매일 성경 구절을 스마트폰으로 전송해 주는 기능과 함께 신앙을 전파하기 위해 해당 안드로이드 앱(Android App) 설치를 유도하는 메시지를 사용자 주소록을 검색하여 SMS를 발송하는 기능을 가진 안드로이드 앱이 발견되었다.



해당 안드로이드 앱은 아래 이미지와 같이 사용자의 'All Contacts' 버튼 클릭에 의해 SMS가 발송된다. 그러나, 이 버튼의 기능이 SMS 발송이라는 사실을 해당 앱을 설치한 사용자가 인식하기 힘들다.



발송되는 SMS은 해당 앱을 설치한 스마트폰에 존재하는 주소록의 모든 전화번호로 아래 이미지와 같은 사용자가 의도한 '성경 구절의 공유'가 아닌 해당 안드로이드 앱의 설치 링크를 발송하게 된다.



그리고 해당 앱에 발송되는 SMS의 주소를 클릭하게 되면, 아래 이미지와 같이 설치된 해당 안드로이드 앱을 설치할 수 있는 구글 앱스토어로 연결하게 된다.



이와 함께 해당은 해당 안드로이드 앱의 기능과 사용자 설명과는 전혀 다른 별도의 광고 기능을 포함하고 있어 스마트폰 사용자가 해당 앱을 실행 때마다 2초에서 3초 정도로 별도의 광고를 보여주게 된다.


해당 안드로이드 앱은 종교라는 특수성을 이용하여, 다수의 사용자들에게 해당 안드로이드 앱을 설치하도록 SMS 발송 등으로 유도하고, 광고를 이용해 수익을 얻으려는 전형적인 애드웨어로 판단할 수 있다.


해당 안드로이드 앱에 대해 V3 모바일 제품군에서는 다음과 같이 진단한다.


Android-Adware/SmsBomber.B


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원
안철수연구소는 ASEC 블로그를 통해서 배너광고를 통한 악성코드 유포사례에 대해서 여러차례 다룬 바 있고
이번에 발견된 사례도 기존과 크게 다르지 않다.


1. 악성코드 유포는 어떻게?

이번에 발견된 사례는 아래 그림과 같은 형식으로 유포가 되었다.

 

                                               [그림 1] 배너광고를 통한 악성코드 유표과정

2. 악성코드 감염은 어떻게?
[그림 1]처럼 악성 스크립트가 삽입된 배너광고에 노출된 PC가 만약 보안 취약점이 존재했다면 악성코드에 감염되었을 확률이 높다.

[그림 2] 배너에 삽입된 악성 스크립트

악성 스크립트가 정상적으로 동작하면 브라우저 버전, 취약점등 조건에 따라 최종적으로 아래 주소에서 악성코드를 다운로드 및 실행한다.


배너광고에 노출된 PC에 악성코드를 다운로드 및 실행하기 위해서 사용된 취약점은 아래와 같다.

※ CSS 메모리 손상 취약점(MS11-003, CVE-2010-3971)
http://technet.microsoft.com/ko-kr/security/bulletin/ms11-003

※ Adobe Flash Player 취약점: CVE-2011-2140
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2011-2140
http://www.adobe.com/support/security/bulletins/apsb11-21.html

위 취약점들을 사용한 악성 스크립트에 포함된 쉘코드는 아래 그림처럼 암호화된 URL가지고 있으며 복호화한 후 다운로드 및 실행하도록 되어 있다.


[그림 3] Shellcode의 복호화 루틴

[그림 4] urlmon.URLDownloadToFileA 함수 호출
 

edi= 다운로드할 악성코드 URL, http://***.78.***.175/Ags/AGS.gif

ebx= 악성코드를 저장할 경로, %USERPROFILE%\Application Data\Y.exe

Y.exe가 실행되면 아래 그림과 같이 파일을 생성 및 백업한다.

                                           [그림 5] Y.exe의 실행과정

[그림 5]
에서처럼 악성 ws2help.dll은 HttpSendRequestA()를 메모리상에서 Inline Patch하여 특정 온라인 게임 사용자의 계정정보를 탈취하는 게임핵 악성코드이다.

             [그림 6] 악성 ws2help.dll에 의해서 HttpSendRequestA()함수 패치 전과 후

[그림 6]
을 보면 악성 ws2help.dll에 의해서 HttpSendRequestA()함수가 패치될 경우 0x100030f0란 주소로 분기하도록 되어 있음을 알 수 있다.

위와 같이 하는 이유는 사용자가 입력한 ID/PW를 사이트로 전송하기 전에 악성 ws2help.dll에 의해서 입력된 계정정보를 탈취하기 위한 목적이고 사용자의 계정정보는 아래 그림에서 보는 것처럼 특정 사이트로 전송된다.

                                   [그림 7] 특정 사이트로 전송되는 ID/PW

3. 안철수연구소의 대응상태

* V3 엔진버전 : 2011.11.21.00
JS/Shellcode
JS/Downloader
Dropper/Win32.OnlineGameHack


만약 악성코드에 감염되어 백신이 실행되지 않을 경우 아래 전용백신을 다운로드하여 검사 및 치료한다.

                          GameHackKill 전용백신 다운로드

 


4. 맺음말
주말이면 어김없이 취약한 웹 사이트를 통해서 악성코드 유포가 되풀이 되고 있고 아직도 상당수의 사용자들이 보안 업데이트를 하지 않아 악성코드 감염피해를 입고 있지만 백신(전용백신)으로 치료하면 그만이라는 생각을 가지고 있는 것 같다.

옛 속담에 "소잃고 외양간 고친다."란 말이 있다. 이 속담의 의미처럼 가장 기본이면서도 중요한 보안 업데이트를 꾸준히 함으로써 큰 피해를 미연에 방지했으면 한다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by AhnLab_ASEC