음성통화내용도 유출가능한 안드로이드 악성코드 변종 발견

1. 서 론

정상 어플리케이션인 "Steamy Windows" 에 악성코드를 삽입하여 중국어버젼으로 리패키징한 악성 안드로이드 애플리케이션 변종이 금일 발견되었습니다.

2. 악성코드 분석 정보

위와 같은 악성어플리케이션은 구글에서 공식적으로 운영하는 마켓이 아닌, "Third-party market" (제 3자에 의해 제공되는 안드로이드마켓) 에서 발견되었습니다.

구글에서 제공하는 어플리케이션 Market 의 경우는 자체 검수시스템에 의해 업로드되는 앱들에 대해 검증하는 절차가 있지만, "Third-pary market" 은 대부분 위와 같은 검수시스템이 아예 없거나, 불법앱을 업로드하는 사람에 대해 인증할 수 있는 부분이 없기 때문에 악성어플리케이션이 존재할 가능성이 매우 높으므로,  앱을 다운받을때는 가급적 공식마켓을 이용하는 습관이 필요합니다.

정상 애플리케이션에 특정 코드가 삽입되어 리패키징된 경우에는, 사용자들이 정상앱과 차이점을 구별하기 쉽지 않으나, 추가된 코드에 의해 아래 화면과 같이 앱 설치시 요구되는 권한이 매우 증가되는 점으로 파악가능합니다.

[변경된 요구 권한]

또한 정상 애플리케이션에는 존재하지 않는 service 코드들이 아래와 같이 추가된 것을 알 수 있습니다.

[추가된 서비스]

이 악성앱은 실행시 기존의 앱의 기능을 정상적으로 수행하며, 백그라운드로 사용자 개인정보를 유출할 수 있습니다. 유출가능한 정보는 IMEI/IMSI , 핸드폰번호, Service Provider 등이 있으며, 추가적으로 사용자의 음성통화내용도 유출될 가능성이 존재합니다. 또한 정보유출과 별도로, 해당 악성앱은 문자메시지(SMS)를 통해 외부에서 원격조종을 하는 기능이 포함되어 있는 것으로 밝혀졌습니다.

3. 권고 사항

위 악성 애플리케이션은 V3 mobile 제품에서 아래와 같이 진단하오니, 감염이 의심된다면 엔진업데이트 후 수동검사를 통해 설치된 어플리케이션들을 검사해보시기 바랍니다.

- 진단명
 Android-Spyware/Adrd.E   # 엔진버젼: 2011.03.02.00
 Android-Spyware/Adrd.F   # 엔진버젼: 2011.03.02.00
 Android-Spyware/Adrd.G   # 엔진버젼: 2011.03.02.00
 Android-Spyware/Adrd.H   # 엔진버젼: 2011.03.02.01

또한 아래 안내해드리는 사항을 지키셔서, 자신의 스마트폰이 악성코드에 감염되는 것을 예방하시기 바랍니다.

1) 스마트 폰 전용 모바일 백신을 설치 및 최신 엔진버전으로 유지한다.
2) 출처가 명확하지 않은(블랙마켓 등을 통해 받은) 어플리케이션은 다운로드 및 설치를 자제한다.
3) 스마트폰에서도 PC와 마찬가지로 신뢰할 수 없는 사이트 방문이나 메일은 열람을 자제하시는 것을 권장함.