샤오미 휴대폰에서 원격으로 APP 설치 가능한 백도어 발견

샤오미 휴대폰에서 원격으로 APP 설치 가능한 백도어 발견

Xiaomi Can Silently Install Any App On Your Android Phone Using A Backdoor

최근 샤오미의 백도어 문제가 또 다시 논란이 되고 있습니다.

폴란드의 한 학생은, 자신의 샤오미 Mi4 휴대폰을 연구하는 도중 선탑재된 AnalyticsCore.apk 앱을 확인했습니다. 이 앱은 백그라운드에서 24시간 내내 작동하고 있었으며, 수동으로 삭제해도 자동으로 다시 생성되었습니다. 

이 학생은 샤오미 게시판에 AnalyticsCore.apk 앱 문제에 대해 글을 올렸지만, 샤오미 측에서 어떠한 답변도 받지 못했습니다. 그래서 본인이 직접 해당 앱에 대해 분석하기 시작했습니다. 그 결과, 해당 앱이 매 24시간마다 샤오미 서버에 AnalyticsCore.apk 업데이트 버전이 있는지 질의하는 것을 확인하였습니다. 

해당 앱은 24시간마다 샤오미 서버로 Request를 전송하는 동시에, IMEI, 모델번호, MAC주소, Nonce, package명 및 서명을 포함하는 정보들을 함께 전송하였습니다. 

만약 샤오미 서버에 업데이트된 Analytics.apk 패키지가 있다면, 해당 앱은 사용자 모르게 자동으로 업데이트된 파일을 받아 사용자 휴대폰에 설치합니다.

더불어 이러한 자동 업데이트 과정 중, APK에 대한 검증을 진행하지 않는 것으로 확인되어 크게 논란이 되고 있습니다. 이는 공격자가 이러한 방법을 악용할 가능성이 있다는 의미입니다. 혹은 샤오미가 임의의 App을 "Analytics.apk”라고 명명한 뒤 서버에 업로드한다면, 사용자 휴대폰은 자동으로 해당 앱을 내려받을 수 있습니다.

지금까지도 해당 앱의 목적이 무엇인지 정확히 확인되지 않고 있으며, 샤오미가 왜 수백만 사용자의 휴대폰에 이러한 백도어를 설치해 놓았는지 그 이유도 밝혀지지 않았습니다.

만약 공격자가 이 백도어를 발견한다면, 24시간 내에 수백만대의 샤오미 휴대폰에 악성앱을 설치할 수 있습니다. 더욱 최악인 것은, 업데이트 과정에서 HTTP연결을 통해 업데이트된 패키지를 내려받기 때문에 모든 과정에 MITM 공격의 위험이 존재할 수 있다는 것입니다.

현재 많은 사용자들은 샤오미 측 게시판에 이러한 앱의 존재와 그 목적에 우려를 표하고 있습니다. 

그렇다면 어떻게 이 앱을 차단해야 할까요?

방화벽을 이용하여 샤오미와 관련된 URL 연결을 차단할 수 있습니다.

샤오미 측 대변인은 Hack News에 연락하여 이번에 논란이된 백도어 문제에 대해 공식 입장을 밝혔습니다. 

"AnalyticsCore는 MIUI 시스템 중 모듈이며, 사용자 데이터 분석을 위하여 사용됩니다. 이런 분석을 통하여 사용자에게 더 나은 서비스를 제공하도록 노력합니다."

또한 이러한 기능이 악의적인 공격자에게 이용될 가능성이 없다고 잘라 말했습니다. 

"보안을 위해 MIUI는 패키지의 설치 및 업데이트 기간 내 Analytics.apk의 서명을 확인하며, 이 서명이 공식 홈페이지의 패키지가 맞는지 검증합니다"고 밝혔습니다. 또한 "공식 홈페이지의 서명이 포함되어 있지 않은 패키지는 설치에 실패하며, 자동 업데이트 기능은 사용자들의 불편을 최소화하기 위하여 선택한 방법입니다. 또한 올 해 4월에서 5월 사이에 공개한 MIUI v7.3중에는 HTTPS 프로토콜을 사용하여 MITM 가능성을 낮췄습니다"라고 밝혔습니다.

출처 :

http://thehackernews.com/2016/09/xiaomi-android-backdoor.html?utm_source=feedburner&utm_medium=feed&utm_campaign=Feed%3A+TheHackersNews+%28The+Hackers+News+-+Security+Blog%29