.jpg)
모크하오, 개인 사진 유출됐다거나 크롬 업데이트 하라고 피싱 문자 보내
개인 정보, 연락처, 기기 정보 등 모두 빼돌리는 데다 주요 은행 앱까지 대체
[보안뉴스 오다인 기자] 한국 안드로이드 사용자를 노린 뱅킹 트로이목마가 횡행하고 있어 각별한 주의가 필요하다. 일명 ‘모크하오(MoqHao)’라고 불리는 이 뱅킹 멀웨어에 감염되면 해당 기기의 연락처를 통해 SMS 피싱 문자가 다시 전송되기도 해 피해 확산이 우려된다.
모크하오는 개인 사진이 유출됐다거나 크롬 업데이트를 하라는 내용으로 피싱 문자를 보내는데 문자 내 링크를 클릭하면 멀웨어가 설치된다. 모크하오를 발견한 맥아피(McAfee)에 따르면, 모크하오는 민감한 개인정보를 유출하는 데다 모크하오의 명령제어(C&C) 서버가 제작한 안드로이드 애플리케이션을 감염 기기에 설치할 수도 있다. 게다가 원격 명령을 실행하고 이에 대한 결과를 받아볼 수도 있는 것으로 알려졌다.
피싱 링크를 클릭해 멀웨어 설치가 시작되면 모크하오는 각종 권한을 승인하라고 요구한다. 휴대전화 연락처에 접근하고 전화를 걸 수 있는 권한이나 문자 메시지를 읽어 들일 권한 등을 요구하는 것으로 알려졌다. 그런 다음, 관리자 권한까지 요구하는데 승인할 때까지 해당 창을 지속적으로 띄운다. 관리자 권한을 얻으면 기기를 계속해서 통제할 수 있기 때문이다.
이 밖에도 모크하오는 새 패키지 설치와 같은 시스템 알림을 띄우는 브로드캐스트 수신자(Broadcast Receiver)를 등록하기도 하는데, 이 브로드캐스트 수신자는 공격자가 사용자의 활동을 감시하고 C&C로 기기 상태 정보를 송신하는 장치로 쓰인다. 또한, 모크하오는 원격 서버로 연결한 뒤(1단계) 중국의 검색 포털 사이트 바이두의 사용자 프로필 페이지에서 다음 단계의 명령 서버 통신을 위한 IP를 받아오는 것(2단계)으로 알려졌다.
2단계 서버 연결까지 성공하면 모크하오는 UUID, IMEI, 안드로이드 버전, 제품명, 빌드 ID 스트링, 기기의 루트 여부, SIM 상태, 전화번호, 등록 계정 등의 정보를 담아 메시지를 전송한다. 전송망 사업자명, 네트워크 유형(LTE, GPRS), MAC 주소, 현재 배터리 수준, 와이파이 신호 수준 등에 대한 정보도 주기적으로 서버에 전송된다고 맥아피는 분석했다.
맥아피는 모크하오가 감염 기기에 한국 내 주요 은행 애플리케이션이 설치돼 있는지 확인하기도 한다고 설명했다. 만약 은행 앱이 있을 경우, 모크하오는 그 앱과 관련된 것처럼 보이는 허위 앱을 다운로드 시키고, 추후 그 앱을 업데이트 하라고 알린다. 맥아피는 사용자가 업데이트를 승인하면 원래 있던 은행 앱이 허위 앱으로 대체된다고 경고했다.
맥아피는 모크하오가 2013년 6월에 발견된 트로이 목마 공격과 기능적인 면에서 유사한 점이 있다고 분석했으며, 2015년 5월에 발견된 공격과도 비슷하다고 지적했다. 맥아피는 이런 공격이 아직까지 횡행하고 있다는 건 스미싱이 안드로이드 공격에 인기 있는 매개이기 때문이라고 말했다. 맥아피는 공격에 당하지 않으려면 모바일 기기에 보안 소프트웨어를 설치할 것, 잘 모르는 애플리케이션이 깔려있다면 클릭하지 말 것을 조언했다.
[국제부 오다인 기자(boan2@boannews.com)]
개인 정보, 연락처, 기기 정보 등 모두 빼돌리는 데다 주요 은행 앱까지 대체
[보안뉴스 오다인 기자] 한국 안드로이드 사용자를 노린 뱅킹 트로이목마가 횡행하고 있어 각별한 주의가 필요하다. 일명 ‘모크하오(MoqHao)’라고 불리는 이 뱅킹 멀웨어에 감염되면 해당 기기의 연락처를 통해 SMS 피싱 문자가 다시 전송되기도 해 피해 확산이 우려된다.
▲네이버 지식인에 문의된 모크하오 피싱 문자 [이미지=맥아피 홈페이지 캡처]
모크하오는 개인 사진이 유출됐다거나 크롬 업데이트를 하라는 내용으로 피싱 문자를 보내는데 문자 내 링크를 클릭하면 멀웨어가 설치된다. 모크하오를 발견한 맥아피(McAfee)에 따르면, 모크하오는 민감한 개인정보를 유출하는 데다 모크하오의 명령제어(C&C) 서버가 제작한 안드로이드 애플리케이션을 감염 기기에 설치할 수도 있다. 게다가 원격 명령을 실행하고 이에 대한 결과를 받아볼 수도 있는 것으로 알려졌다.
피싱 링크를 클릭해 멀웨어 설치가 시작되면 모크하오는 각종 권한을 승인하라고 요구한다. 휴대전화 연락처에 접근하고 전화를 걸 수 있는 권한이나 문자 메시지를 읽어 들일 권한 등을 요구하는 것으로 알려졌다. 그런 다음, 관리자 권한까지 요구하는데 승인할 때까지 해당 창을 지속적으로 띄운다. 관리자 권한을 얻으면 기기를 계속해서 통제할 수 있기 때문이다.
이 밖에도 모크하오는 새 패키지 설치와 같은 시스템 알림을 띄우는 브로드캐스트 수신자(Broadcast Receiver)를 등록하기도 하는데, 이 브로드캐스트 수신자는 공격자가 사용자의 활동을 감시하고 C&C로 기기 상태 정보를 송신하는 장치로 쓰인다. 또한, 모크하오는 원격 서버로 연결한 뒤(1단계) 중국의 검색 포털 사이트 바이두의 사용자 프로필 페이지에서 다음 단계의 명령 서버 통신을 위한 IP를 받아오는 것(2단계)으로 알려졌다.
2단계 서버 연결까지 성공하면 모크하오는 UUID, IMEI, 안드로이드 버전, 제품명, 빌드 ID 스트링, 기기의 루트 여부, SIM 상태, 전화번호, 등록 계정 등의 정보를 담아 메시지를 전송한다. 전송망 사업자명, 네트워크 유형(LTE, GPRS), MAC 주소, 현재 배터리 수준, 와이파이 신호 수준 등에 대한 정보도 주기적으로 서버에 전송된다고 맥아피는 분석했다.
맥아피는 모크하오가 감염 기기에 한국 내 주요 은행 애플리케이션이 설치돼 있는지 확인하기도 한다고 설명했다. 만약 은행 앱이 있을 경우, 모크하오는 그 앱과 관련된 것처럼 보이는 허위 앱을 다운로드 시키고, 추후 그 앱을 업데이트 하라고 알린다. 맥아피는 사용자가 업데이트를 승인하면 원래 있던 은행 앱이 허위 앱으로 대체된다고 경고했다.
맥아피는 모크하오가 2013년 6월에 발견된 트로이 목마 공격과 기능적인 면에서 유사한 점이 있다고 분석했으며, 2015년 5월에 발견된 공격과도 비슷하다고 지적했다. 맥아피는 이런 공격이 아직까지 횡행하고 있다는 건 스미싱이 안드로이드 공격에 인기 있는 매개이기 때문이라고 말했다. 맥아피는 공격에 당하지 않으려면 모바일 기기에 보안 소프트웨어를 설치할 것, 잘 모르는 애플리케이션이 깔려있다면 클릭하지 말 것을 조언했다.
[국제부 오다인 기자(boan2@boannews.com)]
<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>
오다인기자 기사보기
[2024-11-22] .jpg)
.jpg)
.jpg)
.jpg)
.jpg)
