안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 보이스 피싱 공격은 모바일 환경 초창기부터 지금까지 꾸준하게 이어져 오고 있습니다. 초기와 달라진 점이 있다면 보이스 피싱 공격이 초기와 달리 정교하게 진화했다는 점이다. 이런 보이스 피싱 공격의 최종 목표는 피해자의 금전 탈취입니다. 공격 흐름은 악성 앱 유포로 시작됩니다. 악성 앱은 피해자의 개인 정보를 탈취하고 스마트폰의 통화 기능을 장악합니다. 이어 피해자에게 통화를 유도하여 종국에는 금전 갈취라는 목표를 달성하게 됩니다. ‘Trojan.Android.FakeApp’은 피해자의 금전 갈취를 주요 목적으로 하고 있습니다. 탈취한 개인 정보들을 활용하여 다양한 방법으로 금전 갈취를 수행할 것입니다. 이런 공격은 사용자의 예방 노력이 무..

악성코드 분석 리포트 2021. 2. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 북한의 사이버 공격이 지속적으로 이어지고 있습니다. PC 환경은 물론 모바일 기기를 향한 공격 빈도도 증가하고 있습니다. 김수키(Kimsuky)로도 알려진 탈륨(Thallium) 그룹이 유포한 “Trojan.Android.AgentNK”는 피해자의 개인 정보 탈취를 목적으로 하고 있습니다. 개인의 일상과 밀접하게 연결된 모바일 기기의 특성상 개인 정보가 많을 수밖에 없으며 공격자들은 이점을 노리고 모바일 기기 대상의 악성 앱을 유포하는 것입니다. 분석 내용을 살펴보면 Trojan.Android.AgentNK는 피해자의 개인 정보 탈취를 주요 목적으로 하고 있음을 알 수 있습니다. 그리고 탈취한 개인 정보들을 바탕으로 추가 공격을 감행할 것..

악성코드 분석 리포트 2021. 1. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 11월에 발견된 ‘Trojan.Android.AgentNK’는 코니(Konni) APT 조직이 유포한 공격 앱으로 암호화폐 관련 앱으로 위장하여 유포되었습니다. 악성 앱의 주요 목표는 피해자의 개인 정보 탈취에 있습니다. [그림] 악성 앱 설치 화면 이런 공격은 부지불식간에 당하기 마련이기에 사용자의 예방 노력이 무엇보다 중요합니다. 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며 알약M과 같은 신뢰할 수 있는 백신을 사용해야 합니다. 현재 알약M에서는 해당 앱을 ‘Trojan.Android.AgentNK’ 탐지 명으로 진단하고 있으며, 관련 상세 분석보고서는 Threat Inside 웹서비스 구독을 ..

악성코드 분석 리포트 2020. 12. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 xloader 유형으로 최근 스미싱을 통해서 유포되고 있습니다. 다운로드 단계부터 앱 설치까지 탐지 회피를 위해서 다양한 방법을 사용합니다. 다운로드 단계에서는 url 리디렉션을 통해서 난독화 된 자바스크립트나 클라우드 서비스를 이용합니다. 앱 설치 이후 단계에서는 숨겨진 악성코드가 들어 있는 파일을 복호화 후 동적 로딩을 이용합니다. [그림] 클라우드를 활용한 악성 앱 배포 해당 악성 앱은 유포 단계에서부터 탐지 회피를 위하여 다양한 방법을 활용하면서 스미싱으로 유포됐습니다. 자바스크립트 난독화와 파일 암호화를 통해서 탐지를 회피하며 기기를 완전히 장악하고 개인 정보와 기기 정보를 탈취합니다. 따라서, 악성 앱으로부터 피..

악성코드 분석 리포트 2020. 11. 18. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 바하무트는 의뢰를 받아 공격을 수행하는 조직으로 알려져 있습니다. 이 조직의 공격 목적은 때론 금전이었다가 어떤 때는 정치적인 목적을 위한 공격을 수행하기도 합니다. [그림] 악성 앱 설치 화면 분석 내용을 살펴보면 Spyware.Android.Bahamut는 피해자의 개인 정보 탈취를 주요 목적으로 하고 있음을 알 수 있습니다. 그리고 공격 대상이 다를 경우 대상에 맞추어 공격 코드의 변화가 있을 것으로 예측됩니다. 이런 공격은 부지불식간에 당하기 마련이기에 사용자의 예방 노력이 무엇보다 중요합니다. 앱 설치 시 본인의 스마트폰이 위협에 노출될 수 있음을 인지하고 주의를 기울여야 하며 알약M과 같은 신뢰할 수 있는 백신을 사용해야 합니다..

악성코드 분석 리포트 2020. 10. 21. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 사이버 검찰청 사칭 스미싱을 통해서 유포되었으며 SO 파일을 이용하여 C2를 암호화하고 숨깁니다. 구글 플레이스토어와 비슷한 아이콘을 이용해서 사용자를 속이며 기기 정보와 문자 메시지 관련 정보를 탈취합니다. 앱 명은 ‘App Stare’를 사용하며 아이콘은 구글 플레이스토어를 사칭합니다. 앱 실행 시 초기화 단계에서 SO 파일을 로드하며 기기 부팅 시 재시작되도록 설정돼 있습니다. [그림] 앱 아이콘 해당 악성 앱은 사이버 검찰청을 사칭한 스미싱으로 유포됐습니다. SO 파일을 이용하여 C2를 숨기고 있으며 기기 정보와 문자 정보를 탈취합니다. 따라서, 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검..

악성코드 분석 리포트 2020. 9. 16. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 최근 인도에서 문자를 통한 악성 앱 공격이 화제가 됐었습니다. 이는 악성 앱 자체나 공격 방법이 화젯거리 라기 보다 인도 정부의 반중 정서에 따라 중국의 유명 SNS 앱인 Tiktok을 인도에서 사용 금지하는 시점에 Tiktok을 사칭한 공격이었기 때문입니다. 특히 Tiktok은 전체 사용자의 50% 이상이 인도 사용자일 정도로 인도에서의 인기는 대단합니다. 공격자는 이런 이슈에 편승하여 Tiktok 앱으로 사칭한 악성 앱을 유포하였습니다. 이렇게 유포된 악성 앱은 의외로 별다른 악성 행위를 하지는 않으며 단지 광고 노출을 통해 금전적인 수익을 노린 것으로 추측됩니다. [그림] 악성 앱이 보낸 문자 Trojan.Android.Agent는 ..

악성코드 분석 리포트 2020. 8. 19. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 스미싱을 통해서 꾸준히 유포되는 종류 중 하나로 기존 악성 앱은 암호화를 통해서 덱스 파일을 숨겼다면, 해당 악성 앱은 kiwi패커를 이용하여 덱스 파일을 숨겼습니다. 언팩된 덱스 파일의 악성 행위는 이전 버전과 비슷하지만, 코드가 조금 더 정교해졌고 수집한 정보는 웹 소켓을 이용하여 탈취합니다. 택배 앱을 사칭하며 다수의 기기 정보와 녹음, 주소록, 문자 등의 개인정보를 탈취하고 원격으로 기기를 조종하여 문자 메시지를 전송합니다. [그림] 메시지 앱 변경 요구 팝업 해당 악성 앱은 전형적인 택배 스미싱으로 유포됐으며 C2와의 통신을 이용하여 기기 정보와 녹음, 주소록, 문자 정보 등을 탈취하고 탈취한 개인정보를 이용하여 ..

악성코드 분석 리포트 2020. 7. 17. 09:00