‘pornvideo.apk’ 파일 설치 후 기기관리자 권한 얻어 FBI 경고창 생성

[보안뉴스 민세아] PC를 열심히 누비던 랜섬웨어(Ransomware)가 안드로이드(Android) 운영체제로까지 확대되고 있다. 최근 안드로이드 스마트폰이 ‘모바일 랜섬웨어 앱’에 감염되는 사례가 발견된 것.


▲ 해외 성인 동영상 다운로드를 목적으로 제공되는 pornvideo.apk 파일   (출처: 울지 않는 벌새)

안드로이드 스마트폰 사용자가 해외 성인 동영상을 보기 위해 ‘pornvideo.apk’ 파일을 다운로드받아 실행하면 ‘PornPro(Porn Droid)’라는 애플리케이션이 사용자의 스마트폰에 설치된다.

PornPro 앱은 설치 시 SMS 수신, 브라우저의 기록 및 북마크 읽기, 연락처 데이터 읽기, 인터넷 액세스, SD카드 콘텐츠 수정/삭제, 발신전화 차단, 휴대전화 상태 및 ID읽기, 사진과 동영상 찍기, Wi-Fi 상태 변경, 네트워크 연결 변경, 시스템 수준 경고 표시, 실행 중인 애플리케이션 검색, 전체 시스템 설정 수정, 키 잠금 사용 중지 등을 수행할 권한을 요구한다.

최초 설치가 완료되면 PornPro 바로가기 아이콘이 생성되는데, 사용자가 앱을 실행할 경우 앱 아이콘을 삭제해 자신을 숨기고, 업데이트 패치 설치(Update patch installation) 화면을 생성한다. 사용자가 ‘Continue’를 누를 경우 사용자 기기의 기기관리자를 활성화하는 화면을 띄운다. 여기서 활성화 버튼을 누르게 되면 스마트폰의 모든 권한을 PornPro 앱이 갖게 된다.

PornPro 앱이 기기관리자 권한을 얻게 되면 모든 데이터를 삭제하거나 공장 초기화를 할 수 있게 된다. 또한, 화면 잠금해제 비밀번호를 변경할 수 있고 저장소 암호화 설정 기능을 수행할 수 있게 된다.

한번 활성화하게 되면 사용자가 다시 PornPro 앱에 대해 기기관리자를 비활성화하려 해도 거부당하기 때문에 앱을 삭제할 수 없게 된다. 성공적으로 설치된 PornPro 악성앱은 일정 시간이 지나면 FBI 경고창을 생성해 사용자의 ‘스마트폰 기기를 검사한 결과 법적으로 금지된 포르노 사이트 접속행위가 확인됐다’는 내용과 함께 사용자에게 500달러를 요구한다.

▲모바일 랜섬웨어에 감염되면 FBI를 사칭하는 창이 나타난다(출처: 울지 않는 벌새).

표시된 화면에서는 법적 근거조항과 함께 사용자 스마트폰의 IMEI 식별번호, 이메일 주소 등의 계정, 스마트폰 모델명, 국가, 최근 방문한 웹 사이트 URL주소가 포함되어 있다. 실제 스마트폰에 저장되어 있지 않은 성인물 자료를 표시해 사용자를 협박한다.

FBI 경고창이 생성되면 홈 화면이나 스마트폰 잠금 기능이 동작하지 않으며, 안전모드에서 기기관리자 비활성화를 통해 PornPro 앱을 삭제하더라도 일부 암호화된 데이터는 복구가 불가능해 사용할 수 없게 되는 경우가 발생하게 된다.

보안 전문 블로거인 ‘울지 않는 벌새’는 “해외 성인 사이트에서 제공하는 APK 파일을 다운로드해 애플리케이션을 설치하는 일이 없도록 각별히 주의하기 바란다”고 당부했다.
[민세아 기자(boan5@boannews.com)]

<저작권자: 보안뉴스(http://www.boannews.com/) 무단전재-재배포금지>