Hide and Seek Botnet, 안드로이드 기기 노린다

ADB로 감염

올해 초에 발견되어 빠른 성장 속도로 주목받은 Hide and Seek(숨바꼭질) 봇넷이 infection vector(감염 매개체)를 추가했다. ADB(Android Debug Bridge) over network를 이용하기 시작한 것이다.

ADB는 제조사나 개발자가 커스터마이징이나 디버깅을 위해 사용하는 기능으로, 이것이 활성화되면 해킹에 취약한 상태가 된다. 따라서 기본적으로 비활성화되어 있다. 그러나 제조사나 사용자의 부주의로 이것이 활성화되는 경우가 있는데, 이렇게 잘못 설정된 기기를 탐색하여 감염시키는 것이다.

비트디펜더에서 쇼단을 통해 탐색해 본 결과, 4만 대 가량의 기기에서 ADB 포트가 열려 있었으며 대부분 한국, 중국, 대만에서 탐지됐다.

ADB를 통해 감염되는 악성코드로는 가상화폐를 채굴하는 ADB.miner가 유명하다.

다양한 표적과 감염 경로

숨바꼭질 봇넷은 정보 유출이나 코드 실행 같은 기능을 갖고 있지만, 이렇게 활용된 사례는 발견되지 않았다. 아직은 덩치를 키우는 단계라고 할 수 있다. 이를 위해 대상을 가리지 않고 공격하고 있다.

IP 카메라, DVR(Digital Video Recorder), NVR(Network Video Recorder), IPTV 셋톱박스, 안드로이드 스마트폰 등 닥치는 대로 감염시킨다. 감염된 기기를 재부팅해도 살아남는다.

대상 플랫폼도 일반적인 PC나 스마트폰(x86, x64, ARM) 뿐만 아니라 MIPS, PowerPC 등 특수한 용도로 사용되는 기기까지 다양하다.

감염 벡터로는 텔넷 스캐닝과 브루트 포스 공격, 특정 기기의 취약점, 열린 ADB 포트 등을 폭넓게 활용하고 있다.


참고 자료

• Hide and Seek Botnet Adds Infection Vector for Android Devices