구글 플레이스토어에서 새로운 뱅킹 트로이 목마 발견
상태바
구글 플레이스토어에서 새로운 뱅킹 트로이 목마 발견
  • 곽중희 기자
  • 승인 2022.08.01 09:56
  • 댓글 0
이 기사를 공유합니다

17개 앱으로 가장해 4가지 뱅킹 트로이 목마 배포

 

구글 플레이스토어에서 17개의 앱으로 가장한 DawDropper라고 하는 뱅킹 트로이 목마가 발견됐다.

트렌드마이크로 연구팀에 따르면, DawDropper는 문서 스캐너, VPN 서비스, QR 코드 리더 및 통화 녹음기와 같은 생산성 및 유틸리티 앱으로 가장한다.

트렌드마이크로 연구팀은 “2021년 하반기 DawDropper라는 새로운 드로퍼 변종 악성 캠페인을 발견했다. DawDropper는 타사 클라우드 서비스인 Firebase 실시간 데이터베이스를 사용해 탐지를 피하고 동적으로 페이로드 다운로드하고, 또한 GitHub에서 악성 페이로드를 호스팅한다. 보고된 시점에서 이러한 악성 앱은 더 이상 구글 플레이스토어에서 사용할 수 없다"라고 설명했다.

DawDropper는 발견된 이후 구글 플레이스토어에서 모두 제거됐다.

 

DawDropper 앱

DawDropper 앱은 Octo, Hydra, Ermac, TeaBot 을 포함해 4가지 뱅킹 트로이목마를 배포한다. 이들앱은 데이터를 저장하기 위해 합법적인 클라우드 호스팅 NoSQL 데이터베이스인 Firebase 실시간 데이터베이스를 C&C(명령 및 제어) 서버로 사용하고 GitHub에서 악성 페이로드를 호스팅합니다.

트렌드마이크로 연구팀은 2021년 3월 CheckPoint Research에서 발견한 Clast82로 추적되는 또 다른 드로퍼를 발견했다. 

또한 연구원들은 DawDropper가 자체 배포 및 설치 기술을 구현한다고 지적했다. 올해 초 출시된 DawDropper에 페이로드 다운로드 주소가 하드 코딩돼 있음을 관찰했다. DawDropper는 실제 페이로드 다운로드 주소를 숨기고, 때로 타사 서비스를 C&C 서버로 사용해 GitHub와 은 타사 서비스를 사용해 악성 페이로드를 호스팅하도록 설계됐다.

다음은 구글 플레이스토어에서 발견된 악성 DawDropper 앱 목록이다.

• 통화 녹음기 APK(com.caduta.aisevsk)
• 수탉 VPN (com.vpntool.androidweb
• 슈퍼 클리너 - 하이퍼 & 스마트 (com.j2ca.callrecorder)
• 문서 스캐너 – PDF 작성기(com.codeword.docscann)
• 유니버설 세이버 프로(com.virtualapps.universalsaver)
• Eagle 사진 편집기(com.techmediapro.photoediting)
• 통화 녹음기 pro+ (com.chestudio.callrecorder)
• 추가 클리너(com.casualplay.leadbro)
• 암호화 유틸리티(com.utilsmycrypto.mainer)
• FixCleaner(com.cleaner.fixgate)
• 저스트 인: 비디오 모션(com.olivia.openpuremind)
• com.myunique.sequencestore
• com.flowmysequto.yamer
• com.qaz.universalsaver
• 럭키 클리너 (com.luckyg.cleaner)
• 심플리 클리너(com.scando.qukscanner)
• Unicc QR 스캐너 (com.qrdscannerratedx

트렌드마이크로 연구팀은 “해커들은 탐지를 피해 가능한 한 많은 장치를 감염시키려고 하고 있다. 반년 동안 뱅킹 트로이 목마가 드로퍼에 악성 페이로드를 숨기는 기술 사용하고 있다는 점을 발견했다. DaaS를 통해 더 많은 뱅킹 트로이 목마를 사용할 수 있게 돼 해커는 합법적인 앱으로 위장한 멀웨어를 다 쉽게 배포하고 있다”라고 말했다.

 

*이 기사는 글로벌 정보보안 블로그 ‘시큐리티 어페어즈(Secutiry Affairs)’의 설립자이자 유럽네트워크정보보안기구(ENISA) 소속 보안 전문가 피에루이지 파가니니(Pierluigi Paganini)와의 공식 파트너십을 통해 작성됐습니다.



댓글삭제
삭제한 댓글은 다시 복구할 수 없습니다.
그래도 삭제하시겠습니까?
댓글 0
0 / 400
댓글쓰기
계정을 선택하시면 로그인·계정인증을 통해
댓글을 남기실 수 있습니다.