잉카인터넷 시큐리티대응센터 블로그

Arid Viper 그룹의 Android 사용자를 표적으로 하는 공격이 발견되었다. Cisco Talos에 따르면 해당 캠페인은 작년 4월부터 등장한 것으로 전해진다. 정상의 데이팅 애플리케이션과 유사한 모습으로 위장하여, 정보 탈취 및 악성 코드 다운로드 등의 악성 동작을 수행한다. 아래의 실행 화면은 ‘Skipped’ 이름으로 유포된 악성코드이다. 해당 앱은 악성 동작을 수행하기 위해, 여러가지 권한을 획득한다. 단말기의 종류 및 모델에 따라 일부 차이가 있으나, 접근성 권한과 알림 권한을 획득한다. 그리고 관리자 모드로 앱을 실행하도록 설정하고, 악성동작의 지속성을 유지하기 위해 해당 앱의 배터리 최적화 설정을 취소한다. 그리고 일부 제조사 보안 패키지를 탐지한 후, 자동 실행 설정을 수행한다. 그..

Fortinet 에 따르면, 최근 Flutter 오픈 소스 SDK를 사용한 악성 애플리케이션이 다량 발견된 것으로 전해진다. Flutter는 구글에서 제공하는 오픈소스 UI 개발 키트로, 이를 통해 제작된 애플리케이션은 리버싱이 어렵다는 점을 악용한 것으로 보여진다. 이러한 악성코드는 지난 6월에 처음 발견되었으며, 최근까지 지속적으로 나타나고 있다. 아래의 그림은 ‘BadgeProvider’라는 이름으로 유포된 악성코드의 실행화면으로, 애플리케이션의 이름으로 유추할 수 있는 동작보다 과도한 권한을 요구한다. 위의 권한을 획득하면, 단말기의 모델명, 전화번호, 네트워크 관련 정보 및 위치 등의 정보를 수집하여 원격지로 전송한다. 이때 공격자가 지정한 uid, password 파라미터를 함께 전송하여 공격..

최근, 단말기의 각종 정보를 탈취하고 원격 제어 동작을 수행하는 안드로이드 악성 애플리케이션이 발견되었다. 해당 앱은 Instagram을 위장하여 유포되었으며, 오픈소스인 Firebase Realtime Database를 악용하여 원격지와 통신하며 악성 동작을 수행한다. 해당 앱을 실행하면 좌측 하단의 그림과 같이 정상 Instagram 애플리케이션을 설치 및 실행하도록 한다. 로그인 버튼을 클릭하면, 정상 Instagram 로그인 페이지를 띄우면서 사용자를 속인다. 악성동작이 실행되기 위해, 아래의 그림과 같이 접근성 및 알림창 접근, admin의 권한을 요구한다. 이때, Admin 권한을 획득했다가 Disable 요청 이벤트가 발생되면 사용자 단말기 잠금 암호를 1234로 설정하고 Lock 해버린다...

메신저 앱으로 위장하여 사용자의 정보를 탈취하는 Gravity RAT이 다시 등장하였다. ESET에 따르면, 해당 악성 코드는 2015년부터 모습을 드러낸 것으로 전해진다. 아직 배후는 밝혀지지 않았으며, Windows, Android 및 macOS 등의 시스템에서 사용된 흔적이 발견되었다. 최근 확인된 캠페인에서는 각종 메신저 애플리케이션으로 위장한 형태로, SMS 메시지 및 통화 기록 등 단말기에 저장된 정보를 탈취한다. 아래의 그림은 BingeChat 메신저 앱으로 위장한 Gravity RAT의 실행화면이다. 정상적인 메시지 서비스를 제공한다. 정상적인 애플리케이션의 동작을 수행하지만, 백그라운드 모드에서 원격지와 통신하면서 각종 정보를 탈취한다. 먼저, 외부저장소에 저장된 특정 확장자의 파일 리스..

국내 포털 사이트에서 제공하는 웹 메일 서비스 애플리케이션을 위장한 악성 앱이 등장하였다. 해당 악성 앱은 사용자를 속이기 위해 정상적인 메일 서비스를 제공하면서, 백그라운드 모드에서 악성 동작을 수행한다. 피해자의 단말기 정보를 비롯하여 SMS 메시지, 통화 기록 등의 정보를 탈취한다. 악성 앱은 아래의 그림과 같이, 정상 애플리케이션과 동일한 모습을 하고 있다. 하지만 해당 앱은 악성동작을 수행하기 위해, 접근성 권한 및 인터넷, 문자메시지, 오디오 등과 같은 과도한 권한을 요구한다. 권한을 획득하면 SMS 메시지 및 단말기 정보, 통화 기록 등을 탈취한다. 그리고 아래의 그림과 같이, 통화를 녹취하고 원격지로 전송하는 동작을 수행한다. 이는 전화가 활성화 중이거나, 대기 중이거나, 전화를 걸고 있는..

최근 GitHub에서 새로운 안드로이드 정보탈취 앱이 발견되었다. 해당 앱은 ‘DogeRat’이라는 이름으로 불리며, SMS 메시지 및 통화기록 등의 정보 탈취 동작을 수행한다. DogeRat은 교육 및 내부용으로 제작되었으며, 개발자가 제공하는 여러 가지 서비스를 활용하여 커스터마이징할 수 있다. DogeRat은 몇 번의 업데이트가 있었던 것으로 보여지며, 가장 최신 버전의 경우 ‘YOUTUBE PREMIUM’의 이름으로 제작 및 배포되었다. 실행화면의 우측 하단 ‘Next’ 버튼을 누르면 각종 권한을 요구한다. 그리고 알림창 접근성 권한까지 획득하고 나면 Youtube 창을 띄워 정상 앱인 척 사용자를 속인다. 단말기의 제조사 및 모델 정보와 배터리 상태, SDK 버전 및 밝기 등의 정보를 획득하여 ..

최근 인도 뭄바이에 본사를 둔 ICICI 은행을 위장한 악성 앱이 발견되었다. 해당 악성 앱은 정상 앱의 모습과 유사한 형태로 사용자를 속여 개인 정보 입력을 유도한다. 사용자의 전화번호, ATM 비밀번호, ID, PW 및 카드의 Grid 번호 등의 정보를 탈취한다. 지난 해 9월에도 인도의 한 은행을 사칭한 악성 앱이 발견된 적이 있으며, 이에 대한 자세한 내용은 아래의 링크에서 확인 가능하다. https://isarc.tachyonlab.com/5318 아래의 그림에서 파란색 상자가 정상적으로 판매되는 ICICI 은행의 애플리케이션들 중 하나이며, 그 아래 빨간색 상자의 ‘ICICIBank’가 악성 앱이다. 이와 같이 정상 앱과 유사한 모습의 아이콘을 통해 사용자를 속인다. 악성 앱을 실행하면, 아래..

한국을 대상으로 하는 악성 앱, FakeCalls 가 다량 발견되었다. 해당 악성코드는 은행 앱으로 위장하였으나, 단말기에 저장된 연락처 및 SMS 등을 탈취하는 등의 악성 동작을 수행한다. 또한, FakeCalls를 기본 전화 앱으로 활성화하여 단말기의 전화 기능을 통제한다. CheckPoint에 따르면, 정상 뱅킹 애플리케이션으로 위장하여 사용자를 속이고 대출 관련 보이스 피싱을 통해 최종적으로 사용자의 카드 정보를 탈취하는 것으로 전해진다. 아래의 그림과 같이 정상 은행 애플리케이션의 아이콘을 보여주면서 사용자를 속인다. 해당 앱을 실행하면 하단 좌측의 그림과 같이, 추가적인 설치를 유도하고 권한을 요구한다. 사용자가 해당 권한을 부여하면 악성 동작을 하는 애플리케이션이 설치 및 실행된다. 위의 앱..

최근 중국에서 유포된 것으로 보이는 정보탈취 앱이 발견되었다. 이 악성 앱은 중국에서 제작 및 판매되는 한 프레임워크를 사용하여 제작되었으며, 앱의 언어 또한 중국어로 설정되어있다. 해당 악성코드는 쇼핑 앱으로 위장하였으며, 문자메시지를 탈취하고 원격지와 통신하여 추가적인 다운로드 동작을 수행한다. 해당 앱은 아래의 그림과 같이 웹사이트를 통해 유포되었으며, 설치 버튼을 누르면 애플리케이션이 다운로드 된다. 문자메시지 수신 동작이 확인되면, 문자메시지 내용과, 수신지, 날짜, 앱의 버전, 안드로이드 id 등의 정보를 탈취하여 원격지로 전송한다. 그리고 원격지와 연결하여 애플리케이션을 설치한다. 해당 앱은 외부저장소의 ‘/dcloud_ad/apk/[시스템 시간].apk’ 경로에 저장된다. 현 분석 시점에는..

최근 해외의 보안 소프트웨어의 이름으로 유포된 악성 앱이 발견되었다. 해당 앱은 단말기에서 나타나는 알림을 탐지하여, 수신되는 SMS 문자메시지 및 Gmail 등의 정보를 탈취하고, 단말기에 설치된 애플리케이션의 정보를 탈취한다. 그 외에도 특정 번호로 전화를 거는 등의 동작을 수행한다. 하단 좌측 그림과 같이 악성 앱은 ‘AVG Antivirus Securite’ 라는 이름으로 유포되었다. 하지만 해당 앱이 실행되면, 하단 우측 그림의 빨간 상자와 같이 ‘Youtube’로 아이콘과 이름이 변경된다. 다음 코드에서 보이는 것과 같이, 악성 앱은 필요한 권한을 획득하기 위해 접근성 노드 정보에 대해 허용의 버튼을 임의로 클릭한다. 그 외에도 사용자의 눈에 띄지 않기 위해서, 알람과 같은 시스템 알림의 소리..