잉카인터넷 시큐리티대응센터 블로그

최근 해외의 보안 소프트웨어의 이름으로 유포된 악성 앱이 발견되었다. 해당 앱은 단말기에서 나타나는 알림을 탐지하여, 수신되는 SMS 문자메시지 및 Gmail 등의 정보를 탈취하고, 단말기에 설치된 애플리케이션의 정보를 탈취한다. 그 외에도 특정 번호로 전화를 거는 등의 동작을 수행한다. 하단 좌측 그림과 같이 악성 앱은 ‘AVG Antivirus Securite’ 라는 이름으로 유포되었다. 하지만 해당 앱이 실행되면, 하단 우측 그림의 빨간 상자와 같이 ‘Youtube’로 아이콘과 이름이 변경된다. 다음 코드에서 보이는 것과 같이, 악성 앱은 필요한 권한을 획득하기 위해 접근성 노드 정보에 대해 허용의 버튼을 임의로 클릭한다. 그 외에도 사용자의 눈에 띄지 않기 위해서, 알람과 같은 시스템 알림의 소리..

최근 한 보안프로그램을 위장한 악성 앱이 발견되었다. 해당 앱은 정상적으로 동작하는 척하지만, 특정 버튼을 누르면 내부에 존재하는 파일을 실행하여 악의적인 동작을 수행한다. 백도어와 같이 원격지와 연결하여 명령을 받아 추가적인 동작을 수행하며, 그 외에 문자메시지와 통화 기록과 같은 각종 정보를 탈취한다. 11월 24일 업데이트 버전의 정상 앱은 아래의 좌측 그림과 같고, 발견된 사칭 악성 앱은 우측 그림과 같다. 사칭한 악성 앱은 과거의 UI를 따라한 것으로 추정된다. 해당 앱은 실제로 동작하지 않고, HTML 파일을 통해 동작하는 것처럼 위장하였다. 그리고, 특정 버튼을 누르면 APK 내부에 숨겨진 APK 파일을 로드하여 악성 동작을 실행한다. 아래 좌측 그림과 같이 앱이 설치되었지만, 사용자가 보는..

최근 은행으로 위장하여 정보 탈취를 시도하는 앱이 다량 발견되었다. 그 중 CITI은행을 사칭한 앱은 정상 앱과 유사한 UI로 사용자를 속여, 각종 개인 정보와 카드 정보를 입력하도록 한다. 그리고 원격지와 통신하여 입력한 정보를 탈취한다. 악성 앱을 실행하면 다음과 같은 화면이 나타난다. 입력 칸에 10자리의 전화번호를 입력하면 해당 정보를 원격지에 전송한다. 정상적으로 원격지와 통신이 되면, 악성 동작이 시작된다. 분석 시점에는 원격지와 통신이 되지않지만, 통신이 된다면 좌측 하단의 화면을 띄운다. Apply Now 버튼을 누르면 사용자의 정보를 입력하는 화면이 나타난다. 해당 화면에서 정보를 입력하고 Proceed 버튼을 누르면 해당 정보는 원격지로 전송된다. 인도의 식별번호인 Aadhar numb..

암호화폐 앱을 사칭한 정보 탈취 앱 미국의 유명 암호화폐 회사인 Coinbase를 사칭한 악성 앱이 발견되었다. 해당 앱은 ‘CoinbaseUpdate’라는 이름으로 유포되었으며, 정상 Coinbase 앱과 유사한 모습을 하고 있다. 하지만 악성 앱을 실행하면, 단말기의 문자 메시지와 스크린샷 등 각종 정보를 탈취한다. 좌측 하단의 그림은 Google Play에서 정상적으로 판매중인 Coinbase 앱이고, 우측의 그림은 유포된 악성 앱의 정보로 아이콘과 이름이 유사한 것을 볼 수 있다. 악성 앱을 실행하면, 아래와 같이 권한을 요구한다. 사용자가 해당 권한을 부여하면 이후 필요한 권한에 대해서는 악성 앱에서 화면을 제어하여 자체적으로 획득한다. 아래의 그림과 같이 원격지와 연결을 시도한다. ‘Googl..

최근 Microsoft의 비즈니스 커뮤니케이션 플랫폼인 Teams를 사칭한 악성 앱이 유포되었다. 해당 앱은 Microsoft의 로그인 화면을 띄워 정상적으로 동작하는 것처럼 보이지만, 사용자 몰래 원격지와 통신하여 추가적인 악성 동작을 수행한다. 아래의 그림과 같이 악성 앱과 정상 앱의 아이콘에 차이가 있다. 악성 앱에서 사용된 아이콘은 과거에 사용하던 아이콘으로, 정상 앱을 최신 버전으로 다운로드하면 우측 이미지의 아이콘으로 다운로드가 된다. 사용자를 속이기 위해, 앱을 실행하면 아래와 같이 로그인 화면을 띄우고 정상적인 앱인 척 한다. 또한, 사용자 몰래 아래의 메소드를 백그라운드 모드로 실행한다. 해당 클래스는 원격지와 통신하여 추가 파일을 다운로드하고 로드하는 등의 동작을 수행한다. 해당 악성 ..

암호화폐에 대한 관심이 높아지는 만큼 암호화폐 관련 앱을 위장한 악성 앱이 다양한 방식으로 유포된다. 최근에 암호화폐의 가격 및 뉴스 등을 알려주는 암호화폐 포트폴리오 트래커(Crypto Portfolio Tracker) 앱을 위장한 악성 코드 MaliBot이 등장하였다. 해당 악성코드는 안드로이드 단말기를 대상으로 하여, 웹사이트 및 SMS 등으로 유포되었다. 해당 앱을 실행하면, 단말기에 저장된 각종 정보를 탈취하고 원격제어 등의 악성 동작을 수행한다. MaliBot은 아래 그림과 같이 정상 사이트를 위장하여 안드로이드 단말기에서 접속하면 악성 앱을 다운로드하도록 한다. 웹페이지를 랜더링하는 장치 정보를 확인하여 AndroidOS인 경우 ‘cryptoapp.apk’를 다운로드하고, iOS또는 그 외의..

최근, NCSC-FI(핀란드 국가 사이버 보안 센터)에서 "FluBot" 악성 앱 캠페인을 발표했다. 해당 기관에 따르면 "FluBot"이 음성 메일과 소포 배달에 관련된 내용의 SMS를 통해 유포되었으며, 이 악성 앱에 감염될 경우 사용자의 데이터를 탈취하고 확산을 위해 다른 디바이스로 악성 SMS를 전송한다. NCSC-FI는 해당 악성 앱을 설치했을 경우 공장 초기화를 통해 디바이스를 복구할 것을 권고했다. 사진출처 : NCSC-FI 출처 [1] NCSC-FI (2022.05.10) – ​FluBot-haittaohjelmaa levitetään jälleen tekstiviestitse https://www.kyberturvallisuuskeskus.fi/fi/varoitus_1/2022

최근 정상 VPN으로 위장한 악성 앱이 유포되었다. 해당 앱은 Hydra VPN SDK 오픈소스를 사용하여 정상적인 VPN의 동작을 수행하여 사용자를 속이고, SMS 메시지와 연락처 등 각종 데이터를 탈취하는 악성 동작을 수행한다. 해당 앱은 아래의 화면과 같이 VPN 서비스 업체의 웹 사이트로 위장하여 악성 앱을 유포한다. 해당 웹 사이트의 주소는 정상 서비스 중인 한 VPN 업체의 주소와 유사하다. 이 앱은 Hydra VPN SDK 오픈 소스를 통해 VPN 서버 URL에 연결한다. 연결된 서버에 위치 정보 및 시그니처 등 기본 정보를 전송한다. 앱이 실행되면 아래의 화면과 같이 'Activation Key'를 입력하도록 요구한다. 이 'Activation Key'는 원격지 서버에 연결하여 토큰 등의 ..

지난 3월 초, Escobar 앱이 등장하였다. 해당 악성 앱은 에뮬레이터를 탐지하고, 저장된 각종 정보를 탈취하며 카메라 사진 촬영 및 녹화 등의 악성 동작을 수행한다. 그 외에도 원격지와 연결하여 명령을 수행하는 Bot 동작 등을 수행한다. 호주 기반의 사이버 보안 회사인 Cyble에 따르면, 해당 앱은 Aberebot의 변종으로 전해지지만 악성 동작 특징 및 코드의 유사점을 찾아보긴 어렵다. 최근 유포된 Escobar는 아래의 이미지와 같이, 특정 보안 앱으로 위장하여 유포된다. 단말기의 시스템 정보를 확인하여, 에뮬레이터를 탐지하고 실 단말기로 판단되면 악성 동작을 수행한다. 각종 권한을 획득하여 다양한 정보를 탈취한다. 아래의 코드는 SMS 메시지 정보를 탈취하는 코드이며, 그 외에도 통화기록,..

최근, 호주의 보안 업체 Cyble이 "Escobar" 악성 앱 분석 보고서를 발표했다. 해당 보고서에 따르면 "Escobar"는 미국의 보안 업체 McAfee의 앱으로 위장하고 있으며 Google Play Store 이외의 경로에서 유포된다고 알려졌다. 또한, "Escobar"가 설치될 경우 Google 인증 코드 탈취와 화면 제어 등의 악성 행위를 시도하며 통화 기록과 연락처 등의 개인정보를 수집해 C&C 서버에 업로드 한다고 밝혀졌다. Cyble은 SMS나 이메일을 통해 수신된 링크 접속을 주의하고 Google Play Store와 IOS App Store 같은 공식 스토어를 통해 앱을 다운로드 받을 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.03.10) – Abere..