FalseGuide가 2백만 대의 Android 기기를 감염시킨 방법

Android용 앱을 다운로드할 때는 Google Play 앱만 사용하는 것이 상식입니다. 결국 임의의 웹 사이트에서 다운로드한 앱에 어떤 종류의 맬웨어가 번들로 포함되어 있는지 누가 알겠습니까? 따라서 Google Play는 안전하고 신뢰할 수 있는 앱 다운로드를 위한 장소였습니다. 안타깝게도 앱을 다운로드할 수 있는 가장 좋은 곳이지만 절대 안전한 곳은 아닙니다!

최근 FalseGuide라고 불리는 안드로이드 악성코드가 감염되었다는 사실이 밝혀졌습니다. 최대 200만 대의 Android 휴대전화. 어떻게 이 작업을 수행했으며 앱 전체에 어떤 의미가 있습니까?

방법

“FalseGuide”라는 이름은 앱이 어떻게 배포되었는지 알려줍니다. 그들은 Android 스토어에서 인기 있는 앱 하위 집합인 게임 가이드 앱을 활용했습니다. 게이머는 플레이하는 게임이 어렵거나 숨겨진 메커니즘이 있기 때문에 항상 가이드를 찾고 있습니다. 온라인에서 가이드를 찾는 것은 새로운 혁신이 아니지만 앱은 가이드를 새로운 대화형 형식으로 가져왔습니다. 즉, 전 세계 게이머가 Google Play를 방문하여 플레이 중인 게임을 이길 수 있도록 도와주는 앱을 찾고 있습니다.

맬웨어 개발자는 FalseGuide를 게임 가이드로 가장하여 밀수했습니다. 이러한 악성 가이드는 최대 배포를 보장하기 위해 Terraria 및 World of Tanks와 같은 인기 있는 항목에 대해 작성되었습니다. 일단 업로드되면 수천 명의 사람들이 가이드를 다운로드하기를 기다려야 했습니다. 2017년 4월 24일 게임 가이드 세계에서 무언가 잘못되었다는 첫 징후가 나타났지만 멀웨어가 설치된 가장 오래된 앱이 2017년 2월 14일에 Google Play에 업로드되었습니다. 이는 멀웨어가 몇 달 동안 자유 시간을 가졌다는 것을 의미합니다. 장치 사이를 순환합니다.

실제로 맬웨어를 배포하는 한 Google Play에 접속하면 맬웨어 배포자가 매우 쉬워졌습니다. 인기 있는 게임 가이드에 악성코드를 몰래 삽입함으로써 사람들은 그것이 Google Play에 있기 때문에 다운로드하는 것이 100% 안전하다고 생각했습니다. Play 스토어가 오류가 없다는 잘못된 가정 아래 사람들은 두 번 생각하지 않고 앱을 다운로드하여 FalseGuide로 자신의 기기를 감염시켰습니다. 이를 통해 FalseGuide는 2개월 만에 200만 대의 기기에 도달했습니다.

맬웨어가 포함된 검색된 앱의 전체 목록은 공식 체크포인트 기사.

FalseGuide는 무엇을 합니까?

모든 멀웨어에는 목적이 있습니다. 정보를 훔치는 것부터 단순히 손상을 입히는 것까지 모든 악의적인 공격에는 동기가 있습니다. 이제 FalseGuide의 목표는 200만 대의 장치를 손에 넣었습니까?

FalseGuide의 목표는 다음과 같습니다.

1. 사용자는 휴대폰에서 감염된 게임 가이드를 찾아 다운로드를 시작합니다. 앱은 의무를 수행하기 위해 “장치 관리자” 설치 권한을 요청합니다. 사용자는 이를 수락하고 앱을 설치합니다.
2. 이제 장치 관리자 권한이 있는 FalseGuide는 사용자가 지울 수 없도록 자체 설정됩니다.
3. 그런 다음 FalseGuide는 사용자 모르게 “Firebase Cloud Messaging”이라는 서비스에 등록합니다. 이것은 앱 개발자가 자신의 앱에 메시지와 알림을 보낼 수 있는 서비스로 순수한 의도로 개발되었습니다. FalseGuide는 제공된 앱과 동일한 이름을 공유하는 주제를 찾아 구독한 다음 추가 지침을 기다립니다.
4. Firebase 주제를 통해 FalseGuide는 맬웨어 개발자로부터 메시지를 수신하여 악성 명령을 설치하고 실행할 수 있습니다.

그 결과 배포자가 지정한 명령을 듣고 실행하는 삭제할 수 없는 맬웨어가 생성됩니다. 이러한 명령은 전화기에 애드웨어를 설치하는 것부터 피해자 서버에 DDoS 공격을 시작하는 것까지 다양합니다. 즉, FalseGuide는 맬웨어 배포자가 사용자의 장치에서 원하는 대로 수행할 수 있는 무료 고삐를 제공합니다.

어떻게 받아 들여졌습니까?

FalseGuide와 같은 앱의 문제는 무해한 앱으로 위장한 후 설치된 후 악성 앱이 된다는 것입니다. 이는 기본 앱에 악성 코드가 없는지 확인하여 수행됩니다. 이는 “이동통신사 앱”이 멀웨어가 감지되지 않은 상태로 Google Play 심사를 통과함을 의미합니다.

오랫동안 기기에 설치한 후에야 Firebase를 통해 지침을 받습니다. 그런 다음 이러한 지침은 맬웨어가 작동하는 데 필요한 악성 코드를 앱에 제공합니다. 이를 통해 FalseGuide와 같은 봇넷이 엄격한 맬웨어 방지 탐지를 통과하면서 Google Play에서 자신을 확립할 수 있습니다.

앞으로 나아가 다

Google의 코 아래에 봇넷이 설치된 후 사용자로서 이러한 공격을 피하기 위해 무엇을 할 수 있습니까?

먼저, 휴대폰이 FalseGuide에 감염된 것으로 의심되는 경우 신뢰할 수 있는 Android용 바이러스 백신 솔루션을 다운로드하고 실행해야 합니다. 무엇이 안전하고 안전하지 않은지 확신이 서지 않는 경우 권장되는 바이러스 백신 앱 목록을 실행했습니다.

감염 여부에 관계없이 이 이야기는 Android 기기에 주의를 기울여야 한다는 것을 상기시켜 줍니다. Google Play는 앱을 다운로드하기에 가장 안전한 곳이지만 완벽하지는 않습니다. 항상 “장치 권한” 팝업을 읽고 앱이 해서는 안 되는 곳으로 이동하도록 요청하지 않는지 확인하세요. 간단한 앱이 휴대전화의 중요한 영역에 대한 권한을 요청하기 시작하면 설치하지 마세요.

잘못된 사용자

2백만 대 이상의 기기가 감염되어 있는 FalseGuide는 앱이 공식 앱 스토어에 있다는 이유만으로 앱이 100% 안전하다고 가정하지 않는 방법에 대한 경고입니다. 이제 FalseGuide의 작동 방식, 확산 방법, 향후 유사한 공격을 방지하는 방법을 알게 되었습니다.

공식 앱 스토어의 앱에 감염된 적이 있습니까? 댓글로 여러분의 이야기를 들려주세요!

사이먼 배트

Simon Batt는 사이버 보안에 대한 열정을 가진 컴퓨터 과학 졸업생입니다.