CraxsRAT 모바일 악성코드

사이버 보안 전문가들이 CypherRAT 및 CraxsRAT로 알려진 원격 액세스 트로이 목마(RAT) 개발 책임자의 실제 신원을 밝혀낸 것으로 알려졌습니다.

온라인 별칭 'EVLF DEV'로 활동하며 지난 8년 동안 시리아에 기반을 둔 이 위협 행위자는 이 두 RAT를 다양한 위협 개체에 배포하여 75,000달러 이상을 벌어들인 것으로 추정됩니다. 또한 공개된 정보에는 이 개인이 MaaS(Malware-as-a-Service) 운영자로 활동하고 있음이 나와 있습니다.

지난 3년 동안 EVLF DEV는 더 해롭고 정교한 Android RAT 중 하나로 간주되는 CraxsRAT를 제공해 왔습니다. 이 RAT는 표면 웹 스토어에서 사용할 수 있으며 지금까지 약 100개의 평생 라이센스가 판매되었습니다.

CraxsRAT 안드로이드 악성코드는 고도로 맞춤화 가능합니다

CraxsRAT는 복잡하게 난독화된 패키지를 생성하여 악의적인 행위자가 WebView 페이지 삽입을 포함하여 의도된 공격 유형에 따라 콘텐츠를 맞춤화할 수 있는 유연성을 제공합니다. 위협 행위자는 장치 침투를 위한 앱 이름과 아이콘은 물론 악성 코드가 보유하게 될 특정 기능을 자유롭게 결정할 수 있습니다.

또한 이 빌더에는 탐지를 피하기 위해 최소한의 설치 권한으로 애플리케이션을 제작하는 빠른 설치 기능이 포함되어 있습니다. 그러나 설치 후에도 위협 행위자는 추가 권한 활성화를 요청할 수 있는 능력을 유지합니다.

이 트로이목마는 Android 접근성 서비스를 활용하여 키로깅, 터치스크린 조작, 자동 옵션 선택 등 다양한 기능을 얻습니다. CraxsRAT의 광범위한 기능에는 장치 화면 녹화 및 라이브 스트리밍과 같은 작업이 포함됩니다. 전화기의 마이크와 전면 및 후면 카메라를 사용하여 녹음을 획득하거나 실시간 감시에 참여할 수 있습니다. 트로이 목마는 지리적 위치를 통해 또는 실시간 움직임을 모니터링하여 침해된 장치의 위치를 추적할 수 있습니다. 결과적으로 피해자의 정확한 위치를 찾아내는 능력이 있다.

사이버 범죄자는 CraxsRAT가 감염된 장치에서 제거되지 않도록 하는 '슈퍼 모드' 옵션도 사용할 수 있습니다. 이는 앱 제거 시도가 감지될 때마다 충돌을 유발함으로써 달성됩니다.

CraxsRAT는 피해자의 민감한 개인 데이터를 훔칩니다.

CraxsRAT에는 애플리케이션 관리 기능도 탑재되어 있습니다. 여기에는 설치된 애플리케이션 목록 가져오기, 애플리케이션 활성화 또는 비활성화, 열기 또는 닫기, 삭제 등의 작업이 포함됩니다. 화면 제어 외에도 CraxsRAT에는 화면을 잠그거나 잠금 해제할 수 있는 기능이 있으며 화면을 어둡게 하여 악의적인 활동을 모호하게 할 수 있습니다. 이 악성코드는 파일 열기, 이동, 복사, 다운로드, 업로드, 암호화 및 복호화와 같은 파일 관리 작업으로 기능을 확장합니다.

CraxsRAT는 액세스된 웹사이트를 모니터링하고 특정 페이지를 열도록 강제하는 기능을 보유하고 있습니다. 이 RAT는 페이로드 자체를 다운로드 및 실행하거나 피해자가 강제로 열리는 악성 웹사이트를 통해 그렇게 하도록 속임으로써 감염 체인을 시작할 수 있습니다. 결과적으로 이론적으로 이 프로그램은 보다 전문화된 트로이 목마, 랜섬웨어 및 기타 형태의 맬웨어가 포함된 장치를 이식하는 데 활용될 수 있습니다.

CraxsRAT에는 새 연락처를 읽고 삭제하고 추가하여 휴대폰의 연락처를 조작할 수 있는 기능이 있습니다. 또한 위협적인 프로그램은 통화 기록(수신, 발신, 부재중 전화 포함) 검사, 전화 대화 녹음, 심지어 통화 시작에도 능숙합니다. 마찬가지로 트로이 목마는 SMS 메시지(보내고 받은 메시지와 초안 메시지 모두)에 액세스하여 보낼 수 있습니다. 전화 통화 및 문자 메시지와 관련된 이러한 기능을 통해 CraxsRAT는 통화 사기 악성 코드로 사용됩니다.

RAT는 클립보드에 저장된 콘텐츠(즉, 복사-붙여넣기 버퍼)에 액세스할 수 있습니다. CraxsRAT는 또한 다양한 계정과 로그인 자격 증명을 대상으로 합니다. 홍보 자료에 나열된 예로는 불특정 이메일, Facebook 및 Telegram 계정이 있습니다.

맬웨어 개발자는 종종 소프트웨어를 개선하며 CraxsRAT도 다르지 않다는 점을 강조하는 것이 중요합니다. 결과적으로 이러한 감염은 사용자 정의 가능한 특성으로 인해 다양성을 나타낼 뿐만 아니라 새로 통합된 기능의 도입으로 인해 변형도 나타납니다.