안드로이드 악성코드 'Roaming Mantis', 스미싱 캠페인으로 유럽 노려

'Roaming Mantis' Android Malware Targeting Europeans via Smishing Campaigns

 

최소 2018년부터 안드로이드 기기를 공격해 왔으며, SMS 피싱 기술을 통해 모바일 악성코드를 배포하는 금전을 노리는 캠페인이 처음으로 프랑스와 독일 내 피해자에게 공격 범위를 확장시킨 것으로 나타났습니다.

 

Roaming Mantis의 2021년 가장 최근 발견된 활동에서는 사용자를 Wroba로 알려진 뱅킹 트로이목마에 감염시키는 랜딩페이지 URL이 포함된 가짜 배송 관련 메시지를 보내고, 아이폰 사용자일 경우 공식 애플 웹사이트로 위장한 피싱 페이지로 이동시킵니다.

 

Kaspersky가 2021년 7월 ~ 2022년 1월 사이에 수집한 원격 측정 데이터에 따르면 가장 큰 영향을 받은 국가는 프랑스, ​​일본, 인도, 중국, 독일, 한국입니다.

 

또한 MoqHao 및 XLoader(Windows, macOS를 노리는 이름이 같은 인포 스틸러 악성코드와는 다름)라 명명된 이 그룹의 활동은 운영자가 Apple 기기에서 가상화폐를 채굴하고, 탐지를 피하기 위해 공격 방법을 확장함에 따라 지리적 범위를 계속해서 확장시키고 있습니다.

 

 

<이미지 출처: https://securelist.com/roaming-mantis-reaches-europe/105596/>

 

 

이 캠페인의 주요 목표는 합법적인 앱을 악성 버전으로 교체하고, 피해자의 온라인 은행 계좌 관련 크리덴셜을 훔치는 기능을 갖춘 스파이웨어 및 뱅킹 악성코드 역할을 하는 Wroba를 배포하는 것입니다.

 

악성코드 아티팩트에 대한 추가 분석 결과, 프로그래밍 언어가 Java에서 Kotlin으로 변경되고 Wroba에 감염된 기기에서 갤러리 및 사진을 추출할 수 있도록 하는 두 개의 새로운 백도어 명령을 추가한 것으로 나타났습니다.

 

연구원들은 아래와 같이 밝혔습니다.

 

"가능한 시나리오 중 하나는 공격자가 QR 코드 결제 서비스 또는 모바일 결제 서비스 계약을 체결하기 위해 운전면허증, 건강 보험 카드, 은행 카드와 같은 정보를 훔치는 것입니다."

 

"또한 범죄자들은 ​훔친 사진을 통해 협박이나 성추행 등 다른 방식을 통해 금전 갈취를 시도할 수 있습니다.”

 

 

 

 

출처:

https://thehackernews.com/2022/02/roaming-mantis-android-malware.html

https://securelist.com/roaming-mantis-reaches-europe/105596/