Facebook 사용자를 대상으로 하는 변종 안드로이드 모바일 뱅킹 악성앱 발견

개요

• 맥아피 연구소에서 Facebook 사용자를 대상으로 하는 iBanking의 변종을 발견하여 관련 정보를 공개
     - 정상적인 Facebook 어플리케이션의 모양뿐만 아니라, 일부 기능의 동작이 똑같이 만들어져 정상 
       어플리케이션 여부 판단을 어렵게 함
     - 사용자의 문자, 전화 등을 탈취하는 기능이 있어 이를 이용하는 인증 기능을 무력화

 

주요내용

• 발견된 변종 iBanking은 Facebook 사용자에게 가짜 인증페이지를 노출하여 어플리케이션을 다운받도록 유도

< 가짜 Facebook 인증 페이지 >

• 변종 iBanking은 공식 페이스북 어플리케이션 모양을 하고 있지만, 정식 어플리케이션과는 일부 차이점을 보임
     - 어플리케이션 명칭의 일부 글자가 정식 명칭과는 다르게 대문자로 표기됨
        ※ 정식 :  Facebook --> 변종 : FaceBook
     - 설치 시 ‘알 수 없는 출처’에 대한 설치 설정 변경을 요구하며 , 어플리케이션 설명 부분이 작성되어 있지 
       않아 악성 어플리케이션으로 판단할 수 있는 부분이 있음
• 설치 이후에는 사용자의 동의 없이 두 개의 서비스가 백그라운드에서 실행하며, SMS와 HTTP를 이용한 공격자
  명령을 수신하여 다양한 악성행위를 수행함
     - 모바일 기기로 수신되는 SMS 메시지를 가로채어 공격자에게 전송
     - 지정된 전화번호로 걸려오는 전화를 공격자에게 전송
     - 저장된 SMS 메시지와 모든 통화 기록을 공격자에게 전송
     - 모바일 기기를 이용한 주변 소리를 녹음하여 지정 서버로 전송
     - 모바일 기기에 저장된 모든 데이터를 삭제(관리자 권한)
     - SD카드에 저장된 모든 이미지를 공격자에게 전송
     - 모바일 기기의 SIM 일련번호, 모델명 등 개인정보를 공격자에게 전송

 

[출처]
1. http://blogs.mcafee.com/mcafee-labs/ibanking-android-trojan-poses-facebook-token-generator
2. http://thehackernews.com/2014/04/ibanking-android-malware-targeting.html

작성 : 침해사고분석단 취약점분석팀