-문자 내 URL 클릭 시 악성 앱 설치 

-URL 클릭 금지, V3 Mobile로 진단/삭제해야


안랩은 최근 자사 고객센터와 쇼핑몰 번호를 이용한 스미싱 문자가 대량 발송되어 사용자 주의를 당부했다. 

 

안랩 고객센터 번호[ 1577-9880 ]와 안랩몰 구매라인 번호[ 1588-3096 ]로 전송된 문자 내용은 ‘[알리미]형사 소송건으로 법원 출석서가 발부되었습니다. 라는 문구와 단축 URL’이다.

 

안랩은 사용자에게 문자를 보낼 때 URL을 보내지 않으므로 URL이 들어간 유사문자를 받았을 경우 즉시 삭제하는 것이 안전하다고 밝혔다.

 

이미 URL을 클릭한 사용자는 특정 웹사이트로 접속하며 특정 앱 설치유도 메시지 창이 뜰 경우 설치하지 말아야 한다. 또한 앱 설치까지 마친 경우에는 즉시 V3 Mobile 엔진 업데이트 후 진단, 삭제해야 한다.

 

안랩은 V3 Mobile과 V3 Mobile+에 관련 악성 앱에 대한 엔진 업데이트를 완료[진단명: Android-Spyware/Langya.A96AC, Android-Trojan/SMSstealer.A96AB]했다며 V3 Mobile의 업데이트 및 정밀 검사를 해보는 것이 좋다고 전했다.

 

안랩은 또한 통신사 대리점에 문자 발송자를 확인해 경찰에 수사를 의뢰할 예정이라고 밝혔다.

 

안랩 이호웅 시큐리티대응센터장은 “믿을 수 있는 업체의 전화번호로 발신 번호를 임의 설정해 사용자가 URL을 클릭하도록 유도하는 수법이다. 해당 기업과 연관성이 없는 메시지 내용에 대해서는 세심한 주의가 필요하며, 특히 URL을 포함한 문자는 함부로 클릭하지 말아야 한다”라고 주의를 당부했다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- AV-TEST 모바일 보안 제품 테스트 통과..사용편의성 만점 

- 국내 유일 글로벌 기술력 공인..모바일 보안 시장 주도



글로벌 정보보안 기업인 안랩[대표 김홍선, www.ahnlab.com, 구 안철수연구소]는 자사 모바일 보안 제품인 V3 Mobile 2.0[이하 V3 Mobile]’이 글로벌 보안 제품 테스트 기관인 AV-TEST[www.av-test.org]가 진행한 첫 공식 테스트에서 우수한 성적으로 인증을 획득했다고 밝혔다.

 

이는 국내 기업 중 유일하게 참가해 거둔 성과이다. 이로써 안랩은 모바일 분야에서도 글로벌 기술력을 공인받아 급성장하는 모바일 보안 시장에서 리더십을 발휘하게 됐다.

 

이번 테스트는 AV-TEST가 올해 1월 전세계 22개 모바일 보안 제품을 안드로이드 환경에서 테스트한 것이다. 그 결과 V3 Mobile은 13.0 만점에 10.5를 기록해 인증을 획득했다[8.5 이상 기록이면 인증 통과]. V3 Mobile은 이번 테스트에서 악성코드 탐지율 94%를 기록했다. 특히, 오진이 0개이고, 제품이 단말기의 성능에 미치는 영향을 평가하는 CPU 점유율은 0.26%를 기록해 사용편의성[Usability] 부분에서 만점을 받았다.

 

글로벌 인증 기관에서 모바일 보안 제품을 공식 테스트한 것은 이번이 처음이다. 따라서, 이번 AV-TEST의 인증은 모바일 보안 제품 인증에 첫 기준을 제시했다는 데 의미가 있다. AV-TEST는 이에 앞서 작년 10월부터 비공개 테스트를 했으며, 안랩은 국내에서 유일하게 참가해 좋은 성적을 거둔 바 있다.

 

안랩 김홍선 대표는 “안랩은 R&D 중심 기업으로서 독보적인 핵심 기술을 바탕으로 PC, 네트워크 영역 보안뿐 아니라 모바일 보안 분야에서도 시장을 주도하고 있다. 특히 이번 인증은 안랩이 새로운 보안 위협에 대한 글로벌 수준의 기술을 갖추었음을 증명하는 것이다.”라고 말했다.

 

한편, V3 Mobile은 안랩이 10년 이상 축적한 모바일 보안 솔루션 개발 경험과 노하우가 집약되어 있다. 다양한 국제 인증으로 검증된 악성코드 분석 능력과 24시간 긴급 대응 체제를 바탕으로 신종 모바일 악성코드에 즉각 대응할 수 있다. 또한, 타사 대비 검사 속도와 진단율은 높고, 프로그램 설치 사이즈 및 메모리 사용량과 CPU 점유율은 낮은 것이 강점이다. 본연의 백신 기능이 우수할 뿐 아니라 물리적 보안 영역인 도난 방지[Anti-Theft] 기능까지 제공한다. 이 밖에 파일 암호화, 무선 인터넷 접속 제어, 스팸 차단, 데이터 백업 등 다양한 보안 위협에 입체적으로 대응할 수 있는 기능을 대거 탑재했다. 현재 삼성전자, LG전자의 안드로이드 기반 스마트폰에 제공되며 지난해 일본에도 진출한 상태이다.

 

V3 Mobile과 동일한 엔진을 탑재한 V3 Mobile Plus도 금융권에서 각광받는 제품이다. V3 Mobile Plus는 스마트폰용 은행, 증권 애플리케이션이 작동할 때 백그라운드에서 작동하며 악성코드의 침투 및 작동을 막아준다. 국내 30여 개 은행, 증권사에 공급돼 있다. 

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by AhnLab_ASEC

구글(Google)에서 개발한 안드로이드(Android) 운영체제에서 동작하며, 모바일 뱅킹(Mobile Banking) 정보를 탈취하는 Citmo(Carberp-in-the-Mobile)가 발견되었음을 러시아 보안 업체인 캐스퍼스키(Kaspersky)에서 "Carberp-in-the-Mobile" 블로그를 통해 공개하였다.


안드로이드 운영체제에서 동작하는 모바일 뱅킹 정보 탈취 목적의 안드로이드 악성코드는 올해 몇 차례가 발견 된 사례가 있다.


2012년 6월 - Zitmo 변형으로 알려진 안드로이드 악성코드


2012년 8월 - SMS를 유출하는 ZitMo 안드로이드 악성코드 변형 발견


이 번에 발견된 Citmo는 아래 이미지와 같이 러시아로 제작된 모바일 뱅킹을 위한 특정 은행에서 제작한 사용자 인증을 위한 앱으로 위장하고 있다. 



해당 안드로이드 앱을 설치하면 아래 이미지와 같이 SMS 읽기와 보내기 등의 사용자 권한을 요구하게 된다.



이 번에 발견된 Citmo는 모바일 뱅킹 과정에서 감염된 스마트폰 사용자가 은행으로부터 수신한 모바일 뱅킹을 위한 인증번호를 입력하면 해당 인증 번호를 유출하게 된다. 


그리고 특정 시스템으로부터 수신한 데이터를 이용해 모바일 뱅킹 관련 번호로부터 전송된 SMS 수신을 차단하게 된다. 이 과정에서 감염된 스마트폰 사용자는 자신의 계좌에서 돈이 이체되는 것을 알지 못하게 된다.


이 외에 해당 앱이 안드로이드 스마트폰에 정상적으로 설치 되면, 안드로이드 스마트폰에서 다음 정보들을 수집하여 러시아에 위치한 특정 시스템으로 전송하게 된다.


PhoneNumber

DeviceId

SimCountryIso

SimOperatorName

SMS


이 번에 발견된 모바일 뱅킹 정보를 탈취하기 위한 목적으로 제작된 Citmo는 V3 모바일 제품 군에서 다음과 같이 진단한다.


Android-Spyware/Citmo

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

몇 년전부터 금전적인 목적을 가지고 있는 허위 백신들들은 사회적인 이슈들 또는 소셜 네트워크(Social Network)등을 통해 지속적으로 유포되었다. 


다양한 기법으로 유포되는 허위 백신 형태의 악성코들은 감염된 시스템에 존재하지 않는 악성코드 감염이라는 허위 정보를 시스템 사용자들에게 보여줌으로서 금전적인 결제를 유도하여 직접적인 금전 획득의 목적을 가지고 제작되었다.


특히 다양한 사회적인 이슈들과 IT 트렌드를 반영하여 PC 또는 모바일(Mobile) 형태까지 다양한 형태로 유포 되는 사례가 많았다.


2011년 1월 - AVG 백신으로 위장해 유포된 허위 백신


2011년 10월 - SNS로 전파되는 맥 OS X 대상의 허위 백신


2011년 10월 - 클라우드 백신으로 위장한 허위 백신 발견


2011년 12월 - 2012년 버전으로 위장한 허위 클라우드 백신


2012년 5월 - 안드로이드 모바일 허위 백신 유포


최근 윈도우(Windows) 운영체제를 개발하는 마이크로소프트(Microsoft)에서는 10월 26일 전 세계적으로 차기 윈도우 운영체제인 윈도우 8을 출시 할 계획이라고 밝힌 바가 있다.


이러한 시기를 맞추어 윈도우 8로 신뢰할 수 있는 백신이라는 이미지로 위장한 허위 백신이 발견되었다.


해당 허위 백신 형태의 악성코드에 감염되면 아래 이미지와 같이 "Win 8 Security System"이라는 명칭을 사용하여 최신의 신뢰 할 수 있는 백신으로 위장하고 있다.



해당 허위 백신은 과거에 발견되었던 다른 허위 백신 형태의 악성코드들과 동일하게 사용자의 실행 여부와 상관 없이 자동 실행되고 시스템 전체를 검사하게 된다. 


검사가 종료되면 위 이미지에서와 같이 시스템에 존재하지 않는 다수의 악성코드들에 감염되었음을 시스템 사용자에게 알리고 치료가 필요하다고 허위 정보를 제공하게 된다.


그리고 최종적으로는 아래 이미지와 동일하게 다수의 악성코드들에 감염된 시스템을 정상적으로 사용하기 위해서는 금전 결제를 제공하라는 이미지를 보여주어, 금전 결제를 유도하게 된다.



이 번에 발견된 윈도우 8 관련 백신으로 위장한 허위 백신은 V3 제품군에서 다음과 같이 진단한다.


Spyware/Win32.Zbot


저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

금융 정보를 탈취를 목적으로하는 악성코드들은 PC와 안드로이드(Android)까지 다양한 운영체제와 디바이스들을 대상으로 그 범위를 확장해가고 있으며, 최근에는 안드로이드 모바일 운영체제를 대상으로 감염 후 개인 금융 정보 탈취를 목적으로하는 안드로이드 악성코드들이 지속적으로 발견되고 있다.


ASEC에서는 6월에도 이러한 형태의 안드로이드 악성코드인 ZitMo(Zeus in the Mobile)라는 안드로이드 악성코드가 발견되었음을 공개한 바가 있다.


2012년 6월 - Zitmo 변형으로 알려진 안드로이드 악성코드


현지 시각으로 2012년 8월 7일 해외 보안 업체인 캐스퍼스키(Kaspersky)에서는 블로그 "New ZitMo for Android and Blackberry"를 통해 새로운 ZitMo 안드로이드 악성코드 변형이 발견되었음을 공개하였다.


ASEC에서는 해당  새로운 ZitMo 안드로이드 악성코드 변형을 확보하여 자세한 분석을 진행하였다.


이 번에 발견된 ZitMo 안드로이드 악성코드 변형을 안드로이드 스마트폰에 설치하게 되면 아래 이미지와 같이 "SMS(Short Message Service) 송수신 권한"을 설치시 요구하게 된다.



그리고 설치가 완료되면 아래 이미지와 같이 "Zertifikat"라는 명칭을 가지는 아이콘을 안드로이드 스마트폰에 생성하게 된다. 해당 "Zertifikat"는 독일어로 증명서 또는 인증서를 의미한다.



해당 ZitMo 안드로이드 악성코드를 실행하게 되면 아래 이미지와 같은 독일어로 되어 있는 메시지가 나타나게 되며, 이는 "설치 성공, 정품 인증 코드는 7725486193 입니다."를 의미 한다.



설치가 완료되면 해당 ZitMo 안드로이드 악성코드는 안드로이드 스마트폰이 부팅하게 되면 자신의 아이콘을 숨기고, 감염된 안드로이드 스마트폰으로 송수신되는 모든 SMS들을 특정 휴대전화 번호로 전송하게 된다.


이러한 동작 기법으로 미루어 해당 ZitMo 안드로이드 악성코드는 유럽 지역에서 스마트폰을 이용한 뱅킹(Banking) 서비스 이용시에 사용자 인증을 위해 스마트폰과 휴대 전화로 뱅킹 인증 번호를 SMS로 전송한다는 점을 악용하여 감염된 안드로이드 폰에서 송수신한 뱅킹 인증 번호를 다른 휴대전화로 유출하는 것으로 분석 된다.


이번에 발견된 ZitMo 안드로이드 악성코드는 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/Zitmo.M


안드로이드 모바일 기기 사용자들은 인터넷 웹 사이트 등을 통해 안드로이드 앱들을 다운로드 받아 설치하는 것보다 신뢰 할 수 있는 통신사 또는 제조사가 제공하는 앱스토어를 이용해 다운로드 및 설치하는 것이 중요하다.


그리고 안드로이드 모바일 기기에서도 신뢰 할 수 있는 보안 업체가 개발한 보안 제품을 설치하여 주기적으로 검사하는 것이 필요하다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안드로이드(Android) 스마트폰의 사용율이 전 세계적으로 증감하에 따라 이와 관련된 다양한 보안 위협들이 발생하고 있다.


특히 해당 모바일(Mobile) 운영체제에서 동작하는 악성코드들은 2011년 하반기를 기점으로 기하 급수적으로 증가하고 있으며, 제작 목적 역시 금전 획득을 위한 목적으로 제작되는 사례들도 동반 증가하고 있다.


이러한 안드로이드 악성코드들의 유포는 현재까지 대부분이 구글(Google)에서 운영하는 안드로이드 앱스토어(Android Appstore) 또는 방문자가 많은 유명 서드 파티 앱스토어(3rd Party Appstore)를 통해 유포되는 사례가 많았다.


그러나 현재는 허위 앱 스토어를 통해 직접 유포하거나 유명 앱들을 배포하는 웹 사이트로 위장하여 유포하는 방식 등으로 기존 윈도우(Windows) 운영체제 기반의 PC에 감염되는 악성코드들이 유포되는 방식들을 그대로 답습하는 형태로 발전하고 있다.


이러한 안드로이드 악성코드가 금일 기존 윈도우 운영체제 기반의 PC에 감염되었던 허위 백신들과 유사한 형태로 유포되는 사례가 발견되었다.


이러한 허위 백신 형태의 악성코드는 최근 애플 맥(Mac) 운영체제 사용자들이 증가함에 따라 맥 운영체제에서 동작하도록 제작된 사례들도 존재한다.


이 번에 발견된 안드로이드 운영체제에 감염되는 허위 백신들은 아래 이미지와 같이 정상적인 보안 관련  웹 사이트로 위장하고 있다.



해당 허위 보안 웹 사이트에서는 러시아어로 제작되었으며, "SIM 검사", "저장소 검사"와 "시스템 파일 검사" 등의 항목으로 실제 안드로이드 스마트폰의 보안 검사를 수행하는 것으로 위장하고 있다.


각 항목의 검사가 종료되면 아래 이미지와 같이 현재 사용하는 안드로이드 스마트폰에 어떠한 부분이 취약한지를 붉은 색으로 표기하며, 악성코드에 감염되었음의 허위 사실을 알려 사용자로 하여금 VirusScanner.apk 파일을 다운로드하여 설치하도록 유도한다.



해당 웹 사이트를 통해 다운로드 된 VirusScanner.apk를 안드로이드 스마트 폰에 설치하게 될 경우, 다음 이미지와 같이 러시아 보안 업체 캐스퍼스키(Kaspersky)의 보안 제품과 동일한 아이콘이 생성된다.



그리고 설치 과정에서 해당 허위 백신은 아래 이미지와 같은 권한들이 사용 됨을 안드로이드 스마트 폰 사용자들에게 보여주게 된다.




설치된 해당 안드로이드 허위 백신은 정상적인 사용을 위해서는 사용자에게 요금을 지불하도록 요구하여 금전적인 목적으로 제작된 안드로이드 악성코드이다.


이러한 허위 백신 형태의 악성코드는 PC 기반의 윈도우 운영체제와 맥 운영체제 뿐만이 아니라 안드로이드 스마트폰에서 까지 발견되었다는 점에서 향후 이러한 허위 백신 형태의 안드로이드 악성코드가 지속적으로 등장 할 것으로 예측 된다.


이 번에 발견된 허위 백신 형태의 안드로이드 악성코드들은 모두 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/FakeAV

Android-Trojan/FakeAV.B 


안드로이드 스마트폰 사용자들은 안드로이드 앱들을 다운 받아 설치 할 때, 신뢰 할 수 있는 구글 앱 스토어나 통신사에서 운영하는 앱 스토어를 이용하는 주의가 필요하다.


그리고 안드로이드 보안 제품들 역시 신뢰 할 수 있는 전문 보안 업체에서 개발한 안드로이드 보안 앱을 다운로드하여 설치하는 것이 중요하다.


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안드로이드 플랫폼이 큰 인기를 끌면서 모바일 기반의 악성코드 또한 활개치고 있다. 악성코드는 주로 인기 있는 어플리케이션으로 위장하여 사용자가 설치하게끔 유도하는데 그 대상으로 빠지지 않고 이용되는 인기게임 중 하나가 바로 "Angry Birds" 가 아닐까 한다.

 

이번에 새롭게 발견된 악성코드 역시 유명게임 "Angry Birds" 를 위장하고 있어 주의가 필요하다.

 

[fig. 가짜 Angry Birds 아이콘]

 

해당 악성코드는 중국의 써드파티마켓에서 최초 발견되었으며 위와 같이 Angry Birds 게임으로 위장하고 있다. 중국의 써드파티 안드로이드마켓 규모는 우리나라보다 크고 정품어플리케이션을 불법으로 받기 위해 이용하는 경우가 많아 사용자들이 쉽사리 악성어플리케이션에 대해 노출되기 쉬운 환경이다.

 

[fig. manifest 에 나타나는 악성 service]

 

 

이 악성코드는 설치 시 "com.neworld.demo.UpdateCheck" 라는 악성 서비스가 실행되는데, 이 서비스는 어플리케이션의 assets 폴더에 저장된 그림파일(mylogo.jpg)에 몰래 숨겨놓은 elf 포맷의 악성파일을 추가적으로 실행하며 아래와 같은 악의적인 동작을 지속적으로 수행한다.

 

  1. 사용자 폰 정보 탈취
  2. 강제 Rooting 시도
  3. C&C서버와 통신하며 명령수행 (ex.프로그램 설치)

     

 

[fig. 악성 elf 파일이 숨겨진 jpg 그림파일]

 

[fig. jpg 에 포함된 elf 의 binary 코드]

 

 

[fig. 폰정보 탈취코드]

 

[fig. C&C서버 통신 코드]

 

해당 악성코드는 V3 mobile 제품군에서 아래와 같이 진단한다.

Android-Exploit/Rootor.TC

 

아래의 스마트폰 악성코드 피해방지 3계명을 지켜 모바일 라이프를 안전하게 즐기도록 하자. J

 

- 스마트폰 악성코드 피해방지 3계명 http://blog.ahnlab.com/ahnlab/1488

▲백신 검사철저 ▲운영체제 구조 임의 변경 자제 ▲의심 서비스 이용 주의

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원
일반적으로 서로 다른 윈도우(Windows) 운영체제와 리눅스(Linux) 운영체제에서 모두 감염되어 동작하는 악성코드를 제작하는 것은 기술적으로 많은 사항들을 고려해야 되는 문제임으로 쉽지 않은 사항이다. 특히나 모바일(Mobile) 운영체제와 일반 윈도우 PC 모두에 감염되어 동작하는 악성코드를 제작하기라는 것은 더욱 쉽지 않은 사항이다.

2012년 2월 3일 ASEC에서는  하루동안 전세계에서 수집되어 분석되었던 안드로이드(Android) 어플리케이션들을 확인하는 과정에서 특이하게 특정 어플리케이션 내부에 윈도우 악성코드가 포함되어 있는 것을 발견하였다.

이 번에 발견된 안드로이드 어플리케이션 아래와 같은 구조를 가지고 있으며, 아래 이미지의 붉은색 박스로 표기한 스크립트 파일인 about_habit.htm(123,196 바이트)를 내부에 포함하고 있다. 


해당 안드로이드 어플리케이션 내부에 포함된 about_habit.htm는 일반적인 HTML 파일이 아니며 실제로는 비주얼 베이직 스크립트(Visual Basic Script)로 다음과 같은 형태를 가지고 있다.

 
해당 비주얼 베이직 스크립트 파일은 svchost.exe(61,357 바이트) 파일명으로 윈도우 운영체제에서 감염되는 악성코드를 생성하고 실행하게 되었다.

그러나 해당  비주얼 베이직 스크립트 파일은 안드로이드 운영체제에서는 동작할 수 없는 형태이다. 그리고 해당 파일을 포함하고 있는 안드로이드  어플리케이션의 내부 코드에는 해당  스크립트를 외장 메모리에 쓰도록 제작된 코드는 존재하지 않는다.

이로 미루어 해당 안드로이드 어플리케이션 제작자의 실수 등으로 인해 해당 비주얼 베이직 스크립트 파일이 어플리케이션 제작시 포함되었을 것으로 추정 된다.

이 번 안드로이드 어플리케이션 내부에 포함된 윈도우 악성코드들은 V3 제품군에서는 다음과 같이 진단한다.

VBS/Agent
Win-Trojan/Krap.61357
저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원


1. 악의적인 다양한 기능이 포함된 안드로이드 악성 어플리케이션


 최근 안드로이드 악성코드는, Windows 기반의 악성코드의 진화과정을 빠르게 닮아가고 있다.
단순한 정보 유출 어플리케이션에서 부터, Root Exploit, SMS 과금형, 허위 안드로이드 백신 어플리케이션, 그리고 2가지 이상의 기능이 합쳐진 형태의 악성 어플리케이션 등, 날이 갈수록 그 수량이 급격히 증가/발전하고 있다.

 이번 포스팅에서 여러가지 기능이 포함된 안드로이드 악성 어플리케이션을 살펴보자.


2. MADDEN NFL 12 로 위장된 악성 어플리케이션




 MADDEN NFL 12 게임으로 위장한 Foncy 악성코드가 발견되었다. 

 해당 악성코드는 IRC 채널에 접속하여 원격 제어가 가능한 Bot 기능을 수행하며, 해당 어플리케이션으로 인하여 추가 생성된 어플리케이션이 동작할 경우, SMS 를 발송하며 이로 인한 과금이 발생 한다.



- 악성 어플리케이션 설치 후 실행 화면

 

[그림] 악성 어플리케이션 아이콘 / 실행 화면


- 설치 이후, 사용자도 모르게 추가 설치되는 악성 어플리케이션

[그림] 설치된 악성 어플리케이션


- 각 어플리케이션 권한 정보

[그림] 사용자가 설치한 어플리케이션의 권한 정보



[그림] 사용자 모르게 추가 설치된 어플리케이션의 권한 정보



3. 상세 정보


- 악성 어플리케이션 APK 파일의 내부 assets 파일 구성 이다.
- png 확장자로 위장한 파일이지만, 파일 형태를 보면 추가 설치되는 apk 파일임을 알 수 있다.
- 각 파일의 기능은 아래와 같다.
header01.png : root exploit
footer01.png : IRC Bot
border01.png : SMS Send

[그림] assets 파일 구성



[그림] border01.png 파일 형태


- border01.png 파일 구성을 보면, 추가설치되는 apk 파일임을 알 수 있다.


[그림] border01.png 파일 구성


4. 코드 분석(1) 사용자가 설치한 어플리케이션(Dropper)


- Android OS 2.2 버전 이상에서 설치 가능함을 알 수 있으며, 사용 권한 정보를 알 수 있다.

[그림] 사용자가 설치한 어플리케이션의 MANIFEST 정보


- Dropper 기능(악성 어플리케이션이 또 다른 추가 어플리케이션을 설치할 수 있는 기능)
- /data/data/com.android.bot/files 디렉토리를 만들고, 읽고 쓰고 실행할 수 있는 모든 권한(777)을 부여한다.

- header01.png, footer01.png, border01.png 파일을 해당 디렉토리에 추출하고, 실행한다.
- 마지막 라인의 "Not registred application on the screen."코드는 어플리케이션이 실행되었을 때 나타나는 문구이다.

[그림] AndroidBotAcitivity 클래스 코드 일부


5. 코드 분석(2) 사용자 모르게 추가 설치된 어플리케이션(Background install)

- Android OS 2.2 버전 이상에서 설치 가능함을 알 수 있으며, 사용 권한 정보를 알 수 있다.

[그림] 추가 설치된 악성 어플리케이션의 MANIFEST 정보

- 81083, 3075, 64747 등의 프리미엄 번호로 수신되는 SMS 를 숨긴다. (사용자가 알 수 없도록 하기 위해)
- 프리미엄 요금 번호로 수신되는 모든 메시지와 번호를 특정서버(http://46.166.x.x)로 보낸다.

[그림] SMSReceiver 클래스 코드 일부


- 각 국가별 프리미엄 번호가 존재한다.
번호 국가코드 국가명
81083
FR
프랑스 France
3075
BE
벨기에 Belgium
543
CH
스위스 Switzerland
64747
LU
룩셈부르크 Luxembourg
60999
CA
캐나다 Canada
63000
DE
독일 Germany
35024
ES
스페인 Spain
60999
GB
영국 United Kingdom
2052
MA
모로코Morocco
7604
SL
시에라 리온 Sierra Leone
1339
RO
루마니아 Romania
2227
NO
노르웨이 Norway
72225
SE
스웨덴 Sweden
23333
US
미국 United States of America
[표] AndroidMeActivity 클래스에 코딩된 국가별 코드 및 프리미엄 SMS 번호


[그림] AndroidMeActivity 클래스 코드 일부

- 과거 버전과 비교하여, 국가가 늘어났으며, 캐나다의 str 코딩 실수가 바로 잡혔다.
- 과거 변종 악성 어플리케이션 정보(http://asec.ahnlab.com/744)

[그림] AndroidMeActivity 클래스 코드 일부


- footer01.png 파일의 IRC Bot 기능
ELF 형태의 파일로 구성되어 있다.

[그림] footer01.png 파일 정보



- 감염된 안드로이드 스마트폰은 199.68.x,x 의 #andros 채널로 부터 명령을 받을 수 있다.
- 변종에 따라 IRC 서버주소는 다르게 구성되어 있다.

[그림] IRC 서버 및 채널 접속 정보



6. 진단 현황



위 악성 어플리케이션과 변종은 V3 mobile 제품으로 치료 가능하다.

Android-Trojan/Foncy




7. 스마트폰 안전수칙




아래의 수칙을 반드시 지켜 자신의 스마트폰을 악성코드로부터 안전하게 보호하는 것을 권한다.


1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.
신고
Creative Commons License
Creative Commons License
Posted by DH, L@@

 


1. Google++ 에 대하여..


 최근 구글플러스 SNS 의 사용자가 증가함에 따라, 이를 악용한 악성 어플리케이션이 등장 했다.
인기 SNS의 증가와 사용자의 관심을 이용하여 이른바, 사회공학기법의 악성코드 감염 방식과 유사하다고 볼 수 있다. 

 얼마전 구글 서치(Google Search)를 위장한 앱에 이어 구글을 위장한 악성 앱이 다시 등장한 것이다.

Google SSearch 악성 앱 정보 : http://core.ahnlab.com/299 



2. Nicky 로 불리는 악성 앱 Google++


- 악성 앱이 요구하는 권한 정보



[그림] Google++ 어플리케이션 권한 정보




- 앱이 설치되어도 아이콘은 생성되지 않는다. [응용프로그램 관리]를 통하여 확인 가능 하다.

 

[그림] [응용프로그램 관리] 화면




3. 상세 정보


- AndroidManifest.xml 에서 다음과 같이 동작할 것으로 추정 가능 하다.

[그림]  Manifest 일부


- SMS, 통화 내역, GPS 정보 수집 등 Nicky 와 비슷한 동작을 시도 한다.
Android System Message 악성 앱 정보 http://core.ahnlab.com/320

[그림] 악의적 행위를 시도하는 서비스 관련 코드



- V3 모바일에서는 변종에 대하여 다음과 같이 진단하고 있다.

Android-Spyware/Nicky
Android-Spyware/Nicky.B
Android-Spyware/Nicky.C
Android-Spyware/Nicky.D
Android-Spyware/Nicky.E
Android-Spyware/Nicky.F




4. 스마트폰 사용시 주의 사항 !

- 항상 최신의 OS 버전을 사용 한다.

1. 애플리케이션을 설치하거나 이상한 파일을 다운로드한 경우에는 반드시 악성코드 검사를 한다.
2. 게임 등 애플리케이션을 다운로드할 때는 신중하게 다른 사람이 올린 평판 정보를 먼저 확인한다.
3. 브라우저나 애플리케이션으로 인터넷에 연결 시 이메일이나 문자 메시지에 있는 URL은 신중하게 클릭한다.
4. PC로부터 파일을 전송 받을 경우 악성코드 여부를 꼭 확인한다.
5. 백신의 패치 여부를 확인해서 최신 백신 엔진을 유지한다.
6. 스마트폰의 잠금 기능[암호 설정]을 이용해서 다른 사용자의 접근을 막는다. 잠금 기능에 사용한 비밀번호를 수시로 변경한다.
7. 블루투스 기능 등 무선기능은 필요할 때만 켜놓는다.
8. ID, 패스워드 등을 스마트폰에 저장하지 않는다.
9. 백업을 주기적으로 받아서 분실 시 정보의 공백이 생기지 않도록 한다.
10. 임의로 개조하거나 복사방지 등을 풀어서 사용하지 않는다.



신고
Creative Commons License
Creative Commons License
Posted by DH, L@@