mobile 30

국내 보안 앱으로 위장한 정보탈취 악성 앱

최근 한 보안프로그램을 위장한 악성 앱이 발견되었다. 해당 앱은 정상적으로 동작하는 척하지만, 특정 버튼을 누르면 내부에 존재하는 파일을 실행하여 악의적인 동작을 수행한다. 백도어와 같이 원격지와 연결하여 명령을 받아 추가적인 동작을 수행하며, 그 외에 문자메시지와 통화 기록과 같은 각종 정보를 탈취한다. 11월 24일 업데이트 버전의 정상 앱은 아래의 좌측 그림과 같고, 발견된 사칭 악성 앱은 우측 그림과 같다. 사칭한 악성 앱은 과거의 UI를 따라한 것으로 추정된다. 해당 앱은 실제로 동작하지 않고, HTML 파일을 통해 동작하는 것처럼 위장하였다. 그리고, 특정 버튼을 누르면 APK 내부에 숨겨진 APK 파일을 로드하여 악성 동작을 실행한다. 아래 좌측 그림과 같이 앱이 설치되었지만, 사용자가 보는..

카드 정보 탈취하는 은행 사칭 앱

최근 은행으로 위장하여 정보 탈취를 시도하는 앱이 다량 발견되었다. 그 중 CITI은행을 사칭한 앱은 정상 앱과 유사한 UI로 사용자를 속여, 각종 개인 정보와 카드 정보를 입력하도록 한다. 그리고 원격지와 통신하여 입력한 정보를 탈취한다. 악성 앱을 실행하면 다음과 같은 화면이 나타난다. 입력 칸에 10자리의 전화번호를 입력하면 해당 정보를 원격지에 전송한다. 정상적으로 원격지와 통신이 되면, 악성 동작이 시작된다. 분석 시점에는 원격지와 통신이 되지않지만, 통신이 된다면 좌측 하단의 화면을 띄운다. Apply Now 버튼을 누르면 사용자의 정보를 입력하는 화면이 나타난다. 해당 화면에서 정보를 입력하고 Proceed 버튼을 누르면 해당 정보는 원격지로 전송된다. 인도의 식별번호인 Aadhar numb..

암호화폐 앱을 사칭한 정보 탈취 앱

암호화폐 앱을 사칭한 정보 탈취 앱 미국의 유명 암호화폐 회사인 Coinbase를 사칭한 악성 앱이 발견되었다. 해당 앱은 ‘CoinbaseUpdate’라는 이름으로 유포되었으며, 정상 Coinbase 앱과 유사한 모습을 하고 있다. 하지만 악성 앱을 실행하면, 단말기의 문자 메시지와 스크린샷 등 각종 정보를 탈취한다. 좌측 하단의 그림은 Google Play에서 정상적으로 판매중인 Coinbase 앱이고, 우측의 그림은 유포된 악성 앱의 정보로 아이콘과 이름이 유사한 것을 볼 수 있다. 악성 앱을 실행하면, 아래와 같이 권한을 요구한다. 사용자가 해당 권한을 부여하면 이후 필요한 권한에 대해서는 악성 앱에서 화면을 제어하여 자체적으로 획득한다. 아래의 그림과 같이 원격지와 연결을 시도한다. ‘Googl..

업무용 메신저 사칭 앱 유포

최근 Microsoft의 비즈니스 커뮤니케이션 플랫폼인 Teams를 사칭한 악성 앱이 유포되었다. 해당 앱은 Microsoft의 로그인 화면을 띄워 정상적으로 동작하는 것처럼 보이지만, 사용자 몰래 원격지와 통신하여 추가적인 악성 동작을 수행한다. 아래의 그림과 같이 악성 앱과 정상 앱의 아이콘에 차이가 있다. 악성 앱에서 사용된 아이콘은 과거에 사용하던 아이콘으로, 정상 앱을 최신 버전으로 다운로드하면 우측 이미지의 아이콘으로 다운로드가 된다. 사용자를 속이기 위해, 앱을 실행하면 아래와 같이 로그인 화면을 띄우고 정상적인 앱인 척 한다. 또한, 사용자 몰래 아래의 메소드를 백그라운드 모드로 실행한다. 해당 클래스는 원격지와 통신하여 추가 파일을 다운로드하고 로드하는 등의 동작을 수행한다. 해당 악성 ..

암호화폐 트래커 사칭 앱, MaliBot

암호화폐에 대한 관심이 높아지는 만큼 암호화폐 관련 앱을 위장한 악성 앱이 다양한 방식으로 유포된다. 최근에 암호화폐의 가격 및 뉴스 등을 알려주는 암호화폐 포트폴리오 트래커(Crypto Portfolio Tracker) 앱을 위장한 악성 코드 MaliBot이 등장하였다. 해당 악성코드는 안드로이드 단말기를 대상으로 하여, 웹사이트 및 SMS 등으로 유포되었다. 해당 앱을 실행하면, 단말기에 저장된 각종 정보를 탈취하고 원격제어 등의 악성 동작을 수행한다. MaliBot은 아래 그림과 같이 정상 사이트를 위장하여 안드로이드 단말기에서 접속하면 악성 앱을 다운로드하도록 한다. 웹페이지를 랜더링하는 장치 정보를 확인하여 AndroidOS인 경우 ‘cryptoapp.apk’를 다운로드하고, iOS또는 그 외의..

SMS를 통해 다시 확산되는 FluBot 악성 앱

최근, NCSC-FI(핀란드 국가 사이버 보안 센터)에서 "FluBot" 악성 앱 캠페인을 발표했다. 해당 기관에 따르면 "FluBot"이 음성 메일과 소포 배달에 관련된 내용의 SMS를 통해 유포되었으며, 이 악성 앱에 감염될 경우 사용자의 데이터를 탈취하고 확산을 위해 다른 디바이스로 악성 SMS를 전송한다. NCSC-FI는 해당 악성 앱을 설치했을 경우 공장 초기화를 통해 디바이스를 복구할 것을 권고했다. 사진출처 : NCSC-FI 출처 [1] NCSC-FI (2022.05.10) – ​FluBot-haittaohjelmaa levitetään jälleen tekstiviestitse https://www.kyberturvallisuuskeskus.fi/fi/varoitus_1/2022

VPN으로 위장하여 유포된 악성 앱

최근 정상 VPN으로 위장한 악성 앱이 유포되었다. 해당 앱은 Hydra VPN SDK 오픈소스를 사용하여 정상적인 VPN의 동작을 수행하여 사용자를 속이고, SMS 메시지와 연락처 등 각종 데이터를 탈취하는 악성 동작을 수행한다. 해당 앱은 아래의 화면과 같이 VPN 서비스 업체의 웹 사이트로 위장하여 악성 앱을 유포한다. 해당 웹 사이트의 주소는 정상 서비스 중인 한 VPN 업체의 주소와 유사하다. 이 앱은 Hydra VPN SDK 오픈 소스를 통해 VPN 서버 URL에 연결한다. 연결된 서버에 위치 정보 및 시그니처 등 기본 정보를 전송한다. 앱이 실행되면 아래의 화면과 같이 'Activation Key'를 입력하도록 요구한다. 이 'Activation Key'는 원격지 서버에 연결하여 토큰 등의 ..

Aberebot의 변종, Escobar

지난 3월 초, Escobar 앱이 등장하였다. 해당 악성 앱은 에뮬레이터를 탐지하고, 저장된 각종 정보를 탈취하며 카메라 사진 촬영 및 녹화 등의 악성 동작을 수행한다. 그 외에도 원격지와 연결하여 명령을 수행하는 Bot 동작 등을 수행한다. 호주 기반의 사이버 보안 회사인 Cyble에 따르면, 해당 앱은 Aberebot의 변종으로 전해지지만 악성 동작 특징 및 코드의 유사점을 찾아보긴 어렵다. 최근 유포된 Escobar는 아래의 이미지와 같이, 특정 보안 앱으로 위장하여 유포된다. 단말기의 시스템 정보를 확인하여, 에뮬레이터를 탐지하고 실 단말기로 판단되면 악성 동작을 수행한다. 각종 권한을 획득하여 다양한 정보를 탈취한다. 아래의 코드는 SMS 메시지 정보를 탈취하는 코드이며, 그 외에도 통화기록,..

Google 인증 코드를 훔치는 Escobar 악성 앱

최근, 호주의 보안 업체 Cyble이 "Escobar" 악성 앱 분석 보고서를 발표했다. 해당 보고서에 따르면 "Escobar"는 미국의 보안 업체 McAfee의 앱으로 위장하고 있으며 Google Play Store 이외의 경로에서 유포된다고 알려졌다. 또한, "Escobar"가 설치될 경우 Google 인증 코드 탈취와 화면 제어 등의 악성 행위를 시도하며 통화 기록과 연락처 등의 개인정보를 수집해 C&C 서버에 업로드 한다고 밝혀졌다. Cyble은 SMS나 이메일을 통해 수신된 링크 접속을 주의하고 Google Play Store와 IOS App Store 같은 공식 스토어를 통해 앱을 다운로드 받을 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.03.10) – Abere..

유럽 은행을 대상으로 하는 Xenomorph 악성 앱 발견

최근 네덜란드의 보안 업체 ThreatFabric이 유럽 은행을 대상으로 하는 "Xenomorph" 악성 앱을 Play Store에서 발견했다고 발표했다. 해당 업체에 따르면 "Xenomorph"가 성능 향상 앱 등의 정상 앱으로 위장해 Play Store에서 유포된다고 알려졌다. 또한, 외신은 앱을 설치할 경우 공격자의 C&C 서버에서 악성 페이로드를 다운로드 받아 은행 계좌 정보와 OTP 탈취를 시도한다고 언급했다. 보안 전문가는 이러한 앱의 설치를 방지하기 위해 다른 사용자들의 리뷰를 확인 후 앱을 설치해야 한다고 권고했다. 사진 출처 : ThreatFabric 출처 [1] ThreatFabric (2022.02) - Xenomorph: A newly hatched Banking Trojan htt..