잉카인터넷 시큐리티대응센터 블로그

개요 Samsung과 Qualcomm 사는 Android 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 위독함 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Android TV v2021-11-06 및 이후 버전 - Android AOSP v9, v10, v11, v12 및 이후 버전 - Qualcomm 칩셋 v1.0 및 이후 버전 참고자료 https://source.android.com/security/bulletin/2021-11-01#android-tv https://source.android.com/security/bullet..

최근, Google Play를 비롯한 삼성의 Galaxy Store, Amazon의 Appstore 등 여러 앱 스토어에 AbstracEmu악성코드가 다량 배포되었다. 해당 악성 앱은 안드로이드를 대상으로 하며, CVE-2020-0069을 포함한 여러 취약점을 사용하는 특징을 가지고 있다. AbstracEmu는 최종적으로 원격지와 통신하며, 감염된 단말기를 모니터링하고 녹음 및 녹화하는 등의 원격 제어 동작을 수행한다고 밝혀졌다. Google Play에서 10,000건 이상의 다운로드를 기록했던 악성 앱은 현재 스토어에서 삭제되었다. 사진 출처: Lookout 출처 [1] Lookout (2021.10.29) – Rooting Malware Makes a Comeback: Lookout Discovers..

최근 일본을 대상으로 하는 Android 정보탈취 앱인 FakeCop이 발견되었다. FakeCop은 일본의 통신회사인 KDDI를 사칭하는 피싱 캠페인을 통해 유포된 것으로 전해진다. 해당 앱은 일본 인기 백신 제품인 Anshin Security를 가장하였으나, SMS 문자메시지와 연락처 및 계정정보 등을 획득할 뿐 아니라 단말기에 저장된 데이터 베이스를 삭제하는 등의 악성 기능이 있는 것으로 밝혀졌다. 또한, 장치에 저장된 앱 목록을 확인하여 보안 프로그램이 있는 경우, 자가 삭제 동작을 수행하여 사용자가 악성 앱인 것을 눈치채지 못하도록 한다. 사진 출처: Cyble 출처 [1] Cyble (2021.10.29) – New Variant Of FakeCop Targeting Users From Japa..

Donot Team은 APT-C-35라고도 불리며, 2020년 처음 등장한 이래로 특정 국가를 대상으로 지속적인 공격을 수행하였다. 주로 모바일 단말기를 대상으로 Firestarter 악성코드를 사용하여 APT 공격을 수행하였는데, 최근에 변종이 등장하였다. 이번에 등장한 변종은 지난 캠페인의 악성 동작과 유사하지만, 코드를 난독화 하거나 추가적인 악성동작을 수행하는 등 더욱 치밀하게 제작되었다. 지난 4월의 APT 공격은 자사 블로그에서도 언급한 바가 있어 아래의 링크에서 확인할 수 있다. https://isarc.tachyonlab.com/3919 앱을 실행하면 아래의 이미지와 같이, 각종 권한을 획득한 다음 아무런 화면도 띄우지 않지만, 각종 악성 동작이 수행된다. 해당 악성코드는 단말기의 유심 정..

공격자는 언제나 사람들을 유혹하기 위해 유행하는 콘텐츠를 활용한다. 최근 넷플릭스의 오징어 게임이 세계적인 인기를 끌면서 이와 관련된 안드로이드 악성 앱이 우후죽순으로 늘고 있다. 이번에 발견된 안드로이드 앱은 겉으로는 바탕화면을 오징어 게임과 관련된 이미지로 바꾸는 기능을 가졌지만, 백그라운드에서 Joker 라는 이름으로 알려진 악성 앱을 다운로드하고 실행한다. 악성 앱을 실행하면 서버로부터 so 확장자의 추가 악성 파일을 다운로드하고 로딩한다. so 확장자 파일은 또 다른 서버로부터 암호화된 Joker 악성 앱을 다운로드하며, 복호화 후 실행하여 본격적인 악성 행위를 준비한다. 다운로드된 Joker 는 사용자 몰래 유료 구독 서비스를 결제하는 기능을 수행한다. C&C 서버로부터 이와 관련된 작업 데이..

최근 다양한 경로로 안드로이드 악성 앱이 유포되어 문제가 되고 있는 와중에, Google Play에서 정상 앱을 위장한 악성 앱이 발견되어 큰 주의가 필요하다. 이 악성 앱은 “GoGo VPN”이라는 이름으로 유포되었으며, Facebook 로그인을 유도하여 입력된 사용자 정보를 웹사이트의 쿠키를 통해 탈취한다. 지난 8월에 발견된 FlyTrap 악성코드와 유사한 동작으로 해당 정보는 아래의 링크를 통해 확인할 수 있다. https://isarc.tachyonlab.com/4389 해당 앱은 현 분석시점에도 Play에서 판매중인 것으로 확인된다. 앱을 실행하면 하단 좌측 화면과 같이 연결을 요구하여, 해당 버튼을 누르면 Facebook 로그인을 요구한다. 이래의 그림과 같이 획득한 토큰은 Base64로 인..

개요 Samsung과 Qualcomm 사는 Android 제품에서 발생하는 취약점에 대한 보안 업데이트를 발표하고, 관련 취약점을 해결하기 위해 최신 버전으로 업데이트할 것을 권고하였다. 이와 관련된 긴급(Critical) 취약점에 대해서 기술한다. 기술 해결방안 제조사 홈페이지를 참고하여 취약점이 해결된 아래 버전으로 업데이트를 적용한다. - Qualcomm 칩셋 v1.0 및 이후 버전 - Android AOSP v8.1, 9, 10, 11 및 이후 버전 참고자료 https://source.android.com/security/bulletin/2021-10-01 https://www.qualcomm.com/company/product-security/bulletins/august-2021-bulletin

최근 안드로이드 단말기 사용자를 대상으로 은행을 사칭한 악성 앱의 공격이 급증하고 있다. 이는 코로나 19로 인해 대출 상품의 이용이 증가하고 있는 사회적 이슈를 악용한 공격으로, 올해 중순부터 지속적으로 발견되고 있다. 이러한 공격은 지난 8월 초, 국내의 한 금융 회사로 위장한 모습으로 처음 발견되었다. 해당 악성 앱은 정상 앱과 매우 유사한 모습을 하고 있으나, 과도한 권한을 요구하고 사용자의 각종 정보를 탈취하는 등의 악성 동작을 수행한다. 이에 관한 자세한 정보는 아래의 링크에서 확인할 수 있다. https://isarc.tachyonlab.com/4323 최근 발견된 악성 앱들은 아래의 [그림1]과 같이 국내에 있는 각종 은행을 사칭하고 있다. 해당 악성 앱들의 메인 화면은 매우 유사한 모습을..

트로이 목마 Cerberus 기반으로 만들어진 새로운 형태의 Android 뱅킹 트로이목마 ERMAC가 발견되었다. ERMAC은 7월 말에 등장하여 Google Chrome, 안티바이러스, 뱅킹 및 미디어 앱으로 위장하여 사용자들에게 유포되었다. 해당 악성코드는 Cerberus와 동일하게 사용자의 개인정보를 탈취, 설치된 응용 프로그램을 동작 할 수 있다. RAT와 같이 강력한 기능을 가진 것은 아니지만 모바일 뱅킹 사용자 및 금융기관에 위협적인 악성코드임으로 주의가 필요하다. 출처 [1] threatfabric (2021-09-29) - ERMAC - another Cerberus reborn https://www.threatfabric.com/blogs/ermac-another-cerberus-reb..

최근, "Chrome App" 으로 위장하여 정보 탈취 동작을 수행하는 "AbereBot" 이 발견되어 주의가 요구된다. 사용자가 해당 악성 앱을 "Chrome App" 으로 잘못 인식하여 실행 할 경우, "AbereBot" 은 여러가지 과도한 권한을 요구하며 사용자가 이를 수락하면 단말기의 주요 정보를 수집하거나 가짜 웹 뷰를 출력하여 사용자에게 정보 입력을 유도하는 등 악성 행위를 한다. 해당 악성 앱이 실행 되면, 단말기 내의 연락처 목록과 OTP 인증번호가 있는 SMS 메시지 등을 모두 수집하고 Telegram Bot을 이용하여 원격지로 전송하거나 명령을 전달 받는다. Telegram 은 여러 플랫폼을 지원하는 인터넷 메신저 이다. Telegram Bot 은 Telegram 에서 최근에 새로 추가..