[긴급]띵동! 연말정산 환급금 도우미 탈을 쓴 악마앱의 유혹

1. SMS 단축URL과 안드로이드 악성앱 이용한 공공의 적

그동안 ▲구글코리아 ▲카카오 업데이트 ▲V3모바일 ▲복지알림이 ▲알약모바일 ▲발렌타인데이 제과점 및 외식업체 쿠폰 등 다양한 이벤트 형태로 사칭한 한국 맞춤형 모바일 DDoS 및 소액결제 과금 유발형 안드로이드 악성앱들에 대한 공격사례를 업계 최초로 여러차례 공개한 바 있다. 그에 따라 관계기업이나 기관, 언론 등을 통해서 다수의 주의보가 발령되기도 하였다. 특히, 잉카인터넷 대응팀은 보안 사각지대에 놓여 있던 안드로이드 보안위협에 대한 다양한 실체와 현상을 신속히 진단하고 사회적 문제로 대두되고 있는 현실을 구체적 사례 기반의 정보로 꾸준히 알리고 있는 선봉장 역할을 수행하고 있다. 이런 가운데 연말정산 환급금 신청기간과 즈음하여 납세자 연맹으로 위장하고, 마치 누락된 국세청 연말정산의 환급금 도우미 신청내용으로 가장한 문자메시지(SMS)가 살포된 정황을 추가 포착하였다. 

★ 소액결제사기 등 스미싱 원천차단방지 솔루션 "뭐야 이 문자"
☞ http://erteam.nprotect.com/400

이번에도 사회분위기와 사용자의 심리를 교묘하고 적절히 악용하여 이용자 스스로 안드로이드 악성앱을 설치하도록 유인하였다. 만약 악성앱에 감염이 되면 사이버 범죄자들에 의해서 최대 30만원 상당의 휴대폰 소액결제 피해를 입을 수 있으므로. 연말정산을 이용하는 직장인들의 각별한 주의가 필요하다. 아울러 과거 연말정산 환급금 신청에 실제로 한국 납세자 연맹의 환급 도우미 서비스가 제공된 바 있었기 때문에 만에하나 유사한 수법의 사기문자를 목격할 경우 절대 단축URL 주소를 클릭하지 말아야 한다. 이처럼 하루가 다르게 변모하고 있는 스마트 시대에 상상하기 어려울 정도로 빠르게 직면한 안드로이드 보안위협은 이제 남의 일로만 치부하기엔 너무 늦었다는 점을 반드시 명심해야 한다.

[주의]이마트, 피자헛, 롯데시네마, 복지알림이, 알약으로 위장한 악성앱의 본색 드러남
☞ http://erteam.nprotect.com/389

[주의]발렌타인데이 모바일쿠폰 위장 신형 안드로이드 악성앱 발견
☞ http://erteam.nprotect.com/388

[주의]안드로이드 전용 모바일 보안업데이트로 가장한 좀비폰 미끼
☞ http://erteam.nprotect.com/387

[주의]허위 햄버거 할인쿠폰 및 이벤트 문자메시지(SMS)의 역습
☞ http://erteam.nprotect.com/386

[긴급]한국 맞춤형 소액결제 과금형 안드로이드 악성앱 피해 급증
☞ http://erteam.nprotect.com/377

[칼럼]안드로이드 악성앱, 승인문자 갈취 소액결제 사기범죄 피해증가
☞ http://erteam.nprotect.com/363

2. 연말정산 환급금 도우미로 둔갑한 지능화된 소액결제사기

이번에 발견된 문자메시지는 다음과 같이 납세자연맹 누락된 국세청 연말정산 환급금 환급도우미로 신청하세요라는 문구와 함께 구글 단축 URL 주소를 포함하고 있는데, 문자에 포함된 단축 URL 주소를 클릭할 경우 악성앱이 있는 사이트로 접근하게 된다.

 

문자메시지에 포함된 구글 단축URL 주소를 클릭하면 해외 Dropbox 파일공유 사이트에 등록되어 있는 "smartbilling.apk" 악성앱 파일이 다운로드 시도된다.

APK 파일 내부에는 아래와 같이 다양한 방식의 앱으로 위장할 때 사용하기 위한 목적의 아이콘 리소스가 포함되어 있고, 한국납세자연맹 아이콘이 가장 최근에 포함된 최신 변종이다.

다운로드 완료 후에 사용자가 해당 APK 파일을 실행하면 다음과 같이 한국납세자연맹 아이콘과 글자로 위장한 악성앱의 설치 진행여부를 묻는 화면이 나온다. 기존 소액결제 사기앱(KRSpammer)들과 동일하게 문자메시지(SMS)를 수신하거나 인터넷 기능을 사용하는 등 악의적인 목적의 권한을 다수 사용하는 것을 확인할 수 있다.

 

최종적으로 [설치] 버튼을 클릭하게 되면 아래와 같이 설치가 완료되며, 스마트폰 단말기에도 악성 앱 아이콘이 추가 등록된다.

 

사용자가 정상적인 앱으로 착각하여 한국납세자연맹 아이콘을 클릭하여 실행하면 아래와 같이 고의로 조작된 가짜 에러화면과 내용을 보여주고, 마치 이용자폭증으로 인한 일시적인 접속에러로 보이도록 속이게 한다.

하지만 아래 내용은 단순히 사용자가 착각하게 만드는 과정이고, 악성앱을 전파시킨 사이버 범죄자는 감염된 이용자의 명의와 신분을 도용하여 게임관련 사이트 등에서 정상적인 소액결제를 수행하고 전송되는 승인문자를 은밀히 가로채어 실제 휴대폰 이용자에게 소액결제 과금을 전가시키는 사기피해를 입히게 된다. 

Error!
Error Code: [Error]현재
이용자폭증으로 인하여
접속불가능하오니 잠시 후에 다시
접속해 주시기 바랍니다.

3. 예방 조치 방법

대부분의 악성 애플리케이션은 사용자들이 육안상으로 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 애플리케이션으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 애플리케이션이 오동작을 일으킨 것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이부분에 쉽게 현혹될 수 있다.

만약 단축URL 주소를 포함한 의심스러운 문자메시지를 수신할 경우 해당 화면을 캡처하여 잉카인터넷 대응팀(erteam@inca.co.kr)으로 첨부해서 신고하면 악성 사기문자 여부를 분석하여 신속하게 결과를 통보해 주고있다.

방송통신위원회는 최근 스마트폰 소액결제에 대한 민원이 급증하자 피해구제를 위해서는 방통위(http://www.kcc.go.kr) 홈페이지 또는 국민신문고(http://www.epeople.go.kr) 홈페이지를 통해서 민원을 접수해야 한다고 강조한다. 소액결제 한도를 필요한 만큼만 하향조정하거나 사용하지 않을 경우 해당 이동통신사에 소액결제 자체를 차단해 두면 유사피해를 예방할 수 있다.

소액결제피해민원 중재센터
휴대폰소액결제 민원신고 818센터 (www.sinmungo.org)
방송통신위원회 (www.ekcc.go.kr)
전자거래분쟁조정위원회 (www.ecmc.or.kr)
공정거래위원회 (www.ftc.go.kr)
소비자상담센터 (www.ccn.go.kr)

점차적으로 유포 및 감염에 있어 지능화 되어 가는 안드로이드 악성 앱들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.

※ 스마트폰 보안 관리 수칙

1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.

2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.

3. 문자메시지로 받은 쿠폰이나 이벤트, 특정 프로그램으로 소개하는 단축URL 주소로 악성파일이 배포되는 경우가 많으므로, 추가 애플리케이션이 설치되지 않도록 각별히 주의한다.

4. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.

5. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.

6. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.

7. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.

8. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.

9. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.

10. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.

◆ nProtect Mobile for Android 탐지 진단명

- Trojan-SMS/Android.KRSpammer.A
- Trojan-SMS/Android.KRSpammer.B
- Trojan-SMS/Android.KRSpammer.C
- Trojan/Android.KRSpammer.D
- Trojan/Android.KRSpammer.E
- Trojan/Android.KRSpammer.F
- Trojan/Android.KRSpammer.G
- Trojan/Android.KRSpammer.H
- Trojan/Android.KRSpammer.I
- Trojan/Android.KRSpammer.J
- Trojan/Android.KRSpammer.K
- Trojan/Android.KRSpammer.L
- Trojan/Android.KRSpammer.M
- Trojan/Android.KRSpammer.N
- Trojan/Android.KRSpammer.O
- Trojan/Android.KRSpammer.P
- Trojan/Android.KRSpammer.Q
- Trojan/Android.KRSpammer.R
- Trojan/Android.KRSpammer.S
- Trojan/Android.KRSpammer.T
- Trojan/Android.KRSpammer.U
- Trojan/Android.KRSpammer.V
- Trojan/Android.KRSpammer.W 외 다수

◈ nProtect Mobile for Android 다운로드 URL
☞ https://play.google.com/store/apps/details?id=com.inca.nprotect&feature=nav_result#?t=W10.