일본 애니메이션 캐릭터가 안드로이드 스마트폰의 사용자 정보를 탈취하는 악성코드에 이용되었다.

해당 안드로이드 악성코드 제작자는 구글 마켓과 유사한 형태로 제작된 웹사이트를 이용하여 유포하거나, 스팸 메일을 통하여 유포하는 것으로 알려져 있다.

Anaru 로 불리는 애니메이션 캐릭터와 관련된 안드로이드 악성 어플리케이션에 대하여 알아보자.

Anaru 어플리케이션을 설치시 요구되는 권한은 아래와 같다.

 

[그림] 악성 어플리케이션 권한

 

Anaru 악성 어플리케이션이 설치되면 아래와 같이 아이콘이 생성되고, 실행할 경우 Anaru 캐릭터가 나타난다.

[그림] 어플리케이션 아이콘과 실행화면

 

제작자는 사용자가 어플리케이션을 실행할 경우, 자신의 정보가 유출되는지 알 수 없도록 백그라운드로 정보를 탈취하도록 설계하였다.

 

악성 어플리케이션의 내부 코드를 보면, GliveWallActivityActivity Class를 통하여 스마트폰의 주소록에 저장된 e-mail 주소와 이름을 특정경로에 저장하고, 특정서버로 전송하는 코드가 존재한다.

 

[그림] GliveWallActivityActivity 스마트폰 정보를 탈취하는 코드 부분

 

 

실제 유츌되는 과정을 확인해 보겠다.

 

스마트폰 주소록에는 아래와 같은 "Ahn", "Lab" 2개의 이름이 저장되어 있다.

 

[그림] 스마트폰에 저장된 주소록

 

 

설치된 악성 어플리케이션을 실행할 경우, 아래와 같이 주소록에 저장된 이름과, e-mail 주소를 읽고, 특정 경로에 저장한다.

 

 

[그림] 백그라운드로 실행되는 정보 수집 및 전송 과정

 

수집된 이름과 e-mail 주소는 sdcard/addresscap/list.log 로 저장된다.

 

[그림] 수집된 정보와 저장 경로

 

list.log 에 수집된 정보는 아래 코드에 의하여 특정서버로 전송된다.

 

[그림] 특정서버로 전송되도록 설계된 코드

 

[그림] 특정서버로 전송되는 사용자 정보

 

 

위 악성코드는 V3 mobile 제품군에서 아래와 같이 진단/치료가 가능하다

 

 

<V3 제품군의 진단명>

Android-Spyware/Maistealer (V3. 2012.07.27.00 )

신고
Posted by DH, L@@

2012 런던 올림픽이 개최된지 4일. 국가대표들을 향한 뜨거운 응원에 한반도의 열기는 식을 줄 모른다.

새벽까지 펼쳐지는 우리나라 대표의 경기를 응원하느라 피곤한 몸을 이끌고 출근하는 직장인이 부지기수. 하지만 이번 올림픽은 유난히 편파 판정의 의혹에 국민과 국가대표들의 마음고생이 심한 것 같다. 

악성코드는 런던 올림픽에 대한 사람들의 관심을 이용하여 또 한번 사용자들을 감염시키기 위해 나타났다.


최근 발견된 악성코드는  "London 2012 공식 게임" 이라는 타이틀로 위장하고 있다. 러시아에서 발견되었으며, 구글정식마켓이 아닌 사설마켓에서 발견된 악성코드이다.

이 악성어플은 설치시 사용자 폰의 정보를 무단으로 전송시키며, 아래의 특정한 지정번호로 문자 메시지를 발송한다.

 

 


[그림. malicious code]

[그림. 문자전송에 사용되는 번호]


그리고 아래와 같이 바탕화면 영역에 광고성의 바로가기 링크 ( http://m-[삭제].net ) 를 생성한다. 


[그림. 악성 바로가기]


만일 해당 링크를 실행하게 되면 또다른 악의적인 악성 어플을 다운로드 하여 설치를 유도한다.


이 악성어플은 마켓에서 올림픽 게임어플로 위장하였지만, 실제 어플리케이션의 아이콘은 아래와 같으며 실행시 아무 화면도 나오지 않고 종료된다. (추가패키지를 설치할 가능성이 있으나 코드나 분석환경상의 문제로 안될 수 있다)

[그림. 악성 어플리케이션 속성]


위 악성어플리케이션은 V3 Mobile 제품군으로 아래와 같이 차단가능하다.

엔진버전

2012.07.31.00

진단명

Android-Trojan/Boxer.BHS

Android-Trojan/Boxer.BHT

Android-Trojan/FakeInst.DZB



신고
Posted by 비회원

스마트폰에 대한 사용이 급증함에 따라 기존의 Barcode 기술의 Data 저장용량의 한계로 인해 새롭게 각광받는 것이 QR 코드라는 기술이다.

QR 코드는 스마트폰의 카메라(스캔) 기능을 활용하여 그림과 같은 물리적 자료에서 디지털정보, 즉 인터넷 주소 등을 변환해 주는 역할을 함으로서 특히 이벤트나 광고에서 많이 사용되었다.


[ 그림. 광고에 사용되는 QR 코드 ]



러시아의 특정 웹사이트에서 이와 같이 효과적으로 정보전달을 할 수 있는 매개체인 QR코드가 SMS를 통해 과금을 시키는 스마트폰 악성코드를 유포하는데 활용된 것이 밝혀져 관련 내용을 전한다.


1. 유포 유형

러시아의 특정 웹페이지에서 어플리케이션 홍보형식으로 QRcode 와 주소링크를 통해 유포되었다.

화면 중앙 상단에 안드로이드 어플리케이션을 바로 받을 수 있는 URL과 QRcode 를 스캔할 수 있게 되어있고, 좌측에는 어플리케이션 실행 화면이 나와있다.


[ 그림. 악성코드를 유포하는 러시아 웹사이트 ]


2. 악성코드 분석

해당 악성코드는 아래 그림과 같은 권한을 사용한다.
아래의 SEND_SMS 권한은 문자를 송신할 때 반드시 요구되는 권한으로 악성어플리케이션을 구분하는데 중요한 단서가 된다.

만일 게임과 같이 설치하려는 어플리케이션이 문자를 송신할 필요가 전혀 없는 어플리케이션인데 SEND_SMS 권한을 사용하고 있다면, 한번쯤 악성어플인지 의심할 필요가 있다.


[ 그림. 악성 어플리케이션 정보 ]


아래와 같은 코드를 이용하여 "2476" 의 premium rate number 로 문자를 송신하는 기능이 있다.
(러시아에선 약 6달러가 결제된다고 알려져 있다.)

참고로 이 악성코드는 Disassemble 시 코드를 분석하기 어렵도록 약간의 난독화가 되어 있다.


[ 그림. 문자과금 관련 코드 ]


3. 결 론

위 악성코드는 Android-Trojan/SmsSend.K 로 V3 모바일제품에서 진단한다.

스마트폰 악성코드는 더이상 개념상의 악성코드가 아닌 실제로 웹상에서 유포되고 있고, 현재도 악성코드에 감염된 스마트폰이 분명히 존재한다.

또한 위 악성코드처럼 악성코드는 항상 최신의 트렌드를 반영하며 좀 더 많은 기기들을 감염시키기 위해 기법을 발전시키며 사용자들을 유혹하고 있는 점에 주목하자.

아래의 수칙을 반드시 지켜 자신의 스마트폰을 악성코드로부터 안전하게 보호하는 것을 권한다.


1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.




신고
Posted by 비회원

1. 站点之家


정보 수집 및 즐겨찾기를 변경하는 안드로이드 악성 어플리케이션이 중국에서 발견 되었다.



2. Android-Trojan/ROMZhanDian 알아보기



- 앱 아이콘 / 필요 권한 정보

[그림] 패키지명 / 권한 정보


- 설치 후 변경 사항

[그림] 설치시 생성된 아이콘 / 바로가기


[그림] 앱 실행 화면 / 추가된 즐겨찾기



- 앱 설치시 필요한 권한 및 설치가능 버전 정보
   Android 1.5 이상에서 설치되며, 부팅시 시작되도록 설정되어 있다.

[그림] Manifest 정보



- 운영 체제, IMEI/IMSI 번호, shop_id, 모델, APP 이름 등, 수집을 시도한다.

[그림] 정보 수집 관련 일부 코드




3. 스마트폰 사용시 주의 사항 !

- 최신의 OS 버전과 V3 모바일을 사용 한다.

1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.
신고
Posted by DH, L@@

 


1. Android-Spyware/Nicky 정보!


해당 안드로이드 악성코드는 송수신 SMS, GPS, 통화내역을 수집하여 특정 시스템으로 전송한다.


2. Nicky 악성 앱 Android System Message 정보!



* 아래와 같은 권한을 요구하고 있으며, 이러한 권한으로 앱의 행위에 대한 추정이 가능하다.

[그림] Nicky Spyware 권한 정보



[그림] 灵猫安安 의 설치/실행 정보




* android.intent.action.BOOT_COMPLETED 의 설정으로, 스마트폰을 부팅할때 마다 아래의 서비스를 시작할 것으로 추정 가능하다.

        <service android:name=".MainService" android:exported="true">
        <service android:name=".GpsService" android:exported="true">
        <service android:name=".SocketService">
        <service android:name=".XM_SmsListener" />
        <service android:name=".XM_CallListener" />
        <service android:name=".XM_CallRecordService" />
        <service android:name=".RecordService" />

[그림] Manifest 정보


* 사용자의 정보를 수집/전송하는 class 정보들

[그림] 정보 수집/전송하는 class 전체 화면



* 수집된 정보 저장 위치는 아래 코드로 추정 가능하다.
/sdcard/shangzhou/callrecord/




* 실제 악성앱이 생성한 디렉토리 및 통화내역을 저장한 파일


[그림] 통화내역 저장 화면
 


* 수집된 정보는 2018 port 를 이용하여 jin.****.com 으로 전송을 시도할 것으로 추정할 수 있다. 


[그림] 특정 서버로 전송을 시도하도록 되어 있는 코드의 일부



* V3 모바일 진단 화면


[그림] V3 모바일 화면



* V3 모바일에서는 변종에 대하여 다음과 같이 진단하고 있다.
Android-Spyware/Nicky
Android-Spyware/Nicky.B
Android-Spyware/Nicky.C



* 스마트폰 사용시 주의사항!



 
1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.

 
신고
Posted by DH, L@@

 


1. 개요


중국에서 유명한 QQ 관련, 게임을 리패키징한 안드로이드 모바일 악성코드가 발견되었다.
이번 악성 앱의 큰 특징은 추가 악성 앱을 설치하여, 악의적인 행위를 한다.

2. 앱 정보


[그림1] 앱 아이콘

 

[그림2] 앱 실행화면


3. 특징


QQ 게임을 리패키징 한 악성 앱을 설치할 경우,  busybox 의 압축을 해제하여, 악의적인 ELF 파일을 생성하고 anserverb 를 "xxx.apk" 로 변경하여 악성 앱 설치를 시도한다. busybox 는 압축된 파일.

 

[그림3] 악성 앱(apk)를 압축해제 후 파일 구성 화면


1) 앱 설치시 다음과 같은 권한을 요구한다.

   - Android 1.5 이상에서 설치가능.
   - SD카드 콘텐츠 수정/삭제.
   - 인터넷에 최대한 액세스 가능.
   - 휴대전화 상태 및 ID 읽기 가능.

[그림4] 권한 정보

[그림5] manifest 로 본 앱의 권한 정보와 설치 가능 버전

[그림6] xxx.apk 변경하여, 추가 악성 앱 설치시도의 일부 코드 1


[그림7] xxx.apk 변경하여, 추가 악성 앱 설치시도의 일부 코드 2


2) 추가 설치되는 com.android.battery 의 권한/행위 정보

   - 연락처 데이터 읽기, 테이터 생성.
   - 인터넷에 최대한 액세스.
   - SD 카드 콘텐츠 수정/삭제.
   - 휴대전화 상태 및 ID 읽기.
   - 전화번호 자동 연결, SMS 메시지 보내기.
   - 휴대전화가 절전 모드로 전환되지 않도록 설정.
 

[그림8] 추가 설치되는 앱의 권한 정보



   - 앱이 설치되어도 아이콘이 생성되지 않는다.(백그라운드 동작)
   - android.permission.RECEIVE_BOOT_COMPLETED 권한으로
      부팅시에 자동 실행되어 백그라운드로 동작을 시도한다.

[그림9] 추가 설치되는 com.android.battery 의 manifest 로 본 권한 정보


3) 정적분석을 통하여 다음과 같이 추정 가능하다.
   - 백그라운드로 동작하며 외부로 정보 유출, 일부 보안 프로그램 방해 등의 다양한 악의적 행위를 할 것으로 추정된다.

[그림10] 보안제품 변경을 시도할 것으로 추정되는 일부코드

4. 진단정보



*안철수연구소가 권하는 스마트폰 보안 수칙 10계명

1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다. 
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다. 
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다. 
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.

신고
Posted by DH, L@@