안녕하세요? 이스트시큐리티입니다. 지난해 8월 가짜 성인 앱으로 위장해 사용자 다운로드를 유도했던 안드로이드 스파이웨어 Triout이 이번에는 정상 앱에 숨어들었습니다. 1천만 건 이상 다운로드 된 프라이버시툴 “PsiPhon”에 악성 코드가 추가되었습니다. 서비스와 리시버 형태로 사용자 몰래 기기 정보는 물론 문자 탈취, 녹음 등 사생활을 완전히 감시하고 그 정보를 해커의 서버로 전송합니다. 본 분석 보고서에서는 'Spyware.Android.FakeApp'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 악성코드 추가 원본 앱의 구조와 비교해 보면 마지막에 “psp” 클래스가 추가되었습니다. 특히, 매니페스트를 보면 리시버와 서비스들이 다수 추가된 것을 알 수 있고, 관련 권한과 인텐트들은 민감한..

악성코드 분석 리포트 2019. 2. 21. 17:49

안녕하세요? 이스트시큐리티입니다. 기존 스미싱을 통해서 유포되던 악성 앱들이 진화하고 있습니다. 과거에는 주로 “모바일 청첩장”을 사칭했었지만 최근에는 “무료 모바일 동영상”을 사칭합니다. 또한 그 기능도 과거에는 단순한 정보 탈취였다면, 최근에는 원격 조종 및 추가 다운로드를 통해서 더욱더 복잡하고 다양한 악성행위를 합니다. 특히, 해당 앱은 분석 및 백신의 탐지를 어렵게 하기 위해서 악성 파일을 암호화하여 숨겼다가 복호화한 후 동적 로딩을 통해서 악성 행위를 합니다. 본 분석 보고서에서는 'Trojan.Android. Zitmo'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 앱 특징백신의 탐지를 피하고 분석에 어려움을 주기 위해서 실제 악성 행위를 하는 “classes.dex”파일은 XOR 연..

악성코드 분석 리포트 2018. 12. 14. 08:30

안녕하세요? 이스트시큐리티입니다. 스미싱과 보이스피싱 등을 결합한 형태로 악성 앱들이 유포되고 있습니다. 해당 앱들은 주로 1 금융 관련 앱을 사칭하였으나 최근에는 국가기관, 2 금융 사칭 등으로 다양한 형태로 나타나고 있습니다. 기기 및 개인정보를 탈취하고 금융 정보 탈취를 목적으로 기기의 통화 상태를 감시합니다. 특히, 해당 앱은 분석을 어렵게 하기 위해서 중국 Qihoo 360사의 패킹 기술을 적용하였습니다. 본 분석 보고서에서는 “Trojan.Android.KRBanker”를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 패킹 특징 중국 Qihoo 360사의 패킹 된 앱은 일반 앱과는 다른 부분이 존재합니다. 앱의 권한과 컴포넌트 관련 정보를 볼 수 있는 매니페스트를 보면 일반 안드로이드 앱에..

악성코드 분석 리포트 2018. 11. 22. 13:00

안녕하세요? 이스트시큐리티입니다. MS사의 Xamarin을 활용하는 또 다른 악성 앱이 등장하였습니다. 해당 앱은 구글 플레이스토어와 비슷한 이름과 아이콘을 사용하여 사용자를 속입니다. 지속적인 악성 행위를 위해서 앱의 아이콘을 숨기고 관리자 권한을 요구합니다. 또한, 원격 명령을 통해서 기기정보 탈취뿐만 아니라 문자기록, 주소록 등의 개인정보까지 탈취합니다. 무엇보다 가짜 사이트를 띄워 카드 관련 정보를 탈취합니다. 본 분석 보고서에서는 “Trojan.Android.Banker”를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 악성 행위 준비처음 악성 앱을 실행하면 사용자를 속이기 위해서 해당 앱의 아이콘을 숨기고 관리자 권한을 요구합니다. 관리자 권한을 허용하도록 유도하는 문구를 띄우고 관리자 권..

악성코드 분석 리포트 2018. 10. 25. 13:00

안녕하세요? 이스트시큐리티입니다. 구글 플레이스토어는 공식 앱 마켓으로서 악성 행위가 포함된 앱에 대응하기 위해서 각별한 주의를 기울이고 있습니다. 하지만 다양한 악성 앱들이 정상 앱을 가장하여 배포되고 있습니다. 해당 악성 앱은 별자리 운세 앱을 사칭하여 앱이 지워졌다는 문구를 팝업하여 사용자를 속이지만 실제 지워지지 않고 사용자 몰래 기기 정보뿐 아니라 문자, 통화 기록 등의 개인정보까지 탈취합니다. 본 분석 보고서에서는 ‘Trojan.Android.Dropper’ 를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 사용자를 속이는 문구처음 악성 앱을 실행하면 사용자를 속이기 위해서 해당 앱이 삭제되었다는 문구가 팝업되나 실제 지워지지 않고 사용자에게 보이는 아이콘만 지워지고 악성 행위는 지속하고 ..

악성코드 분석 리포트 2018. 9. 17. 10:54

안녕하세요? 이스트시큐리티입니다. 최근 안드로이드 기기의 성능이 발전하면서 그 쓰임새가 다양해지고 있습니다. 특히, 폭넓은 종류의 게임들이 출시되면서 미니 게임기를 대체하는 추세 입니다. 이에 게임을 더욱더 재미있고 쉽게 즐길 수 있도록 도와주는 관련 주변 기기들도 다양해지고 있습니다. 그 중에서도 복잡하고 빠른 게임의 이용을 돕는 게임패드의 활용이 빠르게 증가하고 있습니다. 대부분의 게임패드는 중국에서 수입되고 있으며 중국 제조사의 설정 앱과 연동을 하여야 원활한 사용이 가능합니다. 그런데, 문제는 이 설정 앱에서 과도한 권한을 요구하고 있으며 이러한 권한을 이용하여 사용자 몰래 기기 정보를 수집하고 전송하는데 있습니다. 이제부터 사용자 정보를 훔쳐가는 해당 악성앱 'Misc.Android.InfoSt..

악성코드 분석 리포트 2018. 8. 20. 09:00

안녕하세요? 이스트시큐리티입니다. 텔레그램을 이용하는 새로운 형태의 안드로이드 악성 앱이 등장하였습니다. 이전에도 텔레그램을 봇을 악용한 악성앱은 있었지만, MS사의 Xamarin을 활용한 C#으로 제작된 앱으로서는 처음입니다. 이 앱은 텔레그램 봇을 활용하여 원격으로 명령을 보냅니다. 원격 명령은 악성 행위와 관련되어 있고 오디오 제어, 카메라 제어, 메시지 탈취 등 개인의 사생활과 관련된 악성 행위를 합니다. 본 분석 보고서에서는 'Trojan.Android.HiddenApp'를 상세 분석하고자 합니다. 악성코드 상세 분석 1. 앱 은닉앱을 처음 실행하면 앱이 삭제됐다는 문구를 띄우고 아이콘을 숨겨 사용자를 속입니다. 그러나 실제로는 서비스 형태로 실행되어 악성 행위를 시작합니다. 해당 문구는 페르시..

악성코드 분석 리포트 2018. 7. 23. 16:27

안녕하세요? 이스트시큐리티입니다. DNS 하이재킹을 이용한 안드로이드 악성 앱이 등장하였습니다. DNS 하이재킹은 라우터를 공격하여 사용자가 정상 사이트 접속 시 악성 사이트로 리다이렉트 되도록 합니다. 이후 페이스북, 크롬 등 유명한 앱으로 위장한 악성 앱을 사용자가 설치하도록 유도합니다. 사용자의 통화 내용을 녹음하고 설치된 은행 앱, 게임 앱 등과 관련된 정보들을 탈취합니다. 특히, C&C서버의 주소를 감추기 위해서 중국 사이트 파싱을 통해 주소를 수신하고 10개 이상의 원격 명령을 통해서 사용자의 기기를 실시간 제어합니다. 본 분석 보고서에서는 “Roaming Mantis”를 상세 분석하고자 합니다. 악성코드 상세 분석 1) 악성 행위 유지를 위한 장치가. 아이콘 숨김지속적인 악성 행위를 위하여 ..

악성코드 분석 리포트 2018. 5. 24. 17:00