ZooPark 악성코드, 정교한 안드로이드 스파이웨어

카스퍼스키 랩이 중동 지역의 정치적인 조직이나 활동가를 표적으로 한 APT 공격용으로 추정되는 안드로이드용 스파이웨어를 발견했다. 주파크(ZooPark)라고 이름 붙였는데, 배후에 정부 지원이 있으며 최소 2015년부터 활동하며 수 차례에 걸쳐 개량된 것으로 봤다.

악성 행위는 다음과 같이 광범위하다.

• 정보 유출 - 주소록, 계정 데이터, 통화 기록, 통화 녹음, 사진, GPS 위치, 문자 메시지, 설치된 앱의 상세 정보와 데이터, 키 로그, 클립보드 내용

• 백도어 역할 - 소리없이 전화 걸기, 소리없이 문자 메시지 전송, 명령어(shell commands) 실행

다른 앱의 내부 데이터를 탈취하는 점도 특징이다. 원래 안드로이드는 다른 앱의 데이터에 접근할 수 없도록 설계되어 있다. 카스퍼스키의 설명에는 명시되어 있지 않지만, 설치시 관리자 권한을 요구했을 것이다. 주파크는 텔레그램, 왓츠앱, 크롬 등의 데이터를 노린다. 크리덴셜(자격 증명)을 탈취할 수도 있다.

수 년 동안 탐지되지 않고 활동한 점이나 광범위한 악성 행위로 볼 때, 안드로이드 악성코드의 수준이 PC에 필적하는 정도에 이른 것으로 보인다. 일부 보안 전문가는 안드로이드 악성코드는 대부분 애드웨어 정도에 불과하다며 평가절하 하기도 하는데, 동의하기 어렵다. 제거도 어려운 악질 랜섬웨어도 이미 많지 않은가.


참고 자료

• ZooPark: new Android-based malware campaign spreading through compromised legitimate websites