Anubis 악성코드, Google Play에 지속적으로 출현

downloader, dropper 전성 시대

근래 들어 구글 플레이에서 뱅킹 트로이 목마가 많이 발견되고 있다. 광고 띄우기를 주목적으로 하는 애드웨어 류가 주류를 이루던 이전에 비해 위험이 커진 것이다. 그 중에서도 아누비스가 눈에 자주 띈다. 많은 보안 회사와 전문가들에 의해 꾸준히 발견되고 있다. 스토어에서 발각돼 삭제돼도 또다시 다른 앱으로 위장하여 업로드 되기를 반복하고 있다.

이렇게 구글의 보안 수단을 농락하는 방법은 다운로더 혹은 드로퍼를 사용하는 것이다. 이것은 나중에 악성코드 본체 즉 payload를 다운로드하는 역할을 할 뿐, 그 자체로는 무해한 것처럼 보인다. 대부분의 앱이 인터넷에 연결해 각종 데이터를 다운로드하므로, Play Protect로서는 어떤 데이터가 악성인지를 판단하기 어렵다. 게다가 악성행위를 바로 시작하지 않고, 조용히 잠복기를 거쳐 어느 순간에 페이로드를 다운로드한다. 그렇기 때문에 VirusTotal로 테스트해 보면, 대다수의 보안 앱이 탐지를 하지 못하고 있다.

보안 회사들은 신뢰할 수 있는 개발자의 앱만을 다운로드하라고 권고하고 있다. 씁쓸한 말이다. 앱 스토어는 능력은 있지만 자금력과 유통망을 갖추지 못한 개발자들이 성공할 수 있는 곳이어야 한다. 그런데 이런 권고는 결국 유명 대기업의 앱만 사용하라는 말과 다를 바 없다. 물을 흐리는 일부 범죄자들 때문에 대다수 선량한 개발자들이 설 곳을 잃어가는 느낌이라 안타깝다.

앱의 업데이트 알림에 응답하지 않는 것이 다운로더에 대처하는 좋은 방법일 수도 있다(관2).

단순 뱅킹 트로이 목마가 아니다

아누비스 역시 다양한 가짜 앱을 다운로더로 활용하고 있다. 아누비스는 은행이나 결제 앱 등의 로그인 정보를 비롯한 입력 정보를 훔치는 banking trojan이다. 그러나 이에 그치지 않고, 심각한 추가 악행을 한다. 스팸 문자 보내기, RAT(Remote Access Tool) 기능과 랜섬웨어 기능도 있다.

RAT 즉 원격제어 기능은 해커가 기기를 완전히 제어하는 것이므로 치명적이다. Sophos의 보고서에서는 소리 녹음, 스크린샷, 위치 추적, 키로깅을 열거하고 있지만, 이것은 예시일 뿐 여기에 국한되지 않는다.

Sophos는 다운로더를 Andr/Banker-GWQ로, 아누비스를 Andr/Banker-GUZ와 Andr/Banker-GTN로 탐지하고 있다. 크게 보면 Banker family로 볼 수 있다.

접근성 권한 악용

일반적으로 뱅킹 악성코드들은 로그인 정보를 훔칠 때 Overlay screen을 이용한다. 진짜 앱과 비슷한 가짜 화면을 그 위에 띄워서, 입력하는 정보를 수집하는 것이다. 여기에는 '다른 앱 위에 그리기' 권한이 필요하다.

그러나 아누비스는 키로김과 스크린샷을 통해 직접 입력 정보를 탈취한다. 이 방식은 오버레이 방식보다 진화한 것이다. 오버레이 공격을 위해서는 진짜 앱과 비슷한 화면을 일일이 만들어야 해서 공격 대상 앱이 제한적이지만, key-logging 이나 screen shot은 어떤 앱이라도 그냥 공격할 수 있다.

이를 위해서 accessibility 권한을 요구한다. 접근성 권한은 악성코드로 하여금, 사용자의 클릭이 있는 것처럼 만들거나 특정 이벤트에 대한 응답을 얻는 등, 데이터를 훔치기 용이한 환경을 만들어 줄 수 있다. 아누비스는 Google Play Protect로 위장하여 사용자 동의를 유도한다. 'Observe your actions'로 키로깅을 할 수 있고, 'Retrieve window content'로 스크린샷을 찍을 수 있다. 그림 출처는 참고 자료 3.




관리자 권한, 다른 앱 위에 그리기, 접근성 등은 악성 앱에 흔히 악용되므로 주의해야 한다.

또한 아누비스는 바탕화면에서 아이콘을 숨겨, 자신의 존재를 은폐한다.

다양한 변종으로 탐지 회피

아누비스는 다운로더가 계속해서 발견되는 것도 문제지만, 페이로드 그 자체가 많은 변종을 갖고 있다는 점에서도 위협적이다. 한 예로, 어떤 해커의 C2 서버에서는 1천 개의 아누비스 샘플이 발견됐는데, 이들은 MD5 해쉬 값이 모두 달랐다. VirusTotal에도 거의 기록이 없었다.


관련 자료
  1. 구글 플레이에서 뱅킹 악성코드 발견
  2. MalBus, 문서 탈취하는 안드로이드 악성코드

참고 자료
  1. Anubis Android Trojan Spotted with Almost Functional Ransomware Module
  2. Anubis is Back: Are You Prepared?
  3. Anubis Strikes Again: Mobile Malware Continues to Plague Users in Official App Stores 

댓글

댓글 쓰기

이 블로그의 인기 게시물

엑셀 필터 상태에서 복사와 잘라내기

이미지
잘라내기는 숨겨진 셀도 포함한다 마이크로소프트 엑셀(Microsoft Excel)로 데이터베이스 작업을 하다보면, 원하는 데이터만 보이도록 필터링을 한 다음, 다른 위치에 붙여넣기를 할 때가 있다. 그런데 필터라는 것이 불필요한 셀을 화면에 보이지 않게 숨기는 것이므로, 특정 범위를 선택할 경우 보이는 셀과 숨겨진 셀을 어떻게 처리하느냐에 따라 결과가 달라질 수 있다. 기본적으로 엑셀은 보이는 셀을 기준으로 작업을 한다. 그러나 수행하는 작업에 따라 달리 처리하기도 한다. 셀 단위로 범위를 선택할 때, 복사는 보이는 셀만을 포함하지만, 잘라내기는 숨겨진 셀까지 포함한다. 아래 예는 엑셀 2010과 오피스 온라인에서 수행한 것이다. 오피스 온라인은 마이크로소프트 계정만 있으면 무료로 사용할 수 있다. 기능은 상당히 제한적이지만 일반적인 작업에는 쓸 만하고, 항상 최신 버전으로 유지된다는 장점이 있다. 먼저 간단한 데이터베이스를 만들어 표(테이블) 삽입을 했다. 데이터베이스는 표로 만드는 것이 여러 모로 좋다. 여기서 서울에 사는 사람만 골라내서 별도의 시트로 만들려고 한다. 다음과 같이 필터를 적용했다. 여기서 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '복사'한 다음, 새 시트에 붙여넣으면 다음과 같이 된다. 정확히 원하던 결과다. 그러나 표 전체를 선택하거나 셀 범위를 드래그해서 데이터를 '잘라내기'한 다음, 새 시트에 붙여넣으면 엉뚱한 결과를 낳는다. 범위 안에 있는 숨겨진 셀까지 이동된 것이다. 행 단위 선택은 숨겨진 행도 포함한다 위에선 셀 단위로 범위를 선택한 경우를 본 것이다. 그런데 엑셀에서 데이터베이스를 다룰 때는, 행 단위로 선택을 하는 것이 편할 때가 많다. 행 번호를 클릭하면 해당 행 전체가 선택된다. 행 단위로 범위를 선택하면, 그 안에 있는 숨겨진 행도 포함된다. 이때는 복사든 잘라내기든 마찬가지다. 위의 필터 적용된 데이터베이스에서 행 번호를 드래그해서, 행 단위로 범위를 선택한 후 '복사...
자세한 내용 보기

가정에서도 망 분리를 해보자

이미지
멀티 무선 네트워크(multi SSID) 망 분리는 용도와 보안 수준에 따라 각 네트워크를 분리해 구성하는 것이다. 주로 조직체에서 사용하는데, 내부의 중요한 컴퓨터는 외부 인터넷 망과 완전히 단절시키는 경우가 한 예다. 이렇게 하면 일반 직원들이 사용하는 컴퓨터가 해킹당하더라도, 핵심 서버는 영향을 받지 않는다. 이제는 가정에서도 망 분리를 고려할 시점이 됐다. IOT 기기 사용이 늘어나는 데 반해, 그 보안 수준은 열악하기 때문이다. 아마존 같은 선두권 기업의 제품에서도 기초적인 허점이 드러나곤 한다(관1). 여타 제품들은 어떤 상황일지 상상이 간다. 네트워크 내 하나의 기기가 뚫리면 전체 네트워크가 위험해 진다. 망 분리는 쉽다. 대부분의 공유기가 다중 네트워크 기능을 지원하기 때문이다. ipTIME 공유기에서는 그림과 같이 설정하면 된다. 게스트 네트워크를 선택해 켠 다음, SSID와 인증 방식을 설정한다. 가장 중요한 것은 통신 정책 설정이다. 반드시 'WAN포트 인터넷 통신만 허용'으로 설정해야 한다. '모든 통신 허용'을 선택하면 망 분리 효과가 없다. 기본 네트워크에 연결된 기기와도 통신이 되기 때문이다. 이제 보안이 취약한 기기들은 게스트 네트워크에 연결하고, PC와 NAS 등 중요한 것들은 기본 네트워크에 연결한다. 손님에게 와이파이 암호를 알려주기 싫을 때도 요긴하다. 외부인 용으로 별도의 네트워크를 만들면 된다. 무선 WAN으로 와이파이 확장 우리가 직접 구입한 공유기는 이처럼 쉽게 망 분리를 구성할 수 있다. 문제는 통신사에서 제공한 공유기를 사용하는 경우이다. IOT 기기는 통신사의 결합 상품으로 제공되는 경우가 많은데, 통신사의 공유기는 기능이 부족한 경우가 많다. 성능이 처진다기보다는, 고급 설정은 통신사가 직접 관리하고, 사용자 인터페이스에 노출시키지 않는 것이다. 통신사의 공유기가 멀티 SSID 기능을 지원하지 않는다면, 무선 WAN 방식으로 네트워크를 확장하면 된...
자세한 내용 보기

잉크젯 프린터 전원은 항상 켜 놓아야 좋다

잉크 절약을 위한 관리 요령 잉크젯 프린터(복합기)의 전원은 항상 켜 놓는 것이 좋다. 잉크를 아끼기 위해서다. 프린터는 켜질 때에 자체적인 유지 관리 기능으로 인해 소량의 잉크를 소모한다. 기종에 따라서는 제법 소모가 큰 경우도 있다. 따라서 가급적 자주 껐다 켰다를 하지 않는 것이 좋다. 또한 프린터가 오래 꺼져 있으면 잉크가 마를 수가 있다. 특히 온도가 낮은 겨울엔 잉크가 쉽게 마른다. 절전 모드로 전기 요금 걱정 없어 전기 소모는 걱정할 필요 없다. 대부분 일정 시간 인쇄 작업이 없으면 절전 모드 혹은 대기 모드에 들어가는데, 이때 전력 소모는 1w 미만이다. 내가 사용 중인 LIP2040VW는 0.88w인데, 각자 한번 확인해 보시길. 주기적으로 인쇄 결론적으로 잉크젯 프린터는 항상 켜 놓는 게 좋은데, 오래된 기종이라 전기 소비량이 많다거나 기타 이유로 그렇게 하지 못할 수도 있을 것이다. 이런 경우 게시판에서 여러 사람의 의견을 종합해 보면, 일주일에 한 번은 켜서 간단한 인쇄를 하는 것이 좋겠다. 항상 켜 놓더라도 최장 1달에 1번은 인쇄를 하는 것이 좋다. 관련 자료 말라버린 잉크 카트리지 닦기
자세한 내용 보기