V3 mobile

소셜기능을 통해 확산되고 SMS 과금시키는 Android 악성앱 주의

1. 개 요 안드로이드 온라인 동영상 스트리밍 플레이어로 위장하여 사용자 모르게 SMS 발송으로 과금을 일으키고, 친구 추천 기능을 통해 주변에 악성앱을 확산 시키는 안드로이드 악성코드가 새롭게 발견되어 관련 내용을 공유한다.        [fig] fake online video streaming player 2. 분 석 A. SMS 과금 및 휴대폰 정보 탈취 악성 앱이 설치되면 온라인상의 동영상들을 볼 수 있는 뷰어가 나오면서, 동시에 하드코딩된 중국의 premium number (106***82) 로 SMS 을 전송하여 별도의 과금을 시킨다. [fig] sendsms to premium number 만일 중국의 해당 premium number 로 문자가 정상적으로 송신되었을 시, 서비스제공자로 부터 서비스등록에 관련된 안내메시지를 문자로 회신(feedback)받게 되어 있어 서비스 사용여부를 알 수 있다. 이 악성앱은 영리하게도 회신되는 문자를 사용자가 볼 수 없게끔 필터링을 하여 실제 과금된 사실을을 전혀 알 수 없게 만든다. 이 악성앱은 “10” 으로 시작되는 번호들로 전송되는 SMS에…

[주의] 통화 및 SMS송수신 내역을 감시하는 안드로이드 악성코드 GoldDream 등장

1. 개 요 안드로이드 게임. “FastRacing” 으로 위장하여, 설치시 사용자폰의 SMS 발신/수신 내역, 전화통화기록 등을 사용자 모르게 감시하고, 특정 서버로 민감한 정보를 전송하는 악성코드가 발견되었다.  해당 악성코드는 “GoldDream” 이라 불리우며, '정상적인 게임'에 악의적인 코드를 추가하고 리패키징하여 중국의 써드파티마켓에서 유포된 것이 해외 유명대학의 연구팀에 의해 밝혀져 관련 소식이 전해지게 되었다. “GoldDream” 은 또한 사용자폰을 감시하는 기능 이외에 C&C서버를 통해 스마트폰에 특정 명령을 내릴 수있는 bot 기능도 포함되어 있는데,  이는 “GoldDream“에서 최초로 발견된 기능은 아니며 “DroidKungFu” 나 이전의 다른 안드로이드 악성코드에서도 보여지는 최근 악성코드의 트렌드이다. 안드로이드 악성코드도 이젠 실험적인 레벨을 넘어 점점 정립된 프로세스를 갖추며 짜임새있게 배포되고 있다는 것을 나타내고 있다.     [그림] Application 정보 2. 분 석  A. SMS/통화기록/핸드폰 정보 감시 및 탈취 악성 앱을 설치하게 되면 동시에 receiver 가 등록되며, 등록 이후에 발생되는 system event 들을 가로챈다….

스마트폰을 좀비화시키는 DroidKungFu 악성코드 등장.

1. 개 요 안드로이드폰을 강제루팅 후 권한을 탈취하여 좀비화시키는 악성코드가 또 다시 발견되었다. 해당 악성코드는 'DroidKungFu' 라 불리며,  이전 DroidDream 악성코드와 유사한 패턴을 갖고 있지만 좀 더 정교한 코드와 복잡한 기능을 수행함으로서 악성코드가 계속 진화하고 있다는 것을 증명하고 있다. 본 포스트를 통해 악성코드가 어떻게 진화하였는지 알아보자. 2. 분 석 유포 경로 'DroidKungFu' 악성코드는 정상 앱을 리패키징(re-package) 하여 유포되며, 중국 내 몇몇의 App Market 과 forum 들에서 유포되었다.                                                             그림. 악성 어플 정보 수집 해당 악성코드가 설치되면, 먼저 doSearchReport() -> updateInfo() 함수를 통해 스마트폰의 다양한 정보들을 수집 후 특정 서버로 전송한다.                                                          그림. dosearchReport                                                          그림. updateinfo 이 과정에서 탈취되는 정보와 유출 경로는 다음과 같다 – 탈취 정보 imei ostype osapi model SDKVersion SDcard info internal Memory Size Net operator phone number running service – 유출 경로 http://www.xinh*****.com:8111/GetCert/DevInfo? http://search.go**********id.com:8511/search/getty.php…

중국 QQ 게임을 리패키징한 안드로이드 악성 앱 Android-Trojan/DropAnserver

  1. 개요 중국에서 유명한 QQ 관련, 게임을 리패키징한 안드로이드 모바일 악성코드가 발견되었다. 이번 악성 앱의 큰 특징은 추가 악성 앱을 설치하여, 악의적인 행위를 한다. 2. 앱 정보 [그림1] 앱 아이콘   [그림2] 앱 실행화면 3. 특징 QQ 게임을 리패키징 한 악성 앱을 설치할 경우,  busybox 의 압축을 해제하여, 악의적인 ELF 파일을 생성하고 anserverb 를 “xxx.apk” 로 변경하여 악성 앱 설치를 시도한다. busybox 는 압축된 파일.   [그림3] 악성 앱(apk)를 압축해제 후 파일 구성 화면 1) 앱 설치시 다음과 같은 권한을 요구한다.    – Android 1.5 이상에서 설치가능.    – SD카드 콘텐츠 수정/삭제.    – 인터넷에 최대한 액세스 가능.    – 휴대전화 상태 및 ID 읽기 가능. [그림4] 권한 정보 [그림5] manifest 로 본 앱의 권한 정보와 설치 가능 버전 [그림6] xxx.apk 변경하여,…

정상앱을 위장한 악성어플. DroidDream 귀환

1. 개 요 정상앱에 악성코드를 심어 안드로이드마켓에 재배포하여 사용자들을 감염시켰던 DroidDream 악성코드가 다시 발견되었다고 해외벤더사에 의해 밝혀져 관련 내용을 공유한다. [그림1. 악성앱 Sexy Legs] 이전 DroidDream 분석정보 안드로이드마켓에서 유포된, 사용자폰을 강제루팅시키는 악성 어플리케이션 주의 http://core.ahnlab.com/259 * 유포경로 DroidDream 악성앱은 Google Android Market 에서 배포되었으며, 현재는 마켓에서 퇴출당해 다운받을 수 없는 상태이다. 현재까지 파악된 개발자이름별 악성앱들의 목록은 아래와 같다. Magic Photo Studio Sexy Girls: Hot Japanese Sexy Legs HOT Girls 4 Beauty Breasts Sex Sound Sex Sound: Japanese HOT Girls 1 HOT Girls 2 HOT Girls 3 Mango Studio Floating Image Free System Monitor Super StopWatch and Timer System Info Manager E.T. Tean Call End Vibrate BeeGoo Quick Photo Grid Delete Contacts Quick Uninstaller Contact Master Brightness Settings Volume Manager Super Photo Enhance Super…