[보안이슈] 구글 플레이스토어 내 안티바이러스로 위장한 샤크봇(SharkBot)

＃샤크봇: 차세대 멀웨어로 불리며, 안드로이드 기기를 타겟으로 한다. 주 기능은 신분정보 및 은행정보를 훔치는 것.

- 뱅킹 앱에 로그인 되어 있을 때 은행 계좌로부터 돈을 빼돌리는 기능 보유

- 크리덴셜 및 신용카드 데이터를 훔침

(신분정보 입력란처럼 보이는 곳에 사용자의 신분정보를 입력하도록 유인)

 

샤크봇 멀웨어가 구글 플레이스토어에서 안티바이러스 솔루션처럼 위장한 채로 숨어있는 것을 발견했다. 

플레이스토어 측에서는 해당하는 6개의 앱을 제거했으나. 이미 다운로드 받은 수는 15000회 넘짓 되었다.

 

[샤크봇 독특한 전략]

1) 지오팬싱을 이용하여 특정 지역에서 접속하는 경우, 해당 유저는 감염시키지 않음.

(중국, 인도, 루마니아, 러시아, 우크라이나, 벨로루시 사용자를 무시)

2) Anti-Sandbox

3) 안드로이드의 "Access Service"를 해킹하여 접근성 서비스 권한을 악용. 

• SMS 메시지 전송 권한 요청
• 기기에 있는 연락처를 모아서 서버로 전송
• 백그라운드에서 배터리 최적화 모드를 실행하는 것을 제한
• 푸시 메시지 전송
• 스크린 위에서 사용자 행동을 모방 (잠금패턴 등)

4) DGA(Domain Generation Algorithms) 이용

• 많은 수의 DNS를 생성하는 알고리즘. C&C 서버와의 연결 시 해당 DNS를 사용
• DNS 주소를 차단시켜 접속하지 못하게 하는 것을 우회하기 위해 사용함.
• 출처: 네이버 블로그

 

 

해당 기사 링크 >> https://community.ibm.com/community/user/security/blogs/gwibin-im2/2022/07/24/sharkbot-malware-found-in-apps-posing-as-antivirus

안티바이러스로 위장한 샤크봇