- 올해 8월, 스미싱 악성코드 전월 대비 2배 이상 급증 

- 소액결제에서 금융정보 훔치는 악성코드로 진화 

- 주소록 내 모든 연락처로 스미싱 문자 발송하는 신종 악성코드도 발견 

- 메시지 내 URL 실행 자제, ‘알 수 없는 출처(소스)’의 허용 금지 설정, 백신으로 주기적 검사, 앱 다운로드 전 평판 확인 등 필요 


안랩[대표 김홍선, www.ahnlab.com]은 최근 스미싱[보충자료1] 악성코드가 급증하고 있다며 스마트폰 사용자의 주의를 당부했다.

 

안랩은 내부 집계 결과[보충설명2] 지난 2012년 12월까지 스미싱 악성코드가 매월 각 1~10개 이내로 발견되었으나 2013년 1월 68개로 늘어난 이후 2월 174개, 3월 262개로 늘어났으며 5월 들어서 345개를 기록, 300개를 넘어선 이후 8월 들어 725개로 전월 대비 2배 이상 증가했다고 밝혔다. 2012년 한 해 동안 발견된 스미싱 악성코드가 전체 29개인 데 비해 2013년 1월부터 8월까지 총 2,433 개가 발견되어 무려 84배나 증가했다.

 

안랩은 특히 8월에 발견된 스미싱 악성코드 725개 중 실제 금전 피해를 입히는 체스트 악성코드가 252개에 달해 34.8%를 차지한다고 언급했다.

 

또한 8월에 발견된 체스트 악성코드 중 일부는 변종인 것으로 밝혀졌다. 변종 체스트 악성코드는 스마트폰 사용자의 모든 SMS[Short Message Service]를 탈취하며, 스마트폰에 저장된 정상적인 은행 앱을 삭제하고 악성 앱을 설치해 사용자의 금융정보를 탈취하는 것으로 분석됐다.

 

기존의 단순 소액결제[30만원 이하]를 노리던 것에서 금전 피해 규모가 커질 우려가 있는 [사용자의]금융정보를 훔치는 형태로 진화하였다. [변종 체스트 악성코드가 탈취하는 금융정보는 스마트폰 사용자의 계좌번호, 비밀번호, 보안카드 일련번호, 보안카드 번호 등[공인인증서 제외]이다.]

 

지난 해 처음 발견된 체스트는 스마트폰 사용자의 통신사 정보와 그에 따른 SMS를 탈취해 소액결제를 노리는, 실제 금전 피해를 야기한 최초의 모바일 악성코드이다.

 

8월에는 이 밖에도 인터넷으로부터 악성 앱을 다운로드해 설치하고, 스마트폰 내 주소록에 있는 모든 연락처로 스미싱 메시지를 배포하는 신종 악성코드 "뱅쿤"[보충자료 3]도 새롭게 확인되었다. [진단명:Android-Downloader/Bankun]

 

이호웅 안랩 시큐리티대응센터장은 “스미싱을 이용한 범죄가 날로 지능화하고 있다. 안랩 V3모바일 등 정상 앱을 사칭하는 것은 물론이고, 최근 모바일 청첩장이나 돌잔치 초대장을 가장해 사용자의 주소록을 활용하여 대량으로 유포하는 형태가 등장하고 있어, 각별한 주의가 필요하다”고 말했다.

 

스미싱 피해를 줄이기 위해 사용자는 SNS[Social Networking Service]나 문자 메시지에 포함된 URL 실행을 자제하고, 모바일 백신으로 스마트폰을 주기적으로 검사해야 한다. 또한 사용자들은 “알 수 없는 출처[소스]"의 허용 금지 설정을 해두어야 하며 반드시 정상 마켓을 이용해야 한다. 하지만, 정상 마켓에도 악성 앱이 올라오는 경우가 있어, 앱을 다운로드하기 전에 평판 등을 반드시 확인해 보는 것이 중요하다.

 

안랩은 현재 삼성[갤럭시 제품군]과 LG[옵티머스 제품군] 스마트폰에 기본탑재 방식으로 V3 모바일을 제공하고 있다.

 

--------<보충자료>--------

 

1. 스미싱

스미싱은 문자메시지[SMS]와 피싱[Phishing]의 합성어로 스마트폰 이용자가 인터넷 주소를 클릭하면 악성코드가 설치되며 이를 보낸 해커가 결제정보 등 개인정보를 빼돌리는 신종 사기 수법이다.

 

2. 스미싱 동향 조사 요약

안랩은 스미싱 동향 조사 결과 2013년 1월부터 8월까지 총 2,433 개의 악성코드가 수집되었다고 밝혔다. 2012년 한 해 동안 발생한 스미싱 악성코드는 29개로 작년 대비 무려 84배나 증가했다.

 

스미싱 악성코드는 2012년 말부터 본격적으로 발견되기 시작해 현재까지 매월 지속적으로 증가하고 있다. 2013년 5월부터는 급격히 증가하기 시작해 3 달간 월평균 330건~350건의 악성코드가 수집 되었으며, 특히 8월에는 700건 이상이 접수되는 등 스미싱을 노린 악성코드가 2배 이상 급증하였다.  


3. 뱅쿤[Bankun] 악성코드

스마트폰에 설치된 정상 은행 앱을 삭제한 후 악성 은행 앱 설치를 유도하는 악성코드. 또한 사용자의 주소록 정보를 외부로 유출하고 주소록에 저장된 번호로 스미싱 문자를 발송하는 것으로 밝혀진 악성코드이다. [진단명: Android-Downloader/Bankun]

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

- 작년 4분기 14종에서 올해 1분기 225종으로 16배 급증 

- 커피 등 무료 쿠폰 가장한 SMS로 악성코드 설치 유도 

- 소액결제 인증 SMS 탈취해 사용자 몰래 결제



스마트폰 소액결제를 노린 안드로이드 악성코드 ‘체스트[chest]의 변종이 급증하고 그로 인한 피해도 증가해 사용자의 주의가 필요하다.

 

글로벌 보안 기업 안랩[구 안철수 연구소, 대표 김홍선, www.ahnlab.com]은 지난해 10월부터 피해를 일으키고 있는 안드로이드 악성코드 ‘체스트[chest]’의 변종이 올해 들어 급증했다고 밝혔다. 작년 10월~12월 동안 14종이 발견됐으나 올해 들어서는 1월부터 3월 7일 현재까지 225종이 발견돼 16배나 늘어난 수치다.

 

체스트 변종의 배포 방식은 종전과 동일하지만, 소스 코드가 일부 추가/변경된 것이 특징이다. 커피, 외식, 영화 등 다양한 유명 브랜드를 사칭한 무료 쿠폰 안내와 URL을 문자로 보내 사용자를 현혹한다. 사용자가 무심코 URL을 클릭해 해당 페이지에서 애플리케이션[이하 앱]을 설치하면 본인도 모르게 소액결제가 이루어져 금전 피해를 보게 된다. 안랩은 최근 발견한 ‘체스트’ 변종을 분석해 블로그에 상세 정보를 올렸다[http://asec.ahnlab.com/920].

 

이에 따르면 악성코드 제작자는 사전에 입수한 정보를 토대로 SMS[악성 앱 설치 유도 메시지] 수신자[타깃]를 웹 화면에서 관리 및 모니터링하는 것으로 밝혀졌다. 악성코드 제작자는 공격 대상을 정하면 ‘어플 설치하면 카페라떼+치즈케익이 공짜’ 등 사용자를 현혹하는 내용과 URL을 문자 메시지로 보낸다. 사용자가 단축 URL을 클릭해 앱을 설치하면 유명 커피 전문점을 사칭한 아이콘이 생성되고 서비스에 등록된다.

 

사용자가 악성 앱을 실행하면 ‘사용자 급증으로 시스템 과부화로 잠시 후에 다시 이용 바랍니다.’라는 메시지가 뜬다. 이는 피해자를 속이기 위한 허위 메시지이다. 악성 앱이 실행되면 통신사 정보와 스마트폰 번호가 악성코드 제작자에게 전송된다. 악성코드 제작자는 정보를 확보한 후 즉시 소액결제를 시도하고 이때 수신된 인증번호를 사용자 몰래 가로채서 금전을 탈취한다.

 

기존 악성코드는 대부분 불특정 다수를 대상으로 하고 개인정보 탈취가 주 목적이었다. 하지만 ‘체스트[chest]’는 과거 발생한 대량의 개인정보유출 사고를 통해 유출된 개인정보 중 주민번호와 전화번호를 이용해 특정한 공격 대상을 정한다는 점에서 기존 악성코드보다 진보된 형태라 할 수 있다.

 

특히, 소액결제 시 반드시 필요한 인증번호 문자 메시지가 사용자 몰래 직접 악성코드 제작자에게 전달되도록 설계되어 피해 사실을 당장 알기 어렵고, 사용자는 청구서가 나온 후에야 피해를 확인할 수 있다는 점, 대부분의 사용자가 핸드폰 사용 내역서를 꼼꼼히 살펴보지 않는다는 점에서 이후 유사한 피해가 추가 발생할 우려가 높다.

 

국내 휴대폰 소액결제 서비스 한도 금액이 일인 당 매월 30만원으로 제한되어 있긴 하지만 현재 시장 규모가 2조8000억 원에 이르는 것을 감안하면 전체 피해액은 매우 클 수 있다.

 

안랩 이호웅 시큐리티대응센터장은 “사용자는 문자로 전송된 URL을 클릭할 때나 해당 페이지에서 요구하는 앱 설치에 주의해야 한다. 또한, 서드파티 마켓은 물론 구글 공식 마켓이라도 안심하지 말고 평판을 읽어본 후 설치하고, 새로운 앱은 1주일 이상 여유를 두고 평판을 지켜본 후 설치하는 등 신중함이 필요하다. 아울러 수시로 V3 모바일과 같은 스마트폰 전용 백신으로 점검을 해보는 습관이 필요하다.”라고 주의를 당부했다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

구글(Google)에서 개발한 안드로이드(Android) 운영체제에서 동작하며, 모바일 뱅킹(Mobile Banking) 정보를 탈취하는 Citmo(Carberp-in-the-Mobile)가 발견되었음을 러시아 보안 업체인 캐스퍼스키(Kaspersky)에서 "Carberp-in-the-Mobile" 블로그를 통해 공개하였다.


안드로이드 운영체제에서 동작하는 모바일 뱅킹 정보 탈취 목적의 안드로이드 악성코드는 올해 몇 차례가 발견 된 사례가 있다.


2012년 6월 - Zitmo 변형으로 알려진 안드로이드 악성코드


2012년 8월 - SMS를 유출하는 ZitMo 안드로이드 악성코드 변형 발견


이 번에 발견된 Citmo는 아래 이미지와 같이 러시아로 제작된 모바일 뱅킹을 위한 특정 은행에서 제작한 사용자 인증을 위한 앱으로 위장하고 있다. 



해당 안드로이드 앱을 설치하면 아래 이미지와 같이 SMS 읽기와 보내기 등의 사용자 권한을 요구하게 된다.



이 번에 발견된 Citmo는 모바일 뱅킹 과정에서 감염된 스마트폰 사용자가 은행으로부터 수신한 모바일 뱅킹을 위한 인증번호를 입력하면 해당 인증 번호를 유출하게 된다. 


그리고 특정 시스템으로부터 수신한 데이터를 이용해 모바일 뱅킹 관련 번호로부터 전송된 SMS 수신을 차단하게 된다. 이 과정에서 감염된 스마트폰 사용자는 자신의 계좌에서 돈이 이체되는 것을 알지 못하게 된다.


이 외에 해당 앱이 안드로이드 스마트폰에 정상적으로 설치 되면, 안드로이드 스마트폰에서 다음 정보들을 수집하여 러시아에 위치한 특정 시스템으로 전송하게 된다.


PhoneNumber

DeviceId

SimCountryIso

SimOperatorName

SMS


이 번에 발견된 모바일 뱅킹 정보를 탈취하기 위한 목적으로 제작된 Citmo는 V3 모바일 제품 군에서 다음과 같이 진단한다.


Android-Spyware/Citmo

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

안랩 ASEC에서 2012년 8월 국내,외에서 발생한 다양한 보안 위협 이슈와 동향들을 정리한 ASEC 리포트 2012 Vol.32을 발간하였다. 



이 번에 발간된 ASEC 리포트는 2012년 8월 주요 보안 위협 이슈들을 다음과 같이 분석하고 있다.


1) 악성코드 이슈

보안 프로그램으로 위장한 악성코드

변조된 정상 프로그램을 이용한 게임핵 유포

ActiveX라는 이름의 악성코드

게임부스터 패스트핑으로 위장한 악성코드

국내 업체를 대상으로 유포된 악성 스팸 메일

이메일을 이용한 어도비 CVE-2009-0927 취약점 악성코드 유포

오라클 자바 JRE 7 제로데이 취약점을 악용한 악성코드 유포

MS12-060(CVE-2012-1856) 취약점을 악용한 타깃 공격

어도비 플래시 플레이어의 CVE-2012-1535 취약점 악용 악성코드

페이팔 스팸 메일과 결합된 블랙홀 웹 익스플로잇 툴킷

런던 올림픽 악성 스팸메일

Xanga 초대장을 위장한 악성 스팸메일

Flame 변형으로 알려진 Gauss 악성코드

YSZZ 스크립트 악성코드의 지속 발견

사우디아라비아 정유 업체를 공격한 Disttrack 악성코드

악성코드 감염으로 알려진 일본 재무성 침해 사고

usp10.dll 파일을 생성하는 악성코드의 버그 발견

스크랩된 기사 내용을 이용하는 악성 한글 파일

또다시 발견된 한글 취약점을 악용한 취약한 문서 파일


2) 모바일 악성코드 이슈

2012 런던 올림픽 게임으로 위장한 안드로이드 악성코드

SMS를 유출하는 ZitMo 안드로이드 악성코드의 변형


3) 보안 이슈

지속적인 서드파티 취약점 악용에 따른 보안 업데이트의 중요성

어도비 플래시 플레이어 취약점 악용(CVE-2012-1535)

Oracle Java JRE 7 제로데이 취약점 악용(CVE-2012-4681)

윈도우 공용 컨트롤의 취약점으로 인한 원격 코드 실행 문제점 MS12-060(CVE-2012-1856)


4) 웹 보안 이슈

자바 제로데이 취약점의 등장


ASEC에서 발간하는 월간 보안 위협 동향 리포트는 아래 웹 사이트에서 확인 할 수 있다. 


ASEC 보안 위협 동향 리포트 2012 Vol.32 발간


저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

금융 정보를 탈취를 목적으로하는 악성코드들은 PC와 안드로이드(Android)까지 다양한 운영체제와 디바이스들을 대상으로 그 범위를 확장해가고 있으며, 최근에는 안드로이드 모바일 운영체제를 대상으로 감염 후 개인 금융 정보 탈취를 목적으로하는 안드로이드 악성코드들이 지속적으로 발견되고 있다.


ASEC에서는 6월에도 이러한 형태의 안드로이드 악성코드인 ZitMo(Zeus in the Mobile)라는 안드로이드 악성코드가 발견되었음을 공개한 바가 있다.


2012년 6월 - Zitmo 변형으로 알려진 안드로이드 악성코드


현지 시각으로 2012년 8월 7일 해외 보안 업체인 캐스퍼스키(Kaspersky)에서는 블로그 "New ZitMo for Android and Blackberry"를 통해 새로운 ZitMo 안드로이드 악성코드 변형이 발견되었음을 공개하였다.


ASEC에서는 해당  새로운 ZitMo 안드로이드 악성코드 변형을 확보하여 자세한 분석을 진행하였다.


이 번에 발견된 ZitMo 안드로이드 악성코드 변형을 안드로이드 스마트폰에 설치하게 되면 아래 이미지와 같이 "SMS(Short Message Service) 송수신 권한"을 설치시 요구하게 된다.



그리고 설치가 완료되면 아래 이미지와 같이 "Zertifikat"라는 명칭을 가지는 아이콘을 안드로이드 스마트폰에 생성하게 된다. 해당 "Zertifikat"는 독일어로 증명서 또는 인증서를 의미한다.



해당 ZitMo 안드로이드 악성코드를 실행하게 되면 아래 이미지와 같은 독일어로 되어 있는 메시지가 나타나게 되며, 이는 "설치 성공, 정품 인증 코드는 7725486193 입니다."를 의미 한다.



설치가 완료되면 해당 ZitMo 안드로이드 악성코드는 안드로이드 스마트폰이 부팅하게 되면 자신의 아이콘을 숨기고, 감염된 안드로이드 스마트폰으로 송수신되는 모든 SMS들을 특정 휴대전화 번호로 전송하게 된다.


이러한 동작 기법으로 미루어 해당 ZitMo 안드로이드 악성코드는 유럽 지역에서 스마트폰을 이용한 뱅킹(Banking) 서비스 이용시에 사용자 인증을 위해 스마트폰과 휴대 전화로 뱅킹 인증 번호를 SMS로 전송한다는 점을 악용하여 감염된 안드로이드 폰에서 송수신한 뱅킹 인증 번호를 다른 휴대전화로 유출하는 것으로 분석 된다.


이번에 발견된 ZitMo 안드로이드 악성코드는 V3 모바일 제품군에서 다음과 같이 진단한다.


Android-Trojan/Zitmo.M


안드로이드 모바일 기기 사용자들은 인터넷 웹 사이트 등을 통해 안드로이드 앱들을 다운로드 받아 설치하는 것보다 신뢰 할 수 있는 통신사 또는 제조사가 제공하는 앱스토어를 이용해 다운로드 및 설치하는 것이 중요하다.


그리고 안드로이드 모바일 기기에서도 신뢰 할 수 있는 보안 업체가 개발한 보안 제품을 설치하여 주기적으로 검사하는 것이 필요하다.

저작자 표시 비영리 변경 금지
신고
Creative Commons License
Creative Commons License
Posted by 비회원

매일 성경 구절을 스마트폰으로 전송해 주는 기능과 함께 신앙을 전파하기 위해 해당 안드로이드 앱(Android App) 설치를 유도하는 메시지를 사용자 주소록을 검색하여 SMS를 발송하는 기능을 가진 안드로이드 앱이 발견되었다.



해당 안드로이드 앱은 아래 이미지와 같이 사용자의 'All Contacts' 버튼 클릭에 의해 SMS가 발송된다. 그러나, 이 버튼의 기능이 SMS 발송이라는 사실을 해당 앱을 설치한 사용자가 인식하기 힘들다.



발송되는 SMS은 해당 앱을 설치한 스마트폰에 존재하는 주소록의 모든 전화번호로 아래 이미지와 같은 사용자가 의도한 '성경 구절의 공유'가 아닌 해당 안드로이드 앱의 설치 링크를 발송하게 된다.



그리고 해당 앱에 발송되는 SMS의 주소를 클릭하게 되면, 아래 이미지와 같이 설치된 해당 안드로이드 앱을 설치할 수 있는 구글 앱스토어로 연결하게 된다.



이와 함께 해당은 해당 안드로이드 앱의 기능과 사용자 설명과는 전혀 다른 별도의 광고 기능을 포함하고 있어 스마트폰 사용자가 해당 앱을 실행 때마다 2초에서 3초 정도로 별도의 광고를 보여주게 된다.


해당 안드로이드 앱은 종교라는 특수성을 이용하여, 다수의 사용자들에게 해당 안드로이드 앱을 설치하도록 SMS 발송 등으로 유도하고, 광고를 이용해 수익을 얻으려는 전형적인 애드웨어로 판단할 수 있다.


해당 안드로이드 앱에 대해 V3 모바일 제품군에서는 다음과 같이 진단한다.


Android-Adware/SmsBomber.B


저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원

스마트폰의 사용이 많아지고 이를 이용한 다양한 네트워크 활동들이 보편화가 됨에 따라 이와 관련한 다양한 형태의 보안 위협들을 계속 발견되고 있다.

이와 관련해 가장 큰 보안 위협 이슈로는 안드로이드(Android) 운영체제에 감염되는 악성코드들을 들 수 있으다.

이 외에 최근 ASEC에서는 아래 이미지와 같이 무작위로 휴대전화 번호를 선택하여 문자 메시지(SMS, Short Message Service)를 발송한 것이 확인 되었다.


해당 문자 메시지는 일반적인 스팸성 문자 메시지와는 다르게 메시지 내부에 단축 URL(URL Shortening)을 포함하고 있어, 스마트폰 사용자라면 쉽게 클릭한번 만으로 특정 웹 사이트로 연결되도록 구성한 특징이 있다.

해당 문자 메시지에 포함된 단축 URL은 테스트 당시 해당 단축 URL로 연결되는 웹 사이트로 정상 접속이 되지 않았다. 하지만 스마트폰에 감염되는 악성코드나 스팸성 웹 사이트 등으로 연결되는 다른 보안 위협들로 연결될 가능성이 존재한다.

특히 이러한 단축 URL을 악용한 보안 위협들의 다양한 사례는 트위터(Twitter)와 같은 소셜 네트워크 서비스(Social Network Service)에서도 존재하고 있다. 

그러므로 트위터로 전달되는 메시지와 함께 스마트폰으로 전달 된 문자 메시지에 포함된 단축 URL의 클릭시에는 각별한 주의가 필요하다.

저작자 표시
신고
Creative Commons License
Creative Commons License
Posted by 비회원