정보 탈취와 기기 제어가 주목적인 악성 앱 ‘Trojan.Android.InfoStealer’ 분석해보니
[보안뉴스 원병철 기자] 모바일 기기를 대상으로 하는 사이버 공격은 보이스피싱과 몸캠피싱은 물론 스미싱 등 다양하다. 수법이 더 다양화되고 정교해지면서 피해 금액도 상당한 수준이다. 경찰 자료에 따르면 2020년 기준 보이스피싱 사기는 3만 1,681건에 피해액 7,000억원이며, 몸캠피싱은 2,583건에 피해액 72억 6,800만원에 달한다.
이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 최근에는 불특정 다수가 아닌 개인이나 특정인을 표적으로 한 공격 방식이 발견되고 있으며, 주로 RAT을 통한 방식이 많이 확인되고 있다. RAT은 Remote Administration Tool의 약자로 원격 관리 도구다. 대부분 오픈소스 소프트웨어이며 빠르게 앱을 만들고 수정해 원하는 기능을 직접 추가할 수 있다는 장점 때문에 많은 사람들이 사용한다. 따라서 공격자들은 이미 만들어진 오픈소스를 활용하기도 한다.
오래전부터 활용된 ‘AhMyth-Android-RAT’은 현재까지도 꾸준하게 발견되고 있으며 기능을 공격자가 조금씩 추가하는 방식으로 활용된다. 사용자의 정보를 탈취하고 기기를 원하는 대로 제어할 수 있는데, 카메라, 연락처, 위치, 문자, 전화 등을 통해 다양한 악성행위를 수행할 수 있다. 또한, 대상에 따라 원하는 형태로 배포 앱을 위장할 수 있으며, 추가 다른 앱과 합쳐서 위장도 가능하다.
발견되는 앱들을 살펴보면 다양한 권한들을 요구하면서 여러 가지 앱들로 위장하고 있다. 주로 은행들과 대출, 증권, 계약서로 위장하고 있는데, 최근 새로운 형태의 이미지를 사용하는 앱이 발견됐다.
해당 솔루션은 모회사의 실제 존재하는 솔루션으로, 앱에 직접 적용하는 것이지 별도의 APK를 제공하는 것이 아닌데도 마치 지원하는 것처럼 위장하고 있다. 권한을 살펴봐도 앞서 소개한 앱 권한과 유사하며, 앱 실행 시 해당 이미지를 보여주는 것 이외에 다른 화면은 없다. 정보 탈취와 기기 제어가 주목적인 악성 앱 ‘Trojan.Android.InfoStealer’를 자세하게 살펴보면 다음과 같다.
코드 분석
악성 앱의 주요 행위는 다음과 같다.
- 전화 가로채기 / 전화 기록 수정 / 페이크 전화 / 연락처 수정 / 카메라 제어 / 앱 삭제 / 문자 탈취 / 연락처 탈취 / 위치정보 탈취 / 녹음 / C2 명령 수행
앱 실행 시 리소스에 있는 웹 페이지 소스를 가져와 화면에 표시한다. 리소스에는 Index.html과 로그를 포함한 이미지 2개 보이스피싱에 활용할 수 있는 은행 안내 멘트 음성 파일이 포함되어 있다.
추가로 음성파일 이외에 dat 파일이 하나 존재하는데, 여러 은행 번호 및 해당 은행의 안내 멘트 mp3를 구분 지어 저장하고 있다.
dat 파일을 활용해 전화를 가로챈 후, 화면에 표시되는 번호를 바꾸고 가짜 음성파일을 출력해 피해자를 속일 수 있다. 또한, 전화 기록을 확인해 특정 기록을 삭제하거나 추가할 수 있다. 가짜 전화는 통화 연결음을 재생해 실제 통화 중인 것처럼 위장하는데, 저장한 이미지들을 불러와서 통화 화면을 그대로 구성하고 있다. 특정 기기마다 화면이 다르므로 기종별로 필터링해 해당 화면을 출력한다.
연락처 목록도 삭제하거나 추가해 넣는 것도 가능하다. x0000ca, x0000mc 등 AhMyth RAT에서 쓰는 명령어 패턴으로, ca는 카메라 제어 명령, mc는 마이크 제어로 확인되며, 전면과 후면 카메라 등을 파악한 후 제어할 수 있다.
설치된 앱 리스트들을 볼 수 있으므로 원하는 앱을 삭제할 수도 있다. 또한, 다양한 제어 기능 답게 GPS를 통한 위치 정보를 탈취할 수 있으며, 문자 목록을 확보해 탈취할 수도 있다.
명령을 내리는 명령제어(C&C) 서버 주소는 base64를 통해 디코딩한 값을 표시하고 있다. base64로 인코딩한 값을 볼 수 있으며 다양한 포트 번호도 하드코딩되어 있다.
이스트시큐리티 ESRC는 “AhMyth RAT 이외에도 여러 가지 다양한 RAT들이 존재하며, 배포되는 앱의 형태 또한 무궁무진하다”면서, “위의 샘플처럼 보안 솔루션으로 위장할 수도 있고, 게임이나 다른 유틸리티로도 충분히 위장할 수 있다”고 지적했다. 아울러 “악성 앱은 설치 시 정보를 탈취하고 기기를 장악해 원하는 대로 컨트롤할 수 있으므로 악성 앱 설치에 대한 예방이 중요하다”고 조언했다.
△악성 앱 공격의 예방 및 대응 방법
[악성 앱 예방]
① 출처가 불분명한 앱은 설치하지 않는다.
② 구글 플레이 스토어 같은 공식 사이트에서만 앱을 설치한다.
③ SMS나 메일 등으로 보내는 앱은 설치하지 않는다.
[악성 앱 감염 시 대응]
① 악성 앱을 다운로드만 했을 경우 파일 삭제 후 신뢰할 수 있는 백신 앱으로 검사 수행.
② 악성 앱을 설치했을 경우 신뢰할 수 있는 백신 앱으로 검사 및 악성 앱 삭제.
③ 백신 앱이 악성 앱을 탐지하지 못했을 경우, 백신 앱의 신고하기 기능을 사용하여 신고하고, 수동으로 악성 앱 삭제
[원병철 기자(boanone@boannews.com)]
[보안뉴스 원병철 기자] 모바일 기기를 대상으로 하는 사이버 공격은 보이스피싱과 몸캠피싱은 물론 스미싱 등 다양하다. 수법이 더 다양화되고 정교해지면서 피해 금액도 상당한 수준이다. 경찰 자료에 따르면 2020년 기준 보이스피싱 사기는 3만 1,681건에 피해액 7,000억원이며, 몸캠피싱은 2,583건에 피해액 72억 6,800만원에 달한다.
▲RAT 제어 화면[이미지=깃허브]
이스트시큐리티 시큐리티대응센터(ESRC)에 따르면 최근에는 불특정 다수가 아닌 개인이나 특정인을 표적으로 한 공격 방식이 발견되고 있으며, 주로 RAT을 통한 방식이 많이 확인되고 있다. RAT은 Remote Administration Tool의 약자로 원격 관리 도구다. 대부분 오픈소스 소프트웨어이며 빠르게 앱을 만들고 수정해 원하는 기능을 직접 추가할 수 있다는 장점 때문에 많은 사람들이 사용한다. 따라서 공격자들은 이미 만들어진 오픈소스를 활용하기도 한다.
오래전부터 활용된 ‘AhMyth-Android-RAT’은 현재까지도 꾸준하게 발견되고 있으며 기능을 공격자가 조금씩 추가하는 방식으로 활용된다. 사용자의 정보를 탈취하고 기기를 원하는 대로 제어할 수 있는데, 카메라, 연락처, 위치, 문자, 전화 등을 통해 다양한 악성행위를 수행할 수 있다. 또한, 대상에 따라 원하는 형태로 배포 앱을 위장할 수 있으며, 추가 다른 앱과 합쳐서 위장도 가능하다.
▲앱 권한[자료=ESRC]
발견되는 앱들을 살펴보면 다양한 권한들을 요구하면서 여러 가지 앱들로 위장하고 있다. 주로 은행들과 대출, 증권, 계약서로 위장하고 있는데, 최근 새로운 형태의 이미지를 사용하는 앱이 발견됐다.
▲앱 실행 화면 및 권한[자료=ESRC]
해당 솔루션은 모회사의 실제 존재하는 솔루션으로, 앱에 직접 적용하는 것이지 별도의 APK를 제공하는 것이 아닌데도 마치 지원하는 것처럼 위장하고 있다. 권한을 살펴봐도 앞서 소개한 앱 권한과 유사하며, 앱 실행 시 해당 이미지를 보여주는 것 이외에 다른 화면은 없다. 정보 탈취와 기기 제어가 주목적인 악성 앱 ‘Trojan.Android.InfoStealer’를 자세하게 살펴보면 다음과 같다.
코드 분석
악성 앱의 주요 행위는 다음과 같다.
- 전화 가로채기 / 전화 기록 수정 / 페이크 전화 / 연락처 수정 / 카메라 제어 / 앱 삭제 / 문자 탈취 / 연락처 탈취 / 위치정보 탈취 / 녹음 / C2 명령 수행
▲리소스 불러오기[자료=ESRC]
앱 실행 시 리소스에 있는 웹 페이지 소스를 가져와 화면에 표시한다. 리소스에는 Index.html과 로그를 포함한 이미지 2개 보이스피싱에 활용할 수 있는 은행 안내 멘트 음성 파일이 포함되어 있다.
▲전화번호 리스트[자료=ESRC]
추가로 음성파일 이외에 dat 파일이 하나 존재하는데, 여러 은행 번호 및 해당 은행의 안내 멘트 mp3를 구분 지어 저장하고 있다.
▲전화 제어[자료=ESRC]
dat 파일을 활용해 전화를 가로챈 후, 화면에 표시되는 번호를 바꾸고 가짜 음성파일을 출력해 피해자를 속일 수 있다. 또한, 전화 기록을 확인해 특정 기록을 삭제하거나 추가할 수 있다. 가짜 전화는 통화 연결음을 재생해 실제 통화 중인 것처럼 위장하는데, 저장한 이미지들을 불러와서 통화 화면을 그대로 구성하고 있다. 특정 기기마다 화면이 다르므로 기종별로 필터링해 해당 화면을 출력한다.
▲가짜 전화 화면 구성[자료=ESRC]
연락처 목록도 삭제하거나 추가해 넣는 것도 가능하다. x0000ca, x0000mc 등 AhMyth RAT에서 쓰는 명령어 패턴으로, ca는 카메라 제어 명령, mc는 마이크 제어로 확인되며, 전면과 후면 카메라 등을 파악한 후 제어할 수 있다.
▲앱 삭제[자료=ESRC]
설치된 앱 리스트들을 볼 수 있으므로 원하는 앱을 삭제할 수도 있다. 또한, 다양한 제어 기능 답게 GPS를 통한 위치 정보를 탈취할 수 있으며, 문자 목록을 확보해 탈취할 수도 있다.
▲C2 주소[자료=ESRC]
명령을 내리는 명령제어(C&C) 서버 주소는 base64를 통해 디코딩한 값을 표시하고 있다. base64로 인코딩한 값을 볼 수 있으며 다양한 포트 번호도 하드코딩되어 있다.
▲감염자 확인[자료=깃허브]
이스트시큐리티 ESRC는 “AhMyth RAT 이외에도 여러 가지 다양한 RAT들이 존재하며, 배포되는 앱의 형태 또한 무궁무진하다”면서, “위의 샘플처럼 보안 솔루션으로 위장할 수도 있고, 게임이나 다른 유틸리티로도 충분히 위장할 수 있다”고 지적했다. 아울러 “악성 앱은 설치 시 정보를 탈취하고 기기를 장악해 원하는 대로 컨트롤할 수 있으므로 악성 앱 설치에 대한 예방이 중요하다”고 조언했다.
△악성 앱 공격의 예방 및 대응 방법
[악성 앱 예방]
① 출처가 불분명한 앱은 설치하지 않는다.
② 구글 플레이 스토어 같은 공식 사이트에서만 앱을 설치한다.
③ SMS나 메일 등으로 보내는 앱은 설치하지 않는다.
[악성 앱 감염 시 대응]
① 악성 앱을 다운로드만 했을 경우 파일 삭제 후 신뢰할 수 있는 백신 앱으로 검사 수행.
② 악성 앱을 설치했을 경우 신뢰할 수 있는 백신 앱으로 검사 및 악성 앱 삭제.
③ 백신 앱이 악성 앱을 탐지하지 못했을 경우, 백신 앱의 신고하기 기능을 사용하여 신고하고, 수동으로 악성 앱 삭제
[원병철 기자(boanone@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
원병철기자 기사보기
[2024-04-18] 
.jpg)
