1. 안드로이드 스미싱, 시기적절한 변신술?
잉카인터넷 대응팀은 모바일 청첩장으로 위장하여 안드로이드 악성앱 변종을 다수 유포 중인 정황을 포착하였다. 특히, 해당 악성앱들은 수신자의 실명 이름을 문자메시지(SMS)에 직접 포함하거나 거론하는 등 나날이 지능화되고 있다. 가짜 문자메시지를 수신한 사람 중에 실제 결혼식에 참석할 예정이거나 주변 지인이 보낸 실제 청첩장으로 오인하여 문자메시지에 포함된 단축 인터넷 주소를 클릭할 경우 악성앱에 감염되어 예기치 못한 피해를 입을 수 있으므로, 각별한 주의가 필요하다. 잉카인터넷 대응팀에서 해당 악성앱의 유포 수법과 경유지 등을 추적해 본 결과 악성앱 유포자는 이전에도 불특정 다수의 특정 이름을 거론하면서 전화통화가 어려우니 문자에 포함된 앱을 설치하도록 유도했던 이력도 있고, 스마트폰 데이터 사용초과 및 이용요금 합산청구 내역 확인내용으로 위장하여 악성앱을 유포했던 경우도 파악된 상태이다. 공격자는 이미 유출된 개인정보를 악용해서 개인 휴대 전화번호와 이름 등을 악용해서 악성앱 설치를 유도하고 있는 것이다.
★ 소액결제사기 등 스미싱 원천차단방지 솔루션 "뭐야 이 문자"
☞ http://erteam.nprotect.com/400
2. 모바일 청첩장 눌렀다가 안드로이드 악성앱 감염
일반적으로 결혼식은 휴일에 진행되는 경우가 많다는 점과 사용자들이 문자메시지를 열어볼 가능성이 높다는 심리를 교묘히 악용하여 2013년 03월 첫째 주 주말기간 모바일 청첩장으로 위장한 문자메시지 피싱(스미싱)형태가 다수 보고되었다. 해당 문자메시지는 이미 유사한 변종이 다수 보고되었던 것으로 이전에 보고되었던 형태는 다음과 같다.
이** 나야 전화가 안되서 이걸로 나랑 대화해 많이 급하다www.kid*******ct.com/kids.apk
하** 나야 지금 전화가 안돼 이걸로 하자 급해 www.adu********ct.com/adult.apk
김** 나야 지금전화가 안돼 이걸로 하자 급해 www.mar*****19.com/mar****19.apk
박**님 데이타사용초과 익월요금합산청구 학인 http://mar****19.net/a.apk
다음으로 최근 보고된 모바일 청첩장으로 위장했던 내용은 다음과 같이 다양한 형태가 동시다발적으로 사용됐다.
허**님 모바일 청첩장이 도착했습니다 http://mar****1.net/a.apk
최**님 모바일 청첩장이 도착했습니다 http://mar*****4.org/a.apk
여**님 모바일 청첩장이 도착했습니다 http://mar****2.org/a.apk
[#Update 2013. 03. 06]
발신번호 사칭 : 1588-2345
노**님 모바일청첩장이 도착하였습니다 mar*****2.net
apk 파일은 메인 인덱스파일의 스크립트를 통해서 작동하며, 이런 방식은 문자필터링을 우회하기 위한 수법이다.
[#Update 2013. 03. 08]
심**님 사진이도착하였습니다 http://mar******.net
김** 이번동창회 3월15일 장소약도야 mar*****.org
강** 이번동창회 3월15일 동창회장소약도 mar*****.net
윤** 이번동창회3월15일 장소약도야~! s**.net
이용자가 문자메시지에 포함되어 있는 인터넷 주소를 클릭하면 다음과 같이 "a.apk", "1.apk", "2.apk", "7.apk", "5.apk" 등의 악성앱이 다운로드된다.
특히, 최근에 발견되는 악성앱의 경우 설치된 앱이 다수의 특정 도메인으로 접속하여 "update.apk" 변종파일을 설치하는 것이다. 다운로더 기능의 수행하는 형태로 진화하고 있는 것을 증명하고 있다.
[#Update 2013. 03. 15]
모바일청첩장이 도착하셨습니다 www.phone***.net/hoppin.apk
[#Update 2013. 03. 16]
[한진]택배가 발송되었습니다.간편하게 택배조회가가능합니다.http://goo.gl/****
다운로드가 완료된 후에 사용자가 "a.apk" 파일을 클릭하여 설치를 시도하게 될 경우 다음과 같이 해당 악성앱이 수행할 권한이 보여진다. 악성앱은 "update" 라는 내용과 안드로이드 아이콘으로 위장되어 있으며, 문자메시지와 인터넷기능, 휴대폰 상태 등을 이용해서 정보유출을 시도하게 된다.
설치가 완료되면 스마트폰 화면에 아래와 같이 "update" 라는 이름과 구글 안드로이드 아이콘으로 생성된다.
해당 앱을 실행하면 가짜 오류 메시지 내용을 보여주어 사용자로 하여금 일시적인 장애로 착각하도록 만든다.
네트워크 오류가 발생하였으니,
잠시후 다시 접속해 주시기 바랍니다.
악성앱은 사용자에게 수신되는 문자메시지(SMS) 등을 사용자 몰래 훔쳐내어 사이버 범죄나 사생활침해 등의 피해를 입게 할 수 있으므로, 이용자들은 인터넷 주소가 포함된 의심스러운 문자메시지를 무심코 클릭해서 실행하지 않도록 하여야 한다.
3. 예방 조치 방법
대부분의 악성앱은 사용자들이 육안상으로 악성 동작을 확인하기 어려우며, 손쉽게 유포하기 위해 제작자들은 정상적인 앱으로 위장하게 된다. 또한, 내부에 특정 오류 출력 구문 등을 삽입하여 마치 정상적인 앱이 오동작을 일으킨것 처럼 위장하고 있는 경우도 있어 일반 사용자들은 이부분에 쉽게 현혹될 수 있다.
만약 단축URL 주소를 포함한 의심스러운 문자메시지를 수신할 경우 해당 화면을 캡처하여 잉카인터넷 대응팀(erteam@inca.co.kr)으로 첨부해서 신고하면 악성 사기문자 여부를 분석하여 신속하게 결과를 통보해 주고있다.
악성앱이 설치되었을 경우에는 신속하게 삭제조치하거나 아이콘을 숨기는 경우도 존재하여 육안으로 파악하기 어려운 경우도 있으므로, nProtect Mobile for Android 제품으로 전체검사를 수행해 보는 것도 좋다.
방송통신위원회는 최근 스마트폰 소액결제에 대한 민원이 급증하자 피해구제를 위해서는 방통위(http://www.kcc.go.kr) 홈페이지 또는 국민신문고(http://www.epeople.go.kr) 홈페이지를 통해서 민원을 접수해야 한다고 강조한다. 소액결제 한도를 필요한 만큼만 하향조정하거나 사용하지 않을 경우 소액결제 자체를 차단해 두면 유사피해를 예방할 수 있다.
소액결제피해민원 중재센터
휴대폰소액결제 민원신고 818센터 (www.sinmungo.org)
방송통신위원회 (www.ekcc.go.kr)
전자거래분쟁조정위원회 (www.ecmc.or.kr)
공정거래위원회 (www.ftc.go.kr)
소비자상담센터 (www.ccn.go.kr)
점차적으로 유포 및 감염에 있어 지능화 되어 가는 안드로이드 악성 앱들을 일반 사용자들은 손쉽게 파악하기 힘들 수 있으므로 안전한 스마트폰 사용을 위해서는 아래와 같은 "스마트폰 보안 관리 수칙"을 준수하는 등 사용자 스스로 관심과 주의를 기울이는 것이 최선의 방법이라 할 수 있겠다.
1. 신뢰할 수 있는 보안 업체에서 제공하는 모바일 백신을 최신 엔진 및 패턴 버전으로 업데이트하여 실시간 보안 감시 기능을 항상 "ON" 상태로 유지해 사용할 수 있도록 한다.
2. 애플리케이션 다운로드 시 항상 여러 사용자를 통해 검증된 애플리케이션을 선별적으로 다운로드 하는 습관을 가질 수 있도록 한다.
3. 문자메시지로 받은 쿠폰이나 이벤트, 특정 프로그램으로 소개하는 단축URL 주소로 악성파일이 배포되는 경우가 많으므로, 추가 애플리케이션이 설치되지 않도록 각별히 주의한다.
4. 다운로드한 애플리케이션은 항상 모바일 백신으로 검사한 후 사용 및 설치 하도록 한다.
5. 스마트폰을 통해 의심스럽거나 알려지지 않은 사이트 방문 또는 QR 코드 이용시 각별히 주의한다.
6. 발신처가 불분명한 MMS 등의 메시지, 이메일 등의 열람을 자제한다.
7. 스마트폰에는 항상 비밀번호 설정을 해두고 사용하도록 한다.
8. 블루투스와 같은 무선 인터페이스는 사용시에만 켜두도록 한다.
9. 중요한 정보 등의 경우 휴대폰에 저장해 두지 않는다.
10. 루팅과 탈옥 등 스마트폰 플랫폼의 임의적 구조 변경을 자제한다.
◆ nProtect Mobile for Android 탐지 진단명
- Trojan/Android.KRSpyBot.A
- Trojan/Android.KRSpyBot.B
- Trojan/Android.KRSpyBot.C
- Trojan/Android.KRSpyBot.D
- Trojan/Android.KRSpyBot.E 외 변종 계속 추가 중
◈ nProtect Mobile for Android 다운로드 URL
☞ https://play.google.com/store/apps/details?id=com.inca.nprotect
'분석 정보 > 모바일 분석 정보' 카테고리의 다른 글
| [주의]한국 모바일 보안 프로그램으로 위장한 스미싱 기승! (0) | 2013.04.04 |
|---|---|
| [주의]11번가, 아웃백, 신세계몰, G마켓, 모빌리언스, 다날로 위장한 스미싱! (0) | 2013.03.20 |
| [주의]스마트 뱅킹용 악성앱 다수 등장 중 공인인증서 탈취 기능 보유 [#Update 2013. 03. 13] (1) | 2013.03.13 |
| [주의]nProtect Mobile 제품으로 위장한 안드로이드 악성앱 등장 (#Update 2013. 03. 13) (1) | 2013.03.13 |
| [긴급]보험료 미환급금 조회, 아이피 사칭 스미싱 등장 (#Update 2013. 03. 13) (3) | 2013.03.13 |