- 4 가지 유형의 안드로이드 트로이 목마가 800 개 이상의 암호화폐, 은행 및 소셜 미디어 앱을 노리고 있습니다.
- 가짜 로그인 오버레이, 자격 증명 탈취, 탐지 회피 기법을 사용합니다.
- 트로이 목마는 피싱 사이트, 가짜 구인 광고 또는 문자 메시지 사기를 통해 확산됩니다.
보안 연구자들은 암호화폐 지갑 및 은행 앱을 포함하여 800개 이상의 앱을 표적으로 삼는 4가지 활성 안드로이드 악성코드 가족을 발견했다. 이러한 악성코드는 대부분의 전통적인 보안 도구로 감지할 수 없는 방법을 사용한다.
짐페리움(Zimperium)의 zLabs 팀은 RecruitRat, SaferRat, Astrinox, Massiv라는 이름의 트로이목마를 추적한 결과를 발표했다.
회사의 연구에 따르면 각 가족은 고유한 명령 및 제어 네트워크를 사용하여 로그인 정보를 훔치고, 금융 거래를 장악하며, 감염된 기기에서 사용자 데이터를 획득한다.
암호화폐 및 은행 앱, 다중 악성코드로부터 새로운 위협에 직면
이 악성코드 가족들은 안드로이드에서 암호화폐를 관리하는 모든 사람에게 직접적인 위협이다.
설치된 후, 트로이목마는 실제 암호화폐 및 은행 앱 위에 가짜 로그인 화면을 표시하여 비밀번호 및 기타 개인 정보를 실시간으로 훔친다. 그런 다음 악성코드는 실제 앱 인터페이스 위에 가짜 HTML 페이지를 덮어씌워 회사가 '매우 설득력 있고 기만적인 외관'이라고 부르는 것을 만든다.
짐페리움의 보안 연구원은 '접근성 서비스를 사용하여 포그라운드를 모니터링함으로써, 악성코드는 피해자가 금융 애플리케이션을 정확히 실행하는 순간을 감지한다'고 썼다.
보고서에 따르면 트로이목마는 자격 증명을 훔치는 것뿐만 아니라 일회용 비밀번호를 캡처하고, 공격자에게 기기의 화면을 스트리밍하며, 자체 앱 아이콘을 숨기고, 사용자가 제거하는 것을 방지할 수도 있다.
각 캠페인은 사람들을 속이기 위해 서로 다른 미끼를 사용한다.
SaferRat은 프리미엄 스트리밍 서비스에 대한 무료 접근을 약속하는 가짜 웹사이트를 통해 자체적으로 확산되었다. RecruitRat은 채용 지원 과정의 일부로 페이로드를 숨겨 표적들을 악성 APK 파일을 다운로드하라고 요청하는 피싱 사이트로 보냈다.
Astrinox은 동일한 채용 기반 방법을 사용했으며, 도메인 xhire[.]cc를 활용했다. 해당 사이트를 방문하는 기기에 따라 다른 콘텐츠를 표시했다.
안드로이드 사용자는 APK를 다운로드하도록 요청받았고, iOS 사용자는 애플 앱 스토어처럼 보이는 페이지를 보았다. 그러나 보안 연구자들은 iOS가 실제로 해킹되었다는 증거를 발견하지 못했다.
연구 주기 동안 Massiv가 어떻게 배포되었는지 확인할 수는 없었다.
네 가지 트로이 목마 모두 피싱 인프라, 문자 메시지 사기, 그리고 사람들이 해로운 앱을 사이드로드하도록 빠르게 행동하거나 호기심을 자극하는 사회적 공학을 사용했다.
암호화폐 멀웨어는 탐지를 피한다
이 캠페인들은 보안 도구를 우회하는 것을 목표로 한다.
연구진에 따르면, 이 멀웨어 패밀리들은 고급 분석 방지 기술과 Android 애플리케이션 패키지(APK)의 구조적 변조를 사용하여 회사가 "전통적인 시그니처 기반 보안 메커니즘에 대한 거의 제로에 가까운 탐지율"을 유지하고 있다.
네트워크 통신도 일반 트래픽과 혼합된다. 트로이 목마들은 HTTPS 및 WebSocket 연결을 사용하여 명령 서버와 통신하며, 일부 버전은 이러한 연결 위에 추가적인 암호화 계층을 추가한다.
또 다른 중요한 요소는 끈기입니다. 현대의 안드로이드 뱅킹 트로이 목마는 더 이상 단순한 1단계 감염을 사용하지 않습니다. 대신 사용자의 명시적 동의 없이 앱이 작업을 수행하는 것을 어렵게 만든 안드로이드의 변화하는 권한 모델을 우회하기 위한 다단계 설치 프로세스를 사용합니다.
보고서는 표적 앱 800개 이상 중 특정 암호화폐 지갑이나 거래소를 특정하지 않았다. 그러나 오버레이 공격, 비밀번호 가로채기, 화면 스트리밍으로 인해 사용자가 구글 플레이 스토어 외부에서 악성 APK를 설치하면 모든 안드로이드 기반 암호화폐 앱이 위험에 처할 수 있다.
문자 메시지, 구인 공고, 프로모션 웹사이트의 링크에서 앱을 다운로드하는 것은 여전히 모바일 악성코드가 스마트폰에 침투하는 확실한 방법 중 하나입니다.
안드로이드 기기에서 암호화폐를 관리하는 사람들은 공식 앱 스토어만 사용하고 다운로드를 요청하는 팝업 메시지에 주의해야 합니다.
가장 똑똑한 암호화폐 전문가들이 이미 우리 뉴스레터를 구독하고 있습니다. 참여하고 싶으신가요? 함께하세요.
자주 묻는 질문
암호화폐 앱을 표적으로 삼는 4 가지 안드로이드 트로이 목마 가족은 무엇인가요?
트로이 목마의 이름은 RecruitRat, SaferRat, Astrinox, Massiv 입니다. 각각 고유한 명령 제어 시스템을 보유하고 있어 800 개 이상의 암호화폐 및 은행 앱에서 로그인 정보를 탈취하고 금융 거래를 장악합니다.
이러한 트로이 목마는 어떻게 암호화폐 로그인 자격 증명을 탈취하나요?
이 악성코드는 사용자가 암호화폐 또는 은행 앱을 열 때 실제 인터페이스 위에 가짜 로그인 페이지를 표시하는 오버레이 공격을 수행합니다. 또한 일회용 인증번호 (OTP) 를 획득하거나 기기의 화면을 공격자에게 전송하며, 사용자가 앱을 삭제하지 못하도록 막기도 합니다.
피해자들은 어떻게 이러한 안드로이드 은행 트로이 목마에 감염되나요?
공격자는 피싱 웹사이트, 가짜 구직 채용 사이트, 가짜 스트리밍 사이트, 그리고 악성 APK 파일을 다운로드하도록 속이는 문자 메시지 사기를 통해 악성코마를 유포합니다.
면책 조항. 제공된 정보는 투자 조언이 아닙니다. Cryptopolitan.com은 이 페이지에 제공된 정보를 기반으로 이루어진 모든 투자에 대해 책임을 지지 않습니다. 어떤 투자 결정을 내리기 전에 독립적인 조사나 자격을 갖춘 전문가와의 상담을 강력히 권장합니다.
란다 모세스
란다 모세스는 Cryptopolitan의 편집자이자 기자로, 기술, AI, 로봇공학, 암호화폐, 사기 및 해킹을 담당합니다. 그녀는 2017년부터 암호화폐 분야에서 활동해 왔으며, 포워드 프로토콜, 아마직스, 크립토소니아크에서 역할을 수행했습니다. 란다는 브래드포드 대학교에서 전기전자공학을 전공했습니다.
