안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 스미싱을 통해서 꾸준히 유포되는 종류 중 하나로 기존 악성 앱은 암호화를 통해서 덱스 파일을 숨겼다면, 해당 악성 앱은 kiwi패커를 이용하여 덱스 파일을 숨겼습니다. 언팩된 덱스 파일의 악성 행위는 이전 버전과 비슷하지만, 코드가 조금 더 정교해졌고 수집한 정보는 웹 소켓을 이용하여 탈취합니다. 택배 앱을 사칭하며 다수의 기기 정보와 녹음, 주소록, 문자 등의 개인정보를 탈취하고 원격으로 기기를 조종하여 문자 메시지를 전송합니다. [그림] 메시지 앱 변경 요구 팝업 해당 악성 앱은 전형적인 택배 스미싱으로 유포됐으며 C2와의 통신을 이용하여 기기 정보와 녹음, 주소록, 문자 정보 등을 탈취하고 탈취한 개인정보를 이용하여 ..

악성코드 분석 리포트 2020. 7. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 스미싱 공격은 공격자들이 가장 애용하는 모바일 기기 공격 기법일 것입니다. 더불어 코로나19의 창궐로 인한 언택트의 확산으로 급증한 택배 문자가 공격자들에게는 좋은 공격 방법이 되었습니다. 코로나19 사태 초기의 스미싱 공격은 코로나19 관련 이슈가 주를 이루었지만 강력한 사회적 거리 두기의 시행에 따라 택배 문자가 급증하게 되자 공격자들도 이에 편승하여 택배를 사칭하는 스미싱 공격을 시도하고 있습니다. [그림] 악성 앱 설치 및 실행 화면 사용자가 스미싱 공격을 통해 악성 앱을 설치하게 되면 개인 정보가 탈취되고 연락처에 존재하는 지인들에게도 스미싱 공격 문자가 전달되는 피해를 입을 수도 있습니다. 따라서 피해를 입기 전 예방하는 것이 ..

악성코드 분석 리포트 2020. 6. 17. 09:00

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 N번 방 동영상 이슈를 활용한 스미싱을 통해서 유포되었습니다. 동영상 이슈를 활용하는 만큼 ‘Nplayer’라는 앱 명을 사용합니다. 특히, 처음 실행 시 특정 성인 사이트를 로드하여 팝업함으로써 사용자를 속임과 동시에 기기 및 문자 정보를 탈취합니다. [그림] 앱 특징 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Trojan.Android.SmsSpy’ 탐지 명으로 진단..

악성코드 분석 리포트 2020. 5. 19. 09:00

Unveiled: How xHelper Android Malware Re-Installs Even After Factory Reset xHelper를 기억하시나요? 사용자가 삭제하거나 기기를 공장 초기화할 경우에도 자신을 스스로 재설치하여 제거가 사실상 불가능한 미스터리한 안드로이드 악성코드입니다. xHelper는 지난 해 45,000대 이상의 기기를 감염시킨 것으로 알려졌으며, 그 이후 사이버 보안 연구원들은 어떻게 이 악성코드가 공장 초기화에서도 살아남을 수 있는지, 어떻게 그 많은 기기를 감염시켰는지 밝혀내기 위한 연구를 진행해 왔습니다. 카스퍼스키의 악성코드 분석가인 Igor Golovin이 공개한 보고서에 따르면, 이 악성코드가 사용하는 지속성 메커니즘에 대한 기술적 세부 사항이 마침내 밝혀져 ..

국내외 보안동향 2020. 4. 8. 13:34

TrickBot Bypasses Online Banking 2FA Protection via Mobile App TrickBot 그룹이 거래 인증 번호를 훔친 후 이중 인증(2FA)를 우회하기 위해 개발한 악성 안드로이드 애플리케이션을 사용하는 것으로 나타났습니다. IBM X-Force 연구원들은 이 안드로이드 앱을 TrickMo라 명명했습니다. 이 앱은 활발히 업데이트 되고 있으며, 온라인 뱅킹 세션 내 웹 인젝션을 통해 독일 피해자들의 감염된 데스크탑을 통해 푸시되고 있습니다. TrickBot 운영자들은 TrickMo가 피해자의 안드로이드 기기에 설치된 후 OTP, 모바일 TAN, pushTAN 인증 코드 등 광범위한 거래 인증 번호(TAN)에 인터셉트 하도록 설계했습니다. 2019년 9월 처음 발견..

국내외 보안동향 2020. 3. 26. 09:32

안녕하세요? 이스트시큐리티 시큐리티대응센터(이하 ESRC)입니다. 해당 악성 앱은 “코로나”라는 한글 앱 명을 사용하며 위치 및 카메라 관련 파일을 탈취하고 원격명령을 통해서 추가 악성 행위를 합니다. 특히, 앱의 이름과 수정 날짜를 보면 현재 이슈인 코로나를 이용하여 악성 행위를 하고자 했음을 알 수 있습니다. [그림] 바로 숨겨지는 아이콘과 앱의 수정 날짜 악성 앱으로부터 피해를 최소화하기 위해서는 백신 앱을 통한 주기적인 검사가 중요합니다. 출처가 불명확한 URL과 파일은 실행하지 않는 것이 기본이고 공식 마켓인 구글 플레이스토어를 통해서 확보한 앱이라도 백신 앱을 추가 설치하여 주기적으로 업데이트하고 검사해야 합니다. 현재 알약M에서는 해당 앱을 ‘Spyware.Android.Agent’탐지 명으..

악성코드 분석 리포트 2020. 3. 18. 09:00

MonitorMinor, the outstanding stalkerware can track Gmail, WhatsApp, Instagram, and Facebook Kaspersky Lab의 보안 연구원들이 새로운 스토커웨어인 MonitorMinor를 발견했습니다. 이는 Gmail, Whatsapp, 인스타그램, 페이스북 유저 활동을 모니터링 할 수 있는 것으로 나타났습니다. 스토커웨어는 스토킹 목적으로 사용되는 상용 모니터링 소프트웨어 또는 스파이웨어로 가족 구성원 또는 직장 동료를 은밀히 스파잉하는데 사용됩니다. 전문가들은 MonitorMinor에 대해 현존하는 스토커웨어 중 가장 강력하다고 설명했습니다. 스토커웨어는 피해자의 현재 위치를 알아내고, SMS와 전화 데이터에 인터셉트하고 종종 지오펜싱..

국내외 보안동향 2020. 3. 17. 14:32

Cookiethief, the Android malware that hijacks Facebook accounts 카스퍼스키의 보안 연구원들이 감염된 기기에서 루트 접근 권한을 얻고 브라우저와 페이스북 앱의 쿠키를 훔쳐 페이스북 계정을 하이잭하는 안드로이드 악성코드를 발견했습니다. “최근 안드로이드 악성코드의 새로운 변종을 발견했습니다. Trojan-Spy.AndroidOS.Cookiethief로 탐지되는 이 악성코드는 꽤 단순했습니다. 주요 작업은 피해자 기기에서 루트 권한을 얻고, 브라우저와 페이스북이 사용하는 쿠키를 범죄자의 서버로 보내는 것입니다.” “이 악성코드는 동일한 방식을 통해 다른 앱의 모든 웹사이트에서 쿠키를 훔칠 수 있으며, 유사한결과를 얻을 수 있는 것으로 나타났습니다.” Cooki..

국내외 보안동향 2020. 3. 16. 09:25