단순 애드웨어를 혼합한 패키지에서 트로이목마를 섞은 가짜 패키지까지 다양
안드로이드 생태계의 서드파티 스토어 활용할 때 특히 조심해야

[보안뉴스 문가용 기자] 영상 회의 솔루션인 줌(Zoom)의 인기가 하늘을 찌름에 따라 각종 공격 시도가 이어지고 있다. 최근 보안 업체 비트디펜더(Bitdefender)는 재택 근무를 위해 줌을 사용하는 사람들 사이에서 악성 버전 줌이 돌아다니는 걸 찾아냈다고 발표했다.


[이미지 = iclickart]

코로나 사태 때문에 집에서 일하는 사람이 세계적으로 늘어나는 추세이고, 그에 따라 화상 회의에 대한 수요가 높아지고 있다. 그런 상황에서 가장 시장에서 두각을 나타내고 있는 플랫폼은 단연 줌이다. 사이버 공격자들은 최근 들어 이런 상황을 적극 악용하기 시작했고, 그러면서 줌에 대한 공격 기법이 하나 둘 생겨나고 있는 상황이다. 사람이 몰리는 곳은 사이버 범죄자들에게 늘 ‘기회’로 인식된다.

이번에 발견된 공격 기법은 줌을 리패키징 해서 배포하는 것이라고 볼 수 있다. 특히 안드로이드 생태계에서 이런 현상이 집중적으로 나타나는 중이다. 공식 구글 플레이가 아니라 서드파티 웹사이트나 스토어에서 줌을 찾는 사람들이 주요 표적이다.

리패키징 된 줌은 오리지널 줌과 동일한 인터페이스를 가지고 있다. 또한 패키지 이름과 인증서 세부 사항도 거의 똑같다. 하지만 이 악성 버전을 설치할 경우 C&C 인프라인 tcp://googleteamsupport.ddns.net:4444로부터 악성 페이로드가 추가로 다운로드 된다.

비트디펜더의 설명에 의하면 이 도메인은 “다이내믹 DNS 서비스로, 유동 IP 주소를 가진 사용자가 서브도메인으로 매핑할 수 있게 해주는 것”이라고 한다. 즉 IP 주소가 유동적으로 바뀌어도 연결을 유지할 수 있게 해준다는 것이다.

이 서비스를 통해 연결되는 서브도메인은 sweetman2020.no-ip.biz였다. 여기에는 안드로이드용 원격 접근 트로이목마인 샌도랫(SandoRAT)과 드로이드잭(DroidJack)이 호스팅 되어 있기도 했다.

또 다른 악성 줌 패키지 파일이 발견되기도 했는데, 이는 주로 중국의 사용자들을 노린 것으로 분석됐다. 이 패키지의 경우 모바일 장비에 설치되는데, 설치되면서 전화, 위치 정보, 사진 등에 대한 접근 권한을 요청한다. 분석 결과 이 악성 줌은 애드웨어의 일종이었다. 사용자가 보고 있는 화면에 수초 동안 광고를 띄우는 게 전부였다.

세 번째로 발견된 악성 샘플은 미국의 안드로이드 사용자들을 노리는 것이었다고 한다. 패키지의 이름은 줌 클라우드 미팅즈(Zoom Cloud Meetings)로, 설치하고 실행시키면 계속해서 광고를 클릭하라는 메시지를 화면에 내보낸다. 역시 애드웨어인 것이다. 하지만 여기에 그치지 않고 애셋에서 하드코드 된 문자열을 확인해 ‘admin’일 경우, 관리자급 권한을 요청하기도 한다. 그 외에는 추가 파일을 다운로드 한다.

비트디펜더는 “러시아어와 영어로 패키징 되어 있다”며, “장비가 부팅될 때 자동으로 시작된다”고 경고하기도 했다. 줌을 설치해야 할 때는 공식 스토어나 웹사이트 등을 통해 설치파일이나 패키지를 다운로드 받는 것이 가장 안전하다.

3줄 요약
1. 재택 근무자 늘어나자 줌에 대한 주목도도 올라감.
2. 사이버 공격자들, 이 현상 악용하기 위해 가짜 줌 패키지 만들어내고 있음.
3. 특히 서드파티 스토어 많은 안드로이드 생태계가 지금 위험한 상태.
Copyrighted 2015. UBM-Tech. 117153:0515BC
[국제부 문가용 기자(globoan@boannews.com)]

<저작권자: 보안뉴스(www.boannews.com) 무단전재-재배포금지>