잉카인터넷 시큐리티대응센터 블로그

지난 3월 초, Escobar 앱이 등장하였다. 해당 악성 앱은 에뮬레이터를 탐지하고, 저장된 각종 정보를 탈취하며 카메라 사진 촬영 및 녹화 등의 악성 동작을 수행한다. 그 외에도 원격지와 연결하여 명령을 수행하는 Bot 동작 등을 수행한다. 호주 기반의 사이버 보안 회사인 Cyble에 따르면, 해당 앱은 Aberebot의 변종으로 전해지지만 악성 동작 특징 및 코드의 유사점을 찾아보긴 어렵다. 최근 유포된 Escobar는 아래의 이미지와 같이, 특정 보안 앱으로 위장하여 유포된다. 단말기의 시스템 정보를 확인하여, 에뮬레이터를 탐지하고 실 단말기로 판단되면 악성 동작을 수행한다. 각종 권한을 획득하여 다양한 정보를 탈취한다. 아래의 코드는 SMS 메시지 정보를 탈취하는 코드이며, 그 외에도 통화기록,..

최근, 호주의 보안 업체 Cyble이 "Escobar" 악성 앱 분석 보고서를 발표했다. 해당 보고서에 따르면 "Escobar"는 미국의 보안 업체 McAfee의 앱으로 위장하고 있으며 Google Play Store 이외의 경로에서 유포된다고 알려졌다. 또한, "Escobar"가 설치될 경우 Google 인증 코드 탈취와 화면 제어 등의 악성 행위를 시도하며 통화 기록과 연락처 등의 개인정보를 수집해 C&C 서버에 업로드 한다고 밝혀졌다. Cyble은 SMS나 이메일을 통해 수신된 링크 접속을 주의하고 Google Play Store와 IOS App Store 같은 공식 스토어를 통해 앱을 다운로드 받을 것을 권고했다. 사진출처 : Cyble 출처 [1] Cyble (2022.03.10) – Abere..

최근 네덜란드의 보안 업체 ThreatFabric이 유럽 은행을 대상으로 하는 "Xenomorph" 악성 앱을 Play Store에서 발견했다고 발표했다. 해당 업체에 따르면 "Xenomorph"가 성능 향상 앱 등의 정상 앱으로 위장해 Play Store에서 유포된다고 알려졌다. 또한, 외신은 앱을 설치할 경우 공격자의 C&C 서버에서 악성 페이로드를 다운로드 받아 은행 계좌 정보와 OTP 탈취를 시도한다고 언급했다. 보안 전문가는 이러한 앱의 설치를 방지하기 위해 다른 사용자들의 리뷰를 확인 후 앱을 설치해야 한다고 권고했다. 사진 출처 : ThreatFabric 출처 [1] ThreatFabric (2022.02) - Xenomorph: A newly hatched Banking Trojan htt..

지난 해, 7월 KISA 한국인터넷 진흥원에서는 "질병관리청COOV" 사칭문자에 관하여 사용자들의 주의가 필요하다는 안내글을 다룬적이 있다. 아래의 링크는 "질병관리청COOV" 에 관하여 다룬 KISA 한국인터넷 진흥원의 공지사항이다. ▶ 질병관리청 예방접종증명서 사칭 스미싱 주의 권고 이번에 발견 된 스미싱 문자는 "교통 민원24(이파인)" 을 사칭한 스미싱 문자로, 앞서 언급하였던 "질병관리청 예방 접종 증명서" 를 사칭한 스미싱 문자와 일부 내용을 제외하고는 기능상 동일한 악성 앱을 유포 하는 것 으로 확인 된다. 문자를 수신한 사용자가 해당 링크로 접속할 경우 "경찰청 교통민원24"로 위장한 피싱 사이트로 연결되며 휴대전화 번호, 이름 및 생년월일과 같은 개인정보 입력을 요구한다. 개인 정보 입력..

지난 1월 말 국내 온라인 쇼핑몰을 사칭한 악성 앱이 등장하였다. 해당 앱은 보이스피싱 악성 앱으로 발신 전화를 가로채고, 수신 전화의 번호를 변경하여 사용자에게 표시하는 등의 악성 동작을 수행한다. 이와 같은 보이스피싱 악성 앱은 지난 2017년부터 유포되어, 악성 기능이 발전되는 등 지속적인 변화를 보여주는 것으로 알려진다. 금융보안원은 작년 3분기동안 유포된 보이스피싱 악성 앱을 특징에 따라 3가지로 분류하였다. 그 중 SecretVoice는 6월부터 활발하게 유포되었으며, 최근 발견된 악성 앱 또한 이와 유사한 형태로 보여진다. 최근 발견된 SecretVoice는 하단 좌측 이미지와 같은 화면을 띄워 'pay 쇼핑'을 사칭한다. 앱을 실행하면, 아래의 코드에서 보이는 각종 보안 프로그램을 탐지하여..

최근 메신저 앱을 위장하여, 사용자의 개인적인 정보를 탈취하는 악성 앱이 등장하였다. 해당 악성 앱은 사용자 단말기에 나타나는 알림메시지의 정보를 획득하고, 타 메신저 애플리케이션에 접근하여 사용자의 채팅 내용을 탈취한다. 국내외 사용자가 많은 Whatsapp 과 Signal 메신저 앱을 대상으로 악성 동작을 수행한다. 해당 앱은 아래의 이미지와 같이 'Crazy Talk'라는 이름의 메신저 앱으로 유포되었다. 앱을 실행하면, 아래의 그림과 같이 전화번호 인증을 요구한다. 사용자가 입력한 번호가 정상적인 번호인지 OTP번호를 통해 확인한다. 단말기에 연락처가 저장되어 있는지 확인하고, 연락처의 이름과 전화번호를 탈취한다. 그리고 Whatsapp 의 기본 앱과 Business 용 앱에 대해 각종 정보를 탈..

최근 300개 이상의 금융 앱을 표적으로 하는 공격이 Anubis 악성코드가 발견되었다. 해당 악성 앱은 안드로이드 단말기를 대상으로 Orange SA 앱을 위장하여 유포되었다. 2016년부터 활동한 것으로 알려진 Anubis 악성코드는 2020년, 쇼핑 및 은행 앱을 대상으로 하는 대규모 캠페인을 통해 발견된 바 있다. 해당 캠페인에서는 로그인 자격증명을 탈취하는 등의 악성 동작을 수행하였으나, 최근 공격에서는 녹음, 키로깅, DB 정보 탈취 등으로 악성 동작이 확대되었다. 사진 출처: BleepingComputer 출처 [1] Bleepingcomputer (2021.12.15) - Anubis Android malware returns to target 394 financial apps https:..

집콕 생활이 연장되면서 스마트폰 사용이 계속해서 증가되는 가운데, 최근 안드로이드 단말기를 대상으로 하는 ScreenLocker 악성코드가 다량 유포되었다. ScreenLocker 악성코드는 화면에 암호 창을 띄워 피해자 단말기의 사용을 방해하고, 금전적인 요구를 한다. 최근 다량 발견된 이 악성 앱은 정상 앱으로 위장하고, 빨간 색의 알림 창을 띄우는 것이 특징이다. ScreenLocker은 아래의 이미지와 같이 Netflix, Instagram, Whatsapp등 많이 사용되는 앱을 위장하여 유포되었다. 앱을 실행하면, 하단 좌측 이미지와 같이 파일 암호를 입력하거나 비트코인을 요구한다. 암호를 입력하면 악성코드는 종료된다. 그 외의 악성 동작은 없으나, 암호를 입력하기 전까지 재부팅하거나 화면을 껐..

최근, 북한을 배후로 추정되는 ScarCraft APT그룹의 악성 공격이 발견되었다. 해당 공격에서는 악성 문서, 실행파일, 어플리케이션이 사용되었으며, 그 중 안드로이드 단말기를 대상으로 하는 악성 앱은 Chinotto 스파이웨어라고 불린다. 이 앱은 원격지와 통신하여 단말기의 정보 및 사용자의 문자메시지, 연락처 정보 탈취 등의 동작을 수행한다. Chinotto 스파이웨어를 실행하면 하단 좌측의 이미지에서 보는 것과 같이, 악성 동작을 하기 위해 각종 권한을 획득한다. 그리고 백그라운드 모드에서 원격제어 동작을 수행한다. 먼저, 원격지와 연결하여 명령을 받아와 악성 동작을 이어간다. 원격제어 동작은 아래의 표와 같다. 이때, 'UploadInfo' 명령을 받을 때 다음의 정보를 탈취하고, 탈취한 정보..

이스라엘을 기반으로 하는 NSO 그룹의 Pegasus Spyware가 미국 국무부 관리의 iPhone에서 발견되었다. 최소 9명의 직원이 해킹을 당한 것으로 알려지며, NSO 그룹은 이에 대해 해당 스파이웨어의 판매 이후 공격에 대해서 알지 못한다고 밝혔다. Pegasus Spyware는 녹음, 녹화 및 사용자 정보 탈취 등 각종 원격제어가 가능한 소프트웨어로, 지난 11월 Apple은 NSO 그룹과 그 모회사인 Q Cyber Technologies를 상대로 Apple 사용자 감시 및 표적 공격에 대해 미국 연방 법원에 소송을 제기한 바 있다. 사진 출처: Apple 출처 [1] Securityaffairs (2021.12.07) - NSO Group spyware used to compromise iP..