안드로이드 펌웨어에 백도어를 숨겨둔 이 주의 두 번째 중국 회사 발견

보안 연구원들이 280만 대가 넘는 저가 안드로이드 스마트폰에 포함된 서드파티 펌웨어가 공격자가 OTA (Over-the-Air) 업데이트 작업을 방해하고 루트(root) 권한으로 목표가 된 전화기에서 명령을 실행할 수 있다는 것을 발견

 

Anubis Networks의 모바일 전문가들이 이번 주 이 문제를 발견했는데 이것은 Kryptowire 연구원들이 

중국 회사 Shanghai Adups Technology Co. Ltd.의 펌웨어에서 비슷한 비밀 백도어를 발견한 후 이번 주에 알려진 두 번째 문제입니다. 

이번에는 Ragentek Group이라는 또다른 중국 회사에서 만든 안드로이드 펌웨어에 문제가 있었습니다.

 

연구원들은 연구원 중 한 사람이 베스트바이(Best Buy)에서 BLU Studio G 스마트폰을 구입한 후 문제를 발견했다고 하며, 

Ragentek 펌웨어로 구동되는 스마트폰들이 암호화되지 않은 통신 채널로 원격 서버에 연결하는 

안전하지 않은 OTA 시스템을 사용했다고 합니다.

 

SSL 지원이 없다는 것은 공격자가 기초적인 Man-in-the-Middle(중간자) 공격으로 OTA 서버의 허위 

응답을 통해 사용자 스마트폰에 악의적인 명령을 보낼 수 있다는 것을 의미합니다. Anubis 연구원들은 HTTPS를 통해 클라이언트와 서버간 통신을 보호하지 못하는 수많은 기기와 앱들이 있지만 이 문제는 

훨씬 더 심각하다고 말합니다.

 

펌웨어 OTA 업데이트 작업을 담당하는 바이너리는 안드로이드 OS에서 두 개의 다른 바이너리 및 

프로세스와 함께 그 존재를 숨기는 코드도 포함하고 있습니다. 활성화된 안드로이드 프로세스를 보는 

개발자도 전화기에 업데이트가 들어오는 때를 알 수가 없습니다.

 

이 OTA 시스템은 다양한 기기에 사전 설치되어 있으며 다양한 자체 업데이트 작업을 담당하기 때문에 루트로도 실행됩니다. SSL 보호 기능이 없으니 이 OTA 시스템은 누군가를 통제하려는 사람들을 위한 열려 있는 백도어가 됩니다.

 

또한 펌웨어에는 3개의 하드코딩된 OTA 서버 도메인이 포함되어 있습니다. Anubis 연구원이 CVE-2016-6564로 기록한 이 취약점을 발견했을 때 3개 도메인 중 하나만 등록되어 있었습니다.

 

연구원들은 다른 2개의 도메인을 등록했습니다. 이를 통해 연구팀에서는 Ragentek 펌웨어를 실행하는 모든 스마트폰에 명령을 보낼 수 있었을 뿐만 아니라 얼마나 많은 기기에 사실상 백도어(de-facto backdoor)가 설치되어 있었는지 통계도 수집할 수 있었습니다.

 

Anubis에 따르면 BLU 제품의 여러 스마트폰 모델들이 가장 큰 영향을 받았습니다. BLU는 Kryptowire 연구원들이 발견한 Adups 백도어의 영향을 받은 상위 스마트폰 제조사이기도 합니다. Infinix Mobility, DOOGEE, LEAGOO, IKU Mobile, Beeline 그리고 XOLO와 같은 다른 제조사도 영향을 받았습니다.

 

상기 차트에서 'Others'(기타)는 연구원들이 식별할 수 없었던 다른 종류의 기기들을 나타냅니다. 이것은 동일한 백도어이거나 다른 OTA 서버와 통신하는 또다른 백도어일 수도 있습니다.

 

Anubis는 구글, BLU 및 US-CERT와 협력하여 영향을 받는 모든 제조사에 알렸습니다. 또한 US-CERT에서는 이 문제에 대한 공개 주의보(public advisory)를 발표했습니다. 이 주의보에는 영향을 받는 스마트폰 모델 목록과 패치 진행 상태가 포함되어 있습니다.

 

이번 주 초 발견된 Adups 백도어와 비교해 Ragentek은 사용자에 대한 정보를 수집하지 않았으며 데이터를 중국의 서버에도 보내지 않았습니다.

http://www.bleepingcomputer.com/news/security/second-chinese-firm-in-a-week-found-hiding-backdoor-in-firmware-of-android-devices/