해커들이 가짜 구글 플레이 스토어 페이지를 사칭하여 암호화폐를 채굴하다

해커들이 새로운 피싱 사기를 통해 피해자를 표적으로 삼고 있다. 시큐어리스트의 게시글에 따르면, 해커들은 가짜 구글 플레이 스토어 페이지를 사용하여 브라질에서 안드로이드 말웨어 캠페인을 확산시키고 있다.

해로운 앱은 정당한 다운로드처럼 보이지만, 설치되면 감염된 전화기를 암호화폐 채굴기로 전환한다. 또한 은행권 말웨어를 설치하고 위협 행위자에게 원격 접근 권한을 부여하는 데 사용된다.

해커들이 브라질 스마트폰을 암호화폐 채굴기로 전환하다

캠페인은 구글 플레이와 거의 동일한 피싱 웹사이트에서 시작된다. 하나의 페이지는 브라질 사회보장 서비스와 연결되어 있다고 주장하는 ‘INSS Reembolso’라는 가짜 앱을 제공한다. UX/UI 디자인은 신뢰할 수 있는 정부 서비스와 플레이 스토어 레이아웃을 복사하여 다운로드가 안전해 보이도록 한다.

가짜 앱을 설치한 후, 말웨어는 여러 단계에 걸쳐 숨겨진 코드를 풀어나간다. 암호화된 구성 요소를 사용하여 주요 악성 코드를 메모리에 직접 로드한다. 장치에 보이는 파일이 없으므로 사용자가 의심스러운 활동을 감지하기 어렵다.

말웨어는 보안 연구자들의 분석도 회피한다. 이 말웨어는 전화기가 에뮬레이션 환경에서 실행 중인지 확인한다. 하나라도 감지되면 작동을 중단한다.

설치가 성공적으로 완료된 후, 말웨어는 추가적인 악성 파일을 계속 다운로드한다. 또 다른 가짜 구글 플레이 스타일 화면을 표시한 다음 잘못된 업데이트 프롬프트를 표시하고 사용자에게 업데이트 버튼을 탭하도록 유도한다.

그중 하나의 파일은 ARM 장치용으로 컴파일된 XMRig 버전인 암호화폐 채굴기다. 말웨어는 공격자가 통제하는 인프라에서 채굴 페이로드를 가져온다. 그런 다음 이를 복호화하여 전화기에서 실행한다. 페이로드는 감염된 장치를 공격자가 통제하는 채굴 서버에 연결하여 백그라운드에서 조용히 암호화폐를 채굴한다.

이 말웨어는 정교하며 무작위로 암호화폐를 채굴하지 않는다. 시큐어리스트의 분석에 따르면, 말웨어는 배터리 충전 비율, 온도, 설치 경과 시간, 전화기가 실제로 사용 중인지 여부를 모니터링한다. 모니터링된 데이터에 따라 채굴이 시작되거나 중지된다. 목표는 숨어 있어 감지될 가능성을 최소화하는 것이다.

안드로이드는 배터리를 절약하기 위해 백그라운드 앱을 종료하지만, 말웨어는 거의 무음인 오디오 파일을 반복 재생하여 이를 회피한다. 이는 안드로이드의 자동 비활성화를 피하기 위해 실제 사용 중인 것처럼 속이는 것이다.

명령을 계속 전송하기 위해 말웨어는 정당한 구글 서비스인 파이어베이스 클라우드 메시징(Firebase Cloud Messaging)을 사용한다. 이를 통해 공격자는 새로운 지시를 쉽게 보내고 감염된 장치의 활동을 관리할 수 있다.

은행권 트로이 목마가 USDT 전송을 표적으로 삼다

말웨어는 코인 채굴 외에도 더 많은 일을 한다. 일부 버전은 바이낸스와 트러스트 월렛, 특히 USDT 전송 중에 표적으로 삼는 은행권 트로이 목마를 설치한다. 이는 실제 앱 위에 가짜 화면을 오버레이한 다음, 지갑 주소를 공격자가 통제하는 주소로 조용히 교체한다.

은행권 모듈은 크롬과 브레이브와 같은 브라우저를 모니터링하며 광범위한 원격 명령을 지원한다. 여기에는 오디오 녹음, 화면 캡처, SMS 메시지 전송, 장치 잠금, 데이터 지우기, 키보드 입력 로깅 등이 포함된다.

최근의 다른 샘플들은 동일한 가짜 앱 전달 방식을 유지하지만 다른 페이로드를 사용한다. 이들은 BTMOB RAT를 설치하는데, 이는 지하 시장에서 판매되는 원격 접근 도구다.

BTMOB은 말웨어 서비스(MaaS) 생태계의 일부다. 공격자는 이를 구매하거나 임대할 수 있어 해킹과 절도의 진입 장벽이 낮아진다. 이 도구는 공격자에게 화면 녹화, 카메라 접근, GPS 추적, 자격 증명 탈취 등 더 깊은 접근 권한을 제공한다.

BTMOB은 온라인에서 적극적으로 홍보되고 있다. 한 위협 행위자는 유튜브에서 감염된 장치를 제어하는 방법을 보여주는 말웨어 데모를 공유했다. 판매 및 지원은 텔레그램 계정을 통해 처리된다.

시큐어리스트는 알려진 모든 피해자가 브라질에 있다고 밝혔다. 일부 새로운 변종은 WhatsApp 및 기타 피싱 페이지를 통해 확산되고 있다.

이와 같은 정교한 해킹 캠페인은 모든 것을 검증하고 아무것도 신뢰하지 말라는 경고를 제공한다.