해외 보안 업체인 트렌드 마이크로(Trend Micro)에서는 7월 27일 "Adding Android and Mac OS X Malware to the APT Toolbox" 제목의 문서를 공개하였다.


해당 문서는 2012년 3월 해당 업체에서 공개한 "Luckycat Redux: Inside an APT Campaign" 럭키캣(Luckycat)이라고 명명된 APT 공격 형태를 조사하는 과정에서 발견된 안드로이드(Android) 악성코드에 대해 다루고 있다.


해당 업체에서는 럭키캣 APT 공격과 관련된 특정 C&C 서버를 조사하는 과정에서 해당 C&C 서버에서 AQS.apk (15,675 바이트)와 testService.apk (17,810 바이트) 2개의 안드로이드 스마트폰에 설치 가능한 APK 파일 2개를 발견하게 되었다고 한다.


ASEC에서는 해당 2개의 AQS.apk (15,675 바이트)와 testService.apk (17,810 바이트) 파일들을 확보하여 자세한 분석을 진행하였다.


2개의 APK 파일들은 모두 동일한 기능을 하도록 제작되었으며, 그 중 testService.apk (17,810 바이트)을 안드로이드 스마트폰에 설치하게 되면 아래 이미지와 동일한 아이콘을 생성하게 된다.



그리고 해당 앱을 사용자가 직접 실행시키거나  스마트폰이 사용자에 의해 부팅하게 될 경우 이를 자동으로 감지하여 TService 라는 서비스로 실행하게 된다.



해당 서비스는 감염된 안드로이드 스마트폰에서 IMEI(International Mobile Equipment Identity), 스마트폰 번호와 저장 장치의 파일 정보들을 수집하여 중국에 위치한 gr******ns.3322.org:54321 해당 C&C 서버와 통신을 시도하게 된다.



해당 C&C 서버와 통신이 성공하게 되면 아래 이미지와 같이 공격자가 지정한 다양한 악의적인 명령들을 수행할 수 있게 된다.



공격자는 파일 업로드 및 다운로드, 인터넷 연결 접속 그리고 원격 명령을 수행하는 리모트 쉘(Remote Shell) 명령을 C&C 서버를 통해 내릴 수 있다.


이번 럭키캣 APT 공격과 관련된 특정 C&C 서버에서 발견된 안드로이드 악성코드들 모두 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/Infostealer.G

Android-Trojan/Infostealer.H


해당 2개의 안드로이드 악성코드가 실제 럭키캣 APT 공격에 사용되었는지는 명확하지 않다.  그러나 APT 공격과 관련된 C&C 서버에서 발견되었다는 사실로 미루어 볼 때, APT 공격을 수행한 공격자들은 안드로이드 악성코드 제작과 유포를 통해 특정 조직의 중요 정보 탈취에 악용하고자 하였던 것으로 추정된다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

매일 성경 구절을 스마트폰으로 전송해 주는 기능과 함께 신앙을 전파하기 위해 해당 안드로이드 앱(Android App) 설치를 유도하는 메시지를 사용자 주소록을 검색하여 SMS를 발송하는 기능을 가진 안드로이드 앱이 발견되었다.



해당 안드로이드 앱은 아래 이미지와 같이 사용자의 'All Contacts' 버튼 클릭에 의해 SMS가 발송된다. 그러나, 이 버튼의 기능이 SMS 발송이라는 사실을 해당 앱을 설치한 사용자가 인식하기 힘들다.



발송되는 SMS은 해당 앱을 설치한 스마트폰에 존재하는 주소록의 모든 전화번호로 아래 이미지와 같은 사용자가 의도한 '성경 구절의 공유'가 아닌 해당 안드로이드 앱의 설치 링크를 발송하게 된다.



그리고 해당 앱에 발송되는 SMS의 주소를 클릭하게 되면, 아래 이미지와 같이 설치된 해당 안드로이드 앱을 설치할 수 있는 구글 앱스토어로 연결하게 된다.



이와 함께 해당은 해당 안드로이드 앱의 기능과 사용자 설명과는 전혀 다른 별도의 광고 기능을 포함하고 있어 스마트폰 사용자가 해당 앱을 실행 때마다 2초에서 3초 정도로 별도의 광고를 보여주게 된다.


해당 안드로이드 앱은 종교라는 특수성을 이용하여, 다수의 사용자들에게 해당 안드로이드 앱을 설치하도록 SMS 발송 등으로 유도하고, 광고를 이용해 수익을 얻으려는 전형적인 애드웨어로 판단할 수 있다.


해당 안드로이드 앱에 대해 V3 모바일 제품군에서는 다음과 같이 진단한다.


Android-Adware/SmsBomber.B


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

ASEC에서는 "2012 예상 스마트폰 보안 위협 트렌드"를 발표하며 윈도우 PC에서 감염 및 동작하는 제우스(Zeus) 악성코드의 모바일 버전인 Zitmo[Zeus In The Mobile]가 발견되었으며 심비안(Symbian), 블랙베리(Blackberry)를 거쳐 최근엔 안드로이드(Android) 플랫폼으로까지 확장되었다고 언급한 바가 있다.


금일 러시아 보안 업체 캐스퍼스키(Kaspersky)에서는 블로그 "Android Security Suite Premium = New ZitMo"를 통해 새로운 Zitmo 변형이 발견되었음을 공개하였다.


ASEC에서는 추가적인 조사를 통해 해당 새로운 Zitmo 변형은 구글(Google)의 공식 안드로이드 앱스토어(Appstore)를 통해 유포 된 것이 아니라, 인터넷에 존재하는 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포된 것을 파악하였다.


이 번에 발견된 새로운 Zitmo 변형은 안드로이드 모바일 운영체제에서 감염 및 동작하도록 되어 있으며, 안드로이드 운영체제에 설치 되면 아래 이미지와 같이 허위 보안 소프트웨어로 위장하고 있다.



안드로이드에 감염되는 허위 보안 소프트웨어는 이 번에 처음 발견된 것이 아니며 2012년 5월 해외 보안 업체 아이콘으로 위장한 형태가 발견된 사례가 있다.


그리고 해당 안드로이드 악성코드는 설치 시에 아랭 이미지와 같이 감염된 안드로이드 모바일 기기에서 송수신하는 SMS 메시지 접근 권한과 SMS 발송 권한 등이 사용됨을 보여주고 있다.



해당 Zitmo 안드로이드 악성코드가 실행되면 아래와 같이 일반적인 허위 보안 소프트웨어에서 사용하였던 기법과 동일하게 인증 등록 번호를 입력하도록 요구한다.



그러나 해당 안드로이드 악성코드는 감염된 안드로이드 모바일 기기에서 다음 정보들을 수집하여 특정 C&C 서버로 전송하게 된다.


휴대폰 번호

SubscriberId

DeviceId

모델명

제작사

OS 버전

SMS 메시지


이 번에 발견된 새로운 Zitmo 변형들은 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/Zitmo

Android-Trojan/Zitmo.B

Android-Trojan/Zitmo.C

Android-Trojan/Zitmo.D


안드로이드 모바일 기기 사용자들은 인터넷 웹 사이트 등을 통해 안드로이드 앱들을 다운로드 받아 설치하는 것보다 신뢰 할 수 있는 통신사 또는 제조사가 제공하는 앱스토어를 이용해 다운로드 및 설치하는 것이 중요하다.

그리고 안드로이드 모바일 기기에서도 신뢰 할 수 있는 보안 업체가 개발한 보안 제품을 설치하여 주기적으로 검사하는 것이 필요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안드로이드(Android) 스마트폰의 사용율이 전 세계적으로 증감하에 따라 이와 관련된 다양한 보안 위협들이 발생하고 있다.


특히 해당 모바일(Mobile) 운영체제에서 동작하는 악성코드들은 2011년 하반기를 기점으로 기하 급수적으로 증가하고 있으며, 제작 목적 역시 금전 획득을 위한 목적으로 제작되는 사례들도 동반 증가하고 있다.


이러한 안드로이드 악성코드들의 유포는 현재까지 대부분이 구글(Google)에서 운영하는 안드로이드 앱스토어(Android Appstore) 또는 방문자가 많은 유명 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포되는 사례가 많았다.


그러나 현재는 허위 앱 스토어를 통해 직접 유포하거나 유명 앱들을 배포하는 웹 사이트로 위장하여 유포하는 방식 등으로 기존 윈도우(Windows) 운영체제 기반의 PC에 감염되는 악성코드들이 유포되는 방식들을 그대로 답습하는 형태로 발전하고 있다.


이러한 안드로이드 악성코드가 금일 기존 윈도우 운영체제 기반의 PC에 감염되었던 허위 백신들과 유사한 형태로 유포되는 사례가 발견되었다.


이러한 허위 백신 형태의 악성코드는 최근 애플 맥(Mac) 운영체제 사용자들이 증가함에 따라 맥 운영체제에서 동작하도록 제작된 사례들도 존재한다.


이 번에 발견된 안드로이드 운영체제에 감염되는 허위 백신들은 아래 이미지와 같이 정상적인 보안 관련  웹 사이트로 위장하고 있다.



해당 허위 보안 웹 사이트에서는 러시아어로 제작되었으며, "SIM 검사", "저장소 검사"와 "시스템 파일 검사" 등의 항목으로 실제 안드로이드 스마트폰의 보안 검사를 수행하는 것으로 위장하고 있다.


각 항목의 검사가 종료되면 아래 이미지와 같이 현재 사용하는 안드로이드 스마트폰에 어떠한 부분이 취약한지를 붉은 색으로 표기하며, 악성코드에 감염되었음의 허위 사실을 알려 사용자로 하여금 VirusScanner.apk 파일을 다운로드하여 설치하도록 유도한다.



해당 웹 사이트를 통해 다운로드 된 VirusScanner.apk를 안드로이드 스마트 폰에 설치하게 될 경우, 다음 이미지와 같이 러시아 보안 업체 캐스퍼스키(Kaspersky)의 보안 제품과 동일한 아이콘이 생성된다.



그리고 설치 과정에서 해당 허위 백신은 아래 이미지와 같은 권한들이 사용 됨을 안드로이드 스마트 폰 사용자들에게 보여주게 된다.




설치된 해당 안드로이드 허위 백신은 정상적인 사용을 위해서는 사용자에게 요금을 지불하도록 요구하여 금전적인 목적으로 제작된 안드로이드 악성코드이다.


이러한 허위 백신 형태의 악성코드는 PC 기반의 윈도우 운영체제와 맥 운영체제 뿐만이 아니라 안드로이드 스마트폰에서 까지 발견되었다는 점에서 향후 이러한 허위 백신 형태의 안드로이드 악성코드가 지속적으로 등장 할 것으로 예측 된다.


이 번에 발견된 허위 백신 형태의 안드로이드 악성코드들은 모두 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/FakeAV

Android-Trojan/FakeAV.B 


안드로이드 스마트폰 사용자들은 안드로이드 앱들을 다운 받아 설치 할 때, 신뢰 할 수 있는 구글 앱 스토어나 통신사에서 운영하는 앱 스토어를 이용하는 주의가 필요하다.


그리고 안드로이드 보안 제품들 역시 신뢰 할 수 있는 전문 보안 업체에서 개발한 안드로이드 보안 앱을 다운로드하여 설치하는 것이 중요하다.


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안드로이드(Android) 스마트폰의 사용과 보급이 증가함에 따라 해당 운영체제에서 동작하는 안드로이드 악성코드들 역시 급격하게 증가하고 있다.


2011년의 경우 제작자에 의해 제작된 안드로이드 악성코드는 구글(Google)에서 운영하는 정상적인 안드로이드 앱스토어를 통한 유포 시도 또는 비교적 많은 사람들이 방문하는 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포하는 방식이 대부분을 차지하고 있다.


그러나 금일 안드로이드 운영체제에서 동작하는 유명 게임들을 배포하는 웹 사이트로 위장하여 안드로이드 악성코드를 유포하는 웹 사이트들이 발견되었다.


이 번에 발견된 웹 사이트는 아래 이미지와 같이 Cut the Rope, Fruit Ninja와 Angry Birds 등과 같은 유명 게임들을 배포하는 웹 사이트로 위장하고 있었다.



해당 웹 사이트들은 모두 러시아로 제작되어 있었으며, 안드로이드 운영체제에 설치 가능한 APK 파일들을 다운로드하도록 유도하고 있다.


구글에서는 안드로이드 앱스토어에서 악성코드가 유포되는 것을 막기위해 사전 심사를 강화하고, 많은 사람들이 방문하는 서드 파티 앱스토어에서는 사용자의 평판이 존재한다.


이러한 사항들로 인해 안드로이드 악성코드 제작자는 자신이 제작한 악성코드를 유포하기 위해 이러한 사항들을 회피하기 위한 수단으로 별도의 허위 웹 사이트를 제작하여 이용하고 있는 것으로 볼 수 있다.


이 번에 발견된 안드로이드 유명 앱을 배포하는 것으로 위장한 웹 사이트에서 유포하고 있는 안드로이드 악성코드들 모두는 V3 Mobile에서 다음과 같이 진단한다.


Android-Trojan/Boxer.KX


이와 함께 허위로 제작된 안드로이드 마켓이 2012년 3월에 발견된 사례도 있음으로 안드로이드 사용자들은 구글에서 직접 운영하는 앱스토어나 통신사에서 운영하는 신뢰 할 수 있는 앱스토어에서만 앱을 다운로드하여 설치하는 주의가 필요하다.


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원
2011년 하반기를 기점으로 구글(Google)에서 개발한 안드로이드(Android) 운영체제의 악성코드가 폭발적으로 증가하였다.

이러한 배경에는 여러가지 요소가 있겠지만, 안드로이드 운영체제에 설치되는 APK(Application Package File) 파일이 구글의 안드로이드 마켓을 벗어난 여러 인터넷 웹 사이트들을 통해 유통됨으로 인해 발생하는 문제도 적지 않다고 할 수 있다.

그리고 최근에는 안드로이드 악성코드들이 유명 소셜 네트워크 서비스(Social Network Service)인 트위터(Twitter)로 유포된 사례가 있는 만큼, 안드로이드 악성코드의 유포 방식이 다변화되고 있는 것으로 볼 수 있다.

ASEC에서는 금일 미국에 위치한 특정 시스템에서 아래 이미지와 같이 허위 제작된 안드로이드 마켓이 발견되었다.


해당 허위 안드로이드 마켓에서는 일반 안드로이드 스마트폰 사용자들이 많이 사용하는 앱들을 제공하는 것과 같이 꾸며져 있으나, 실제로는 안드로이드 악성코드들을 유포하고 있었다.

그러므로 안드로이드 스마트폰 사용자들은 앱들을 설치할 때 구글에 운영하는 정식 안드로이드 마켓이나 신뢰 할 수 있는 업체에서 운영하는 안드로이드 마켓에서만 앱들을 다운로드하여 설치 하여야 된다. 그리고 사용하는 안드로이드 스마트폰에 모바일 백신을 설치하고 주기적인 엔진 업데이트 및 검사를 실시하는 것이 중요하다.

해당 허위 안드로이드 마켓에서 유포하는 안드로이등 악성코드들 모두 V3 모바일에서 다음과 같이 진단한다.

Android-Trojan/SmsSend.AJB
저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

스마트폰의 사용이 많아지고 이를 이용한 다양한 네트워크 활동들이 보편화가 됨에 따라 이와 관련한 다양한 형태의 보안 위협들을 계속 발견되고 있다.

이와 관련해 가장 큰 보안 위협 이슈로는 안드로이드(Android) 운영체제에 감염되는 악성코드들을 들 수 있으다.

이 외에 최근 ASEC에서는 아래 이미지와 같이 무작위로 휴대전화 번호를 선택하여 문자 메시지(SMS, Short Message Service)를 발송한 것이 확인 되었다.


해당 문자 메시지는 일반적인 스팸성 문자 메시지와는 다르게 메시지 내부에 단축 URL(URL Shortening)을 포함하고 있어, 스마트폰 사용자라면 쉽게 클릭한번 만으로 특정 웹 사이트로 연결되도록 구성한 특징이 있다.

해당 문자 메시지에 포함된 단축 URL은 테스트 당시 해당 단축 URL로 연결되는 웹 사이트로 정상 접속이 되지 않았다. 하지만 스마트폰에 감염되는 악성코드나 스팸성 웹 사이트 등으로 연결되는 다른 보안 위협들로 연결될 가능성이 존재한다.

특히 이러한 단축 URL을 악용한 보안 위협들의 다양한 사례는 트위터(Twitter)와 같은 소셜 네트워크 서비스(Social Network Service)에서도 존재하고 있다. 

그러므로 트위터로 전달되는 메시지와 함께 스마트폰으로 전달 된 문자 메시지에 포함된 단축 URL의 클릭시에는 각별한 주의가 필요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원
일반적으로 서로 다른 윈도우(Windows) 운영체제와 리눅스(Linux) 운영체제에서 모두 감염되어 동작하는 악성코드를 제작하는 것은 기술적으로 많은 사항들을 고려해야 되는 문제임으로 쉽지 않은 사항이다. 특히나 모바일(Mobile) 운영체제와 일반 윈도우 PC 모두에 감염되어 동작하는 악성코드를 제작하기라는 것은 더욱 쉽지 않은 사항이다.

2012년 2월 3일 ASEC에서는  하루동안 전세계에서 수집되어 분석되었던 안드로이드(Android) 어플리케이션들을 확인하는 과정에서 특이하게 특정 어플리케이션 내부에 윈도우 악성코드가 포함되어 있는 것을 발견하였다.

이 번에 발견된 안드로이드 어플리케이션 아래와 같은 구조를 가지고 있으며, 아래 이미지의 붉은색 박스로 표기한 스크립트 파일인 about_habit.htm(123,196 바이트)를 내부에 포함하고 있다. 


해당 안드로이드 어플리케이션 내부에 포함된 about_habit.htm는 일반적인 HTML 파일이 아니며 실제로는 비주얼 베이직 스크립트(Visual Basic Script)로 다음과 같은 형태를 가지고 있다.

 
해당 비주얼 베이직 스크립트 파일은 svchost.exe(61,357 바이트) 파일명으로 윈도우 운영체제에서 감염되는 악성코드를 생성하고 실행하게 되었다.

그러나 해당  비주얼 베이직 스크립트 파일은 안드로이드 운영체제에서는 동작할 수 없는 형태이다. 그리고 해당 파일을 포함하고 있는 안드로이드  어플리케이션의 내부 코드에는 해당  스크립트를 외장 메모리에 쓰도록 제작된 코드는 존재하지 않는다.

이로 미루어 해당 안드로이드 어플리케이션 제작자의 실수 등으로 인해 해당 비주얼 베이직 스크립트 파일이 어플리케이션 제작시 포함되었을 것으로 추정 된다.

이 번 안드로이드 어플리케이션 내부에 포함된 윈도우 악성코드들은 V3 제품군에서는 다음과 같이 진단한다.

VBS/Agent
Win-Trojan/Krap.61357
저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원


1. 악의적인 다양한 기능이 포함된 안드로이드 악성 어플리케이션


 최근 안드로이드 악성코드는, Windows 기반의 악성코드의 진화과정을 빠르게 닮아가고 있다.
단순한 정보 유출 어플리케이션에서 부터, Root Exploit, SMS 과금형, 허위 안드로이드 백신 어플리케이션, 그리고 2가지 이상의 기능이 합쳐진 형태의 악성 어플리케이션 등, 날이 갈수록 그 수량이 급격히 증가/발전하고 있다.

 이번 포스팅에서 여러가지 기능이 포함된 안드로이드 악성 어플리케이션을 살펴보자.


2. MADDEN NFL 12 로 위장된 악성 어플리케이션




 MADDEN NFL 12 게임으로 위장한 Foncy 악성코드가 발견되었다. 

 해당 악성코드는 IRC 채널에 접속하여 원격 제어가 가능한 Bot 기능을 수행하며, 해당 어플리케이션으로 인하여 추가 생성된 어플리케이션이 동작할 경우, SMS 를 발송하며 이로 인한 과금이 발생 한다.



- 악성 어플리케이션 설치 후 실행 화면

 

[그림] 악성 어플리케이션 아이콘 / 실행 화면


- 설치 이후, 사용자도 모르게 추가 설치되는 악성 어플리케이션

[그림] 설치된 악성 어플리케이션


- 각 어플리케이션 권한 정보

[그림] 사용자가 설치한 어플리케이션의 권한 정보



[그림] 사용자 모르게 추가 설치된 어플리케이션의 권한 정보



3. 상세 정보


- 악성 어플리케이션 APK 파일의 내부 assets 파일 구성 이다.
- png 확장자로 위장한 파일이지만, 파일 형태를 보면 추가 설치되는 apk 파일임을 알 수 있다.
- 각 파일의 기능은 아래와 같다.
header01.png : root exploit
footer01.png : IRC Bot
border01.png : SMS Send

[그림] assets 파일 구성



[그림] border01.png 파일 형태


- border01.png 파일 구성을 보면, 추가설치되는 apk 파일임을 알 수 있다.


[그림] border01.png 파일 구성


4. 코드 분석(1) 사용자가 설치한 어플리케이션(Dropper)


- Android OS 2.2 버전 이상에서 설치 가능함을 알 수 있으며, 사용 권한 정보를 알 수 있다.

[그림] 사용자가 설치한 어플리케이션의 MANIFEST 정보


- Dropper 기능(악성 어플리케이션이 또 다른 추가 어플리케이션을 설치할 수 있는 기능)
- /data/data/com.android.bot/files 디렉토리를 만들고, 읽고 쓰고 실행할 수 있는 모든 권한(777)을 부여한다.

- header01.png, footer01.png, border01.png 파일을 해당 디렉토리에 추출하고, 실행한다.
- 마지막 라인의 "Not registred application on the screen."코드는 어플리케이션이 실행되었을 때 나타나는 문구이다.

[그림] AndroidBotAcitivity 클래스 코드 일부


5. 코드 분석(2) 사용자 모르게 추가 설치된 어플리케이션(Background install)

- Android OS 2.2 버전 이상에서 설치 가능함을 알 수 있으며, 사용 권한 정보를 알 수 있다.

[그림] 추가 설치된 악성 어플리케이션의 MANIFEST 정보

- 81083, 3075, 64747 등의 프리미엄 번호로 수신되는 SMS 를 숨긴다. (사용자가 알 수 없도록 하기 위해)
- 프리미엄 요금 번호로 수신되는 모든 메시지와 번호를 특정서버(http://46.166.x.x)로 보낸다.

[그림] SMSReceiver 클래스 코드 일부


- 각 국가별 프리미엄 번호가 존재한다.
번호 국가코드 국가명
81083
FR
프랑스 France
3075
BE
벨기에 Belgium
543
CH
스위스 Switzerland
64747
LU
룩셈부르크 Luxembourg
60999
CA
캐나다 Canada
63000
DE
독일 Germany
35024
ES
스페인 Spain
60999
GB
영국 United Kingdom
2052
MA
모로코Morocco
7604
SL
시에라 리온 Sierra Leone
1339
RO
루마니아 Romania
2227
NO
노르웨이 Norway
72225
SE
스웨덴 Sweden
23333
US
미국 United States of America
[표] AndroidMeActivity 클래스에 코딩된 국가별 코드 및 프리미엄 SMS 번호


[그림] AndroidMeActivity 클래스 코드 일부

- 과거 버전과 비교하여, 국가가 늘어났으며, 캐나다의 str 코딩 실수가 바로 잡혔다.
- 과거 변종 악성 어플리케이션 정보(http://asec.ahnlab.com/744)

[그림] AndroidMeActivity 클래스 코드 일부


- footer01.png 파일의 IRC Bot 기능
ELF 형태의 파일로 구성되어 있다.

[그림] footer01.png 파일 정보



- 감염된 안드로이드 스마트폰은 199.68.x,x 의 #andros 채널로 부터 명령을 받을 수 있다.
- 변종에 따라 IRC 서버주소는 다르게 구성되어 있다.

[그림] IRC 서버 및 채널 접속 정보



6. 진단 현황



위 악성 어플리케이션과 변종은 V3 mobile 제품으로 치료 가능하다.

Android-Trojan/Foncy




7. 스마트폰 안전수칙




아래의 수칙을 반드시 지켜 자신의 스마트폰을 악성코드로부터 안전하게 보호하는 것을 권한다.


1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.
신고
Creative Commons License
Creative Commons License
Posted by DH, L@@

 

일본 성인사이트에서 유포되는 악성 어플리케이션

 

일본 사용자를 대상으로 제작된 안드로이드 악성 어플리케이션이 발견되었다.

해당 어플리케이션이 설치될 경우, 사용자 정보가 유출되므로 주의가 필요하다.
관련 악성 어플리케이션에 대하여 살펴보자.

 


1. 유포 경로




- 악성 어플리케이션을 유포하는 일본 성인 사이트

 [그림] 일본 성인사이트 / 악성 어플리케이션 다운로드 페이지




2. 상세 정보




-  버튼을 클릭하면 악성 어플리케이션이 다운로드 된다.

 

 

[그림] 악성 어플리케이션 다운로드 버튼



- 다운로드 받은 악성 어플리케이션


[
그림] 다운로드 화면 / Install 화면


 


- Install 버튼을 클릭하면 아래와 같은 화면으로 전환되며, 설치가 진행된다.


 

[그림] 설치 진행중인 화면

 



- 설치가 완료된 후 아래와 같은 아이콘이 생성되며, 서비스가 등록되어 실행된다.

[그림] 악성 어플리케이션 아이콘 / 서비스 등록 화면

 



- 악성 어플리케이션의 아이콘을 실행하면 제작자가 의도한 사이트로 이동되며, 사용자 정보가 유출된다.


[그림] 악성 어플리케이션 실행화면(웹사이트 이동)

 


3. 코드 분석



- Main
클래스에 특정서버로 사용자의 정보를 전송하는 코드를 확인 할 수 있다.

스마트폰 단말기에 저장된 정보를 읽고, 전송하는 코드가 존재한다.

-> 전화번호, IMEI, 첫번째 계정정보(구글계정), GPS 정보

 


[그림] 스마트폰 단말기 정보 수집1<전화번호, IMEI, 첫번째 계정정보(구글계정)>

 

 



[그림] 스마트폰 단말기 정보 수집2<GPS>

 




- 스마트폰 단말기에 저장된 정보가 특정서버로 전송되는 네트워크 로그다.


[그림] 스마트폰 단말기에 저장된 정보가 전송되는 과정(로그)




4.
진단 현황




위 악성 어플리케이션과 변종은 V3 mobile 제품으로 치료 가능하다.

Android-Trojan/FakeTimer



[그림] 악성 어플리케이션 변종 정보(아이콘/권한)



5.
스마트폰 안전수칙




아래의 수칙을 반드시 지켜 자신의 스마트폰을 악성코드로부터 안전하게 보호하는 것을 권한다.

1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.

 

 

신고
Creative Commons License
Creative Commons License
Posted by DH, L@@