안드로이드(Android) 스마트폰의 사용과 보급이 증가함에 따라 해당 운영체제에서 동작하는 안드로이드 악성코드들 역시 급격하게 증가하고 있다.


2011년의 경우 제작자에 의해 제작된 안드로이드 악성코드는 구글(Google)에서 운영하는 정상적인 안드로이드 앱스토어를 통한 유포 시도 또는 비교적 많은 사람들이 방문하는 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포하는 방식이 대부분을 차지하고 있다.


그러나 금일 안드로이드 운영체제에서 동작하는 유명 게임들을 배포하는 웹 사이트로 위장하여 안드로이드 악성코드를 유포하는 웹 사이트들이 발견되었다.


이 번에 발견된 웹 사이트는 아래 이미지와 같이 Cut the Rope, Fruit Ninja와 Angry Birds 등과 같은 유명 게임들을 배포하는 웹 사이트로 위장하고 있었다.



해당 웹 사이트들은 모두 러시아로 제작되어 있었으며, 안드로이드 운영체제에 설치 가능한 APK 파일들을 다운로드하도록 유도하고 있다.


구글에서는 안드로이드 앱스토어에서 악성코드가 유포되는 것을 막기위해 사전 심사를 강화하고, 많은 사람들이 방문하는 서드 파티 앱스토어에서는 사용자의 평판이 존재한다.


이러한 사항들로 인해 안드로이드 악성코드 제작자는 자신이 제작한 악성코드를 유포하기 위해 이러한 사항들을 회피하기 위한 수단으로 별도의 허위 웹 사이트를 제작하여 이용하고 있는 것으로 볼 수 있다.


이 번에 발견된 안드로이드 유명 앱을 배포하는 것으로 위장한 웹 사이트에서 유포하고 있는 안드로이드 악성코드들 모두는 V3 Mobile에서 다음과 같이 진단한다.


Android-Trojan/Boxer.KX


이와 함께 허위로 제작된 안드로이드 마켓이 2012년 3월에 발견된 사례도 있음으로 안드로이드 사용자들은 구글에서 직접 운영하는 앱스토어나 통신사에서 운영하는 신뢰 할 수 있는 앱스토어에서만 앱을 다운로드하여 설치하는 주의가 필요하다.


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안드로이드 플랫폼이 큰 인기를 끌면서 모바일 기반의 악성코드 또한 활개치고 있다. 악성코드는 주로 인기 있는 어플리케이션으로 위장하여 사용자가 설치하게끔 유도하는데 그 대상으로 빠지지 않고 이용되는 인기게임 중 하나가 바로 "Angry Birds" 가 아닐까 한다.

 

이번에 새롭게 발견된 악성코드 역시 유명게임 "Angry Birds" 를 위장하고 있어 주의가 필요하다.

 

[fig. 가짜 Angry Birds 아이콘]

 

해당 악성코드는 중국의 써드파티마켓에서 최초 발견되었으며 위와 같이 Angry Birds 게임으로 위장하고 있다. 중국의 써드파티 안드로이드마켓 규모는 우리나라보다 크고 정품어플리케이션을 불법으로 받기 위해 이용하는 경우가 많아 사용자들이 쉽사리 악성어플리케이션에 대해 노출되기 쉬운 환경이다.

 

[fig. manifest 에 나타나는 악성 service]

 

 

이 악성코드는 설치 시 "com.neworld.demo.UpdateCheck" 라는 악성 서비스가 실행되는데, 이 서비스는 어플리케이션의 assets 폴더에 저장된 그림파일(mylogo.jpg)에 몰래 숨겨놓은 elf 포맷의 악성파일을 추가적으로 실행하며 아래와 같은 악의적인 동작을 지속적으로 수행한다.

 

  1. 사용자 폰 정보 탈취
  2. 강제 Rooting 시도
  3. C&C서버와 통신하며 명령수행 (ex.프로그램 설치)

     

 

[fig. 악성 elf 파일이 숨겨진 jpg 그림파일]

 

[fig. jpg 에 포함된 elf 의 binary 코드]

 

 

[fig. 폰정보 탈취코드]

 

[fig. C&C서버 통신 코드]

 

해당 악성코드는 V3 mobile 제품군에서 아래와 같이 진단한다.

Android-Exploit/Rootor.TC

 

아래의 스마트폰 악성코드 피해방지 3계명을 지켜 모바일 라이프를 안전하게 즐기도록 하자. J

 

- 스마트폰 악성코드 피해방지 3계명 http://blog.ahnlab.com/ahnlab/1488

▲백신 검사철저 ▲운영체제 구조 임의 변경 자제 ▲의심 서비스 이용 주의

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원
과거 구글 안드로이드마켓에 악성코드가 업로드되었다가 퇴출된 사건에 이어, 또다시 공식 마켓에 악성코드가 올라온 것이 확인되어 충격을 주고 있다.

이전글 참고
안드로이드마켓에서 유포된, 사용자폰을 강제루팅시키는 악성 어플리케이션 주의


최근 발견된 악성코드는 '유명한 게임' 을 위장한 형태로 안드로이드마켓에 업로드 되어 유포되었으며, 설치시 '유럽' 지역의 국가의 단말기일 경우 프리미엄 번호로 SMS 를 전송하여 과금을 시키는 전형적인 과금형 악성코드로서, 국내의 피해사례는 아직 없다.

해당 악성코드에 대해 자세히 살펴보자


1. 유포 경로

구글 공식 안드로이드마켓(
http://market.android.com) 을 통해 유포되었고, 현재는 마켓에서 제외되어 더이상 다운받을 수 없다.


[그림. android market 에 유포된 악성코드]
 출처: symantec 블로그


2. 분 석

해당 악성코드들은 아래와 같이 Angry birds, Assasin Creed 등 인기 게임의 아이콘, 어플리케이션명 등을 위장하고 있어 일반적으로 정상게임과 구분하기는 매우 어렵다.

 

 

[그림. 악성 어플리케이션]


[그림. 정상 어플리케이션]



해당 프로그램을 설치하게 되면 아래와 같이 정상게임에선 뜨지 않는 화면이 나오며 게임플레이를 하기 위해 http://91.xxx.xxx.148/app 를 통해 추가적인 어플리케이션을 다운로드 유도하는 것으로 보이나 현재 정상적인 접속은 되지 않는 것으로 확인된다.




[그림. 실행 화면]

첫화면의 Rules 를 클릭시 해당 프로그램이 sms 를 전송한다는 약관내용이 확인된다. 이와 같은 형태는 이전 블로그에서 다뤘던 FakeInst 변종  과 매우 유사하다.


[그림. rules]

악성코드는 아래와 같이 sim card 에서 단말기의 국가코드를 파싱하여 국가에 맞는 과금번호(premium number)로  문자를 전송한다.


[그림. 문자 과금 코드]

과금 관련 코드는 아래와 같이 총 18개의 유럽지역의 국가에 대해서 발송되도록 설정되어있다.

국가코드  송신 번호  국가이름
am 1121 Armenia
az 9014 Azerbaijan
by 7781 Belarus
cz 90901599 Czech Republic
de 80888 Germany
ee 17013 Estonia
fr 81185 France
gb 79067 United Kingdom
ge 8014 Georgia
il 4545 Israel
kg 4157 Kyrgyzstan
kz 7790 Kazakhstan
lt 1645 Lithuania
lv 1874 Latvia
pl 92525 Poland
ru 7781 Russian Federation
tj 1171 Tajikistan
ua 7540 Ukraine

[표. 문자 과금 대상 국가]


해당 악성코드는 아래와 같이 SMS과금관련 권한을 확인하여서도 구분이 가능하므로, 사용자들은 어플리케이션 설치시 항상 권한을 주의깊게 살핀 후 설치하는 습관을 갖도록 하자.


[그림. 권한]

3. 진단 현황

위 악성코드는 V3 mobile 제품군에서 아래의 진단명으로 치료가능하다.

Android-Trojan/Pavelsms


4. 스마트폰 안전수칙

아래의 수칙을 반드시 지켜 자신의 스마트폰을 악성코드로부터 안전하게 보호하는 것을 권한다.
1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원