0xNews - 구글 보안을 우회하고 구글 플레이스토어를 통해 확산되는 조커 Joker 맬웨어 Malware 발견
0xNews - 구글 보안을 우회하고 구글 플레이스토어를 통해 확산되는 조커 Joker 맬웨어 Malware 발견
Check Point 보안연구팀 발표
조커 Joker 라고 명명된 맬웨어 Malware 발견
구글의 플레이스토어의 보안조치를 우회하는 방법 사용
응용 프로그램 내부의 악성 DEX 실행 파일을 Base64 인코딩 문자열로 난독처리 후 디코딩하여 손상된 기기에 로드
연구팀 분석 결과 총 11개 앱이 구글 플레이스토어에 등록
2020년 4월 구글에 보고 후 삭제 처리 완료
구글에서 발표한 조커 맬웨어 처리 리스트 사이트 링크
링크 페이지에서 발취 내용 중 목록
com.imagecompress.android
com.contact.withme.texts
com.hmvoice.friendsms
com.relax.relaxation.androidsms
com.cheery.message.sendsms
com.peason.lovinglovemessage
com.file.recovefiles
com.LPlocker.lockapps
com.remindme.alram
com.training.memorygame
맬웨어로 분석된 앱으로 구글 플레이스토어에 등록된 앱들은 삭제가 됐지만
향후에도 계속 업데이트 될 것으로 예상
조커 맬웨어는 2017년 최초 발견
최초 기능에는 SMS 사기, 연락처 목록과 기기 정보 도용을 통한 결재 사기 실행
스파이웨어 기능을 통한 악용
이번에 발견된 맬웨어는
분석 엔진에서 문자열을 숨기는 암호화 처리
사용자를 유혹하여 앱을 다운로드 하는 허위 리뷰나 버전 관리 수행
최초 구글 플레이스토어 업로드 시 정상앱 유포를 통해 추후 업데이트에서는 악성 코드를 추가하는 방법 사용
연구팀은 새롭게 변형된 맬웨어는 base64 로 인코딩된 DEX 파일을 로드하는데 사용되는 앱으로 manifest file 사용를 활용하여 해결
구글 개발자 사이트의 manifest 설명 사이트 링크
두번쨰로 식별된 다른 버전은 .dex 파일을 base64 로 문자열로 숨기는 것과 유사한 기술을 사용
하지만 기본 애플리케이션에서 내부 클래스로 추가하고 reflection API 로드
지식이나 동의 없이 프리미엄 서비스에 사용자를 가입시키는 것을 성사시키기 위해 조커는 두가지 구성요소를 활용
이 중 하나는 애플리케이션의 일부인 알림 리스너
다른 하나는 등록을 수행하기 위해 C&C 서버에서 로드된 동적 dex 파일
또한 변종에는 공격자가 C&C 서버에서 false 상태 코드를 원격으로 실행
악의적인 활동을 중단시킬 수 있는 새로운 기능이 포함
최신 조커 맬웨어 체계는 안드로이드 악성 코드가 지속적으로 발전 중이며 앱 개발자와 사용자 또한 이에 대한 자각을 가지는 것이 필요
댓글
댓글 쓰기
글과 상관없는 댓글 작성은 발견 즉시 삭제합니다.