Spyware.Android.Agent 악성코드 분석 보고서

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다.

해당 악성 앱은 사이버 검찰청 사칭 스미싱을 통해서 유포되었으며 SO 파일을 이용하여 C2를 암호화하고 숨깁니다. 구글 플레이스토어와 비슷한 아이콘을 이용해서 사용자를 속이며 기기 정보와 문자 메시지 관련 정보를 탈취합니다.

앱 명은 ‘App Stare’를 사용하며 아이콘은 구글 플레이스토어를 사칭합니다. 앱 실행 시 초기화 단계에서 SO 파일을 로드하며 기기 부팅 시 재시작되도록 설정돼 있습니다.

[그림] 앱 아이콘

해당 악성 앱은 사이버 검찰청을 사칭한 스미싱으로 유포됐습니다. SO 파일을 이용하여 C2를 숨기고 있으며 기기 정보와 문자 정보를 탈취합니다. 

따라서, 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다.

현재 알약M에서는 해당 앱을 ‘Spyware.Android.Agent‘ 탐지 명으로 진단하고 있으며, 관련 상세 분석보고서는 Threat Inside 웹서비스 구독을 통해 확인이 가능합니다.