호로 공개하겠다는 내용으로 공갈과 협박을 시작하며, 내용을 공개하지 않는 댓가로 10~100만원(이상) 상당의 금품을 요구하게 된다. 

[주의]스마트 뱅킹 이용자를 노린 표적형 스미싱 사기의 역습
http://erteam.nprotect.com/418

[주의]대한민국 경찰청 앱으로 사칭한 도청가능 안드로이드 악성앱 등장
http://erteam.nprotect.com/417

[주의]모바일 청첩장 사칭 스미싱과 소액결제사기 범죄 기승
http://erteam.nprotect.com/414

[출시]소액결제사기 등 스미싱 원천차단방지 솔루션 "뭐야 이 문자"
http://erteam.nprotect.com/400

[주의]한국 모바일 보안 프로그램으로 위장한 스미싱 기승

http://erteam.nprotect.com/409

[주의]11번가, 아웃백, 신세계몰, G마켓, 모빌리언스, 다날로 위장한 스미싱
http://erteam.nprotect.com/404

[긴급]한국 맞춤형 소액결제 과금형 안드로이드 악성앱 피해 급증
http://erteam.nprotect.com/377

협박과 회유에 못 이겨 입금을 하더라도 범죄자들은 협박을 멈추지 않고 계속 집요하게 추가적인 금액을 요구하고 갈취를 시도하게 되므로, 피해자들은 절대로 범죄자들의 요구에 응하거나 입금을 하지 않는 것이 중요하다. 우선 피해자들은 감염되어 있는 악성앱을 nProtect Mobile for Android 제품으로 검사/치료하고, 사용중인 이메일 계정의 암호 등을 모두 변경조치한다. 그리고 범죄자들이 공개한 대포통장 계좌번호와 노출된 각종정보 등을 가까운 경찰서에 신고하는 것이 급선무이다. 또한, 문자메시지로 악의적인 악성앱을 설치하도록 유도할 수 있으므로, 스미싱 원천 차단솔루션 등을 통해서 사전예방하는 것이 중요하다.

다음은 국내 안드로이드 앱으로 서비스 중인 실제 랜덤 무료채팅 앱 중 하나로 음란한 광고성 글이 쉴새없이 등록되는 것을 볼 수 있다. 이러한 음란 광고성 글에 현혹되어 특정 사이트나 모바일 메신저 등으로 접근할 경우 각종 사기범죄와 악성앱에 노출될 수 있다는 점을 명심해야 한다. 또한, 이런 앱을 개발제작하는 업체는 특별한 가입조건없이 무분별하게 사용할 수 없도록 본인 인증절차를 강화하고, 광고성 글이 반복적으로 등록되지 않도록 지속적인 관리감독의 역할과 책임을 수행할 수 있어야 한다.


무료 채팅앱을 통해서 연결이 되면, 스카이프(Skype)를 통해서 음란 화상채팅을 하자고 제의하며, 스마트폰 카메라를 통해서 음란행위와 신체부위 등을 노출하도록 만든다.

스카이프(Skype)로 연결이 되면 아래와 같이 화상채팅과 대화를 이어가지만, 음성지원이 안된다거나 화질이 떨어진다거나 하는 등의 거짓 이유로 별도의 앱을 통해서 채팅하자고 유도한다. 그러면서 특정 블로그나 웹 사이트에 등록되어 있는 악성앱을 설치하도록 유인하게 된다.

범죄자 아이디 : 민아 * (일부 모자이크 처리)
피해자 아이디 : 나


범죄자가 유도하는 국내 포털사이트의 특정 블로그로 들어가면 안드로이드 악성앱을 설치할 수 있도록 만들어져 있으며, 이 악성앱은 제작자의 서버에도 등록되어 있는 상태이다.


악성앱(Trojan/Android.KRFakeChat.A)은 아래와 같은 아이콘으로 설치되고, 실행되면 마치 정상적인 채팅 프로그램처럼 이미지를 보여주지만, 채팅 기능은 전혀 보유하고 있지 않으며, 단말기에 포함되어 있는 개인정보를 수집하여 외부로 유출을 시도하게 된다.

 


악성앱(Trojan/Android.KRFakeChat.A)은 다음과 같이 스마트폰 이용자가 사용 중인 이메일 계정정보, 전화번호부 연락처 목록, 스마트폰 단말기 정보 등을 수집하여 해외의 특정 호스트로 유출시도한다.


개인정보를 확보한 범죄자는 해당 내용을 피해자에게 보여주면서, 동영상과 주변 지인들에게 유포를 하겠다는 식으로 협박을 하게 된다.



상기와 같이 계속해서 협박과 회유를 거듭하며, 거금을 특정 계좌로 입금하도록 요구하게 된다. 만약 이용자의 스마트폰 정보가 범죄자에게 유출되지 않았다면 이러한 공갈 협박을 받게되는 조건이 성립할 수 없다. 그러나 악성앱이 안드로이드 스마트폰에 감염 노출됨에 따라 범죄자가 피해자의 개인신상 정보를 이용해서 자유자재로 현금갈취를 요구할 수 있게 되는 것이다.

스미싱 기법의 사기가 기승을 부리고 있는 가운데, 스마트폰 채팅앱과 메신저 프로그램 등을 통한 신종 사기수법이 발생하고 있는 추세이다. 특히, 안드로이드 악성앱과 기능이 결합되면서 다양한 모바일 보안위협이 증가하고 있어 이용자들의 세심한 주의가 요구되고 있다.

이러한 사기와 범행에 노출되지 않기 위해서는 음란한 광고성 문구에 현혹되지 말아야 하며, 안드로이드 악성앱에 감염되지 않도록 공식적인 앱 마켓 외에서는 안드로이드 앱을 가급적 설치하지 않도록 하는 보안습관이 중요하다. 더불어 "nProtect Mobile for Android" 제품과 스미싱 원천 차단 솔루션인 "뭐야 이 문자" 등을 사전에 설치해 두면 악성앱과 스미싱을 예방하는데 도움을 받을수 있다.

"뭐야 이 문자" 무료 다운로드 URL (스미싱 원천 차단 기능제공)
https://play.google.com/store/apps/details?id=com.nprotect.antismishing

"nProtect Mobile for Android" 무료 다운로드 URL (악성앱 탐지 치료 기능제공)
https://play.google.com/store/apps/details?id=com.inca.nprotect

 


3. 스미싱 예방법 및 대응책

스미싱 악성앱은 지속적으로 변종이 발견되고 있으며, 이용자들은 스미싱 원천 차단제품인 "뭐야 이 문자" 와 nProtect Mobile for Android 제품을 이용해서 사전 탐지 및 치료가 가능하다. 더불어 설치된 직후 신속하게 삭제하면 피해를 최소화할 수 있지만, 피해를 사전에 예방하기 위해서 해당 이동통신사에 소액결제서비스 자체를 중단요청해 두는 것도 좋은 예방법이다.

안드로이드 기반 악성앱(APK)이 설치되었을 경우에는 신속하게 삭제조치하면 피해를 최소화할 수 있다. 다만, 설치 아이콘을 숨기는 경우나 정상앱처럼 리패키징하여 위장하는 경우, 추가 악성앱을 몰래 다운로드하여 설치하는 경우도 발견되고 있으므로, nProtect Mobile for Android 제품으로 전체검사를 수시로 수행해 보는 것이 좋다.

만약 단축 URL 주소를 포함한 의심스러운 문자메시지를 수신할 경우 해당 화면을 캡처하여 잉카인터넷 대응팀(erteam@inca.co.kr)으로 첨부해서 신고하면 악성 사기문자 여부를 분석하여 신속하게 결과를 통보해 주고있다.

점차적으로 유포 및 감염에 있어 지능화 되어 가는 안드로이드 악성 앱들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

01. nProtect Mobile for Android 모바일 백신을 최신엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

02. 안드로이드 앱 다운로드시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

03. 문자메시지(SMS)로 받은 쿠폰이나 이벤트, 특정 프로그램으로 소개하는 단축 URL 주소로 악성앱이 배포되는 경우가 많으므로, 추가 앱이 설치되지 않도록 각별히 주의한다.

04. 다운로드한 앱은 항상 nProtect Mobile for Android 제품으로 검사한 후 사용 및 설치 하도록 한다.

05. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

06. 발신처가 불분명한 SMS 등의 메시지, 이메일 등의 열람을 자제하고, 소액결제서비스를 이용하지 않는 경우 해당 이동통신사에 차단을 요청해 둔다.

07. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

08. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

09. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

10. 루팅 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

◆ nProtect Mobile for Android 탐지 한국 맞춤형 악성앱 대표 진단명

- Trojan/Android.KRSpammer
- Trojan/Android.KRSpyBot
- Trojan/Android.KRBanker
- Trojan/Android.KRDDoS
- Trojan/Android.KRFakeCop
- Trojan/Android.KRFakeChat

 


저작자 표시
신고
Posted by nProtect

1. 개 요


최근 성인 동영상 파일로 위장한 악성파일이 웹 하드 사이트 등을 통해서 지속적으로 유포가 이루어지고 있다.
지난번에도 블로그를 통해 공개한 바 있듯이 유포처가 주로 국내 웹 하드 사이트이고, 해당 악성파일이 자극적인 내용의 파일명으로 위장되어 있어 일반 사용자들의 경우 인터넷을 통해 파일을 다운로드할때 각별한 주의가 필요한 상태이다. 특히, 이러한 성인 동영상 위장형 악성파일의 경우 파일 크기가 일반적인 동영상 파일 크기 수준이며, 확장명이 .exe 형태이나 실행 시 .avi 등의 동영상 파일을 재생하는 것이 특징이므로 이점 또한 참고할 수 있도록 하자.

  

[주의]악성파일을 품은 섹스 동영상, 당신을 유혹한다.

http://erteam.nprotect.com/254

2. 유포 경로 및 감염 증상

이번에 발견된 해당 악성파일 또한, 이전과 마찬가지로 국내 웹 하드 사이트를 중심으로 유포가 이루어졌으며, 실제 유포중이었던 일부 웹 하드 사이트에서는 관련 게시글이 삭제된 상태이다.


해당 악성파일은 위 그림과 같이 동영상 파일과 관련된 아이콘으로 위장하고 있으며, 일단 감염되면 "특정 외부 사이트와 지속적인 통신을 시도하는 등 Backdoor 및 Bot 형태의 감염 증상", "특정 웹 사이트로의 자동 접속" 등 두가지 형태의 감염 증상을 보이고 있다. 다만, 특정 웹 사이트로의 자동 접속을 유발하는 경우에는 성인 동영상에 대한 재생이 이루어지지 않는다.
  

◈ 사례1

사례1은 외부 사이트와의 지속적인 통신을 시도하는 악성파일의 경우이며, 추가적인 악성파일의 생성 및 루트킷, 악성 서비스 등록 등의 감염 증상을 유발한다.

아래는 감염 시 생성되는 추가적인 악성파일에 대한 설명이다.

※ 생성파일

- (사용자 임시 폴더)\~__UNINST.EXE (100,840,764 바이트, 숙주파일의 복사본)
- (사용자 임시 폴더)\~pmThis.tmp (100,840,764 바이트, 숙주파일의 복사본)
- (사용자 임시 폴더)\(성인) 여대생꼬셔모텔에서.avi (정상적인 동영상 파일)
- (사용자 임시 폴더)\Server.exe (40,960 바이트, 서비스 등록)
- (윈도우 시스템 폴더)\drivers\GTHOOK.sys (7,168 바이트, 루트킷 기능 : server.exe 숨김/보호기능)

▶ (사용자 임시 폴더)란 일반적으로 "C:\Documents and Settings\(사용자계정)\Local Settings\Temp"를 말한다.
▶ (윈도우 시스템 폴더)란 일반적으로 "C:\WINDOWS\system32"를 말한다.

해당 악성파일은 감염 시 자신의 복사본(~__UNINST.EXE, ~pmThis.tmp)을 생성하게 되며, 이렇게 복사된 파일들을 해당 위치에서 그대로 실행하게 된다. 그후 실행된 악성파일 내부에 포함되어 있는 성인 동영상 파일을 "사용자 임시 폴더"에 추가적으로 생성한 후 해당 동영상 파일을 재생한다.

 


위 그림은 내부에 포함된 동영상 파일을 실행하기 위한 일부 구문이며, 아래의 그림과 같이 동영상 파일이 이상없이 재생 되는 것을 확인할 수 있다.


위와 같은 동영상 파일이 재생됨과 동시에 해당 악성파일은 "server.exe" 라는 추가적인 악성파일을 생성 및 실행하게 된다. 아래의 그림은 동영상 파일과 server.exe 악성파일에 대한 실행 분기를 나타내는 일부 구문이다.


server.exe 는 실행되면 "GHOOK.sys"와 같은 악성파일을 추가적으로 생성하게 되며, 자신을 서비스로 등록 한다.


일반적으로 등록된 서비스들이 매우 많기 때문에 악성코드가 등록한 서비스를 육안상으로 구별하기는 어렵다. 더군다나 해당 악성파일은 위 그림과 같이 서비스에 대한 설명 부분을 등록해 정상적인 서비스 값으로 위장하고 있어 일반 사용자의 경우 사실상 악성 여부를 판별하기는 힘들다고 볼 수 있다.


위 그림은 server.exe 악성파일이 지속적으로 외부 사이트와 통신을 시도하는 TCP 정보이며, 이를 통해 Backdoor 기능 수행 및 상황에 따라 Bot 기능을 수행할 수 있을 것으로 추정된다. 아래의 그림은 접속을 시도하는 IP에 대한 위치 추적 결과이다.


또한, server.exe 악성파일에 의해 생성되는 "GHOOK.sys"는 루트킷 기능을 수행하며, UNICODE 값을 파싱 후 조건에 따라 "윈도우 시스템 폴더"에 존재하는 server.exe 파일에 대한 프로세스 숨김 기능 및 파일 보호 기능을 수행하게 된다.
  

◈ 사례2

사례2는 특정 웹 사이트에 대한 자동 접속 기능을 수행하는 경우로 해당 악성파일을 실행하게 되면 아래의 그림과 같은 알림 창을 띄우게 된다.


"확인" 버튼을 클릭하게 되면, 아래의 그림과 같은 성인 화상채팅 사이트로 자동 접속하게 된다.


현재까지 위와 같은 해당 사이트 등에서 추가적인 악성파일을 유포하고 있지는 않지만, 언제든지 악의적인 목적에 의해 악성파일 유포를 시도할 수 있기 때문에 위와 같은 사이트 접속 시에는 반드시 주의가 필요하다.

3. 예방 조치 방법

위와 같은 악성파일들의 경우 자극적인 내용을 통해 다운로드 및 실행을 유도하기 때문에 일반 사용자의 경우 쉽게 현혹되어 감염상황을 유발할 수 있다. 또한, 실행 시 정상적으로 성인 동영상을 재생해주며, 현재 운영중인 웹 하드 사이트에서 배포되기 때문에 널리 알려진 웹 하드 사이트에 해당 악성파일이 업로드되면 수많은 사용자들의 PC가 감염될 수 있다.

때문에 이와 같은 악성파일로부터 안전한 PC사용을 위해서는 아래와 같은 "보안 관리 수칙"을 준수하는 등 사용자 스스로의 관심과 주의가 무엇보다 중요하다고 할 수 있다.

※ 보안 관리 수칙

1. 윈도우와 같은 OS 및 각종 응용 프로그램의 최신 보안 패치 생활화.

2. 신뢰할 수 있는 보안 업체에서 제공하는 백신을 항상 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 감시 기능을 "ON" 상태로 유지해 사용.

3. 인스턴트 메신저, SNS 등을 통해 접근이 가능한 링크 접속시 주의.

4. 출처가 불분명한 이메일에 대한 열람 및 첨부파일에 대한 다운로드/실행을 자제한다.


※ 잉카인터넷(대응팀)에서는 위와 같은 악성파일에 대해 아래와 같은 진단/치료 기능을 제공하고 있으며, 다양한 보안 위협에 대비해 24시간 지속적인 대응체계를 유지하고 있다.




저작자 표시
신고
Posted by nProtect