FireScam 모바일 맬웨어

FireScam이라는 새롭게 식별된 안드로이드 위협이 발견되었습니다. Telegram 메시징 앱의 강화된 버전으로 위장합니다. 이 사기성 전술을 통해 위협적인 소프트웨어는 민감한 사용자 데이터를 추출하고 손상된 장치에 대한 지속적인 원격 액세스를 유지할 수 있습니다.

영리한 변장: 가짜 텔레그램 프리미엄 애플리케이션

FireScam은 위조된 'Telegram Premium' 애플리케이션의 모습으로 배포됩니다. GitHub.io에 호스팅된 피싱 웹사이트를 통해 확산되며, RuStore(러시아의 유명한 앱 마켓플레이스)로 거짓으로 표시합니다. 보안 분석가들은 이 모바일 위협을 복잡하고 적응력이 뛰어나다고 설명합니다. 설치되면 광범위한 감시를 용이하게 하는 드로퍼 APK로 시작하는 다단계 감염 프로세스를 따릅니다.

사기 사이트인 rustore-apk.github.io는 RuStore의 인터페이스를 모방하여 사용자를 속여 'GetAppsRu.apk'라는 드로퍼 APK 파일을 다운로드하도록 설계되었습니다.

FireScam 공격에서 Dropper의 역할

설치 후, 드로퍼는 기본 페이로드에 대한 전달 메커니즘 역할을 합니다. 이 핵심 구성 요소는 메시지, 알림, 애플리케이션 데이터와 같은 민감한 정보를 수집하여 Firebase 실시간 데이터베이스로 전송하는 역할을 합니다.

제어를 강화하기 위해 드로퍼는 여러 가지 권한을 요청하는데, 여기에는 외부 저장소에 대한 접근 권한과 Android 8 이상을 실행하는 기기에 애플리케이션을 설치, 업데이트, 제거하는 권한이 포함됩니다.

FireScam의 특히 우려되는 측면은 ENFORCE_UPDATE_OWNERSHIP 권한의 악용입니다. 이 Android 기능을 사용하면 애플리케이션의 원래 설치 관리자가 '업데이트 소유자'가 될 수 있으므로 지정된 소유자만 업데이트를 시작할 수 있습니다. FireScam은 이 메커니즘을 활용하여 다른 소스의 합법적인 업데이트를 차단하여 감염된 기기에 계속 존재하도록 할 수 있습니다.

고급 회피 및 감시 기능

FireScam은 탐지 및 분석에 저항하기 위해 난독화 기술을 사용합니다. 들어오는 알림, 화면 상태의 변화, 사용자 활동, 클립보드 콘텐츠, 심지어 온라인 거래까지 적극적으로 모니터링합니다. 이 위협은 또한 원격 서버에서 이미지를 다운로드하고 처리할 수 있어 감시 기능에 또 다른 계층을 추가합니다.

악성 Telegram Premium 앱은 실행 시 사용자의 연락처, 통화 기록, SMS 메시지에 대한 접근 권한을 요청합니다. 그런 다음 WebView를 통해 공식 Telegram 웹사이트를 미러링하는 로그인 페이지를 표시하여 사용자 자격 증명을 캡처하려고 시도합니다. 그러나 사용자가 로그인 세부 정보를 입력하지 않아도 데이터 수집 프로세스가 트리거됩니다.

지속적인 원격 액세스 유지

FireScam의 더욱 교활한 기능 중 하나는 Firebase Cloud Messaging(FCM) 알림에 등록하는 기능입니다. 이를 통해 위협은 원격 지침을 받고 장치에 대한 지속적인 은밀한 액세스를 유지할 수 있습니다. 또한 명령 및 제어(C2) 서버와 WebSocket 연결을 설정하여 데이터 도난을 용이하게 하고 추가적인 안전하지 않은 작업을 실행합니다.

기타 유해 성분 및 답변되지 않은 질문

연구원들은 또한 피싱 도메인에 호스팅된 또 다른 유해한 아티팩트인 'CDEK'를 식별했습니다. 이 이름은 러시아 물류 및 패키지 추적 서비스를 참조하는 것으로 보이며, FireScam만을 넘어서는 더 광범위한 악성 활동을 시사합니다.

이 작전의 배후에 누가 있는지, 그리고 사용자가 어떻게 이러한 피싱 링크로 유도되는지는 여전히 불분명합니다. 잠재적인 전술에는 SMS 피싱(스미싱) 또는 멀버타이징 캠페인이 포함될 수 있습니다. RuStore와 같은 합법적인 서비스를 모방하여 이러한 사기성 웹사이트는 사용자 신뢰를 조작하여 개인이 사기성 애플리케이션을 다운로드하도록 설득합니다.

FireScam이 데이터를 빼내고 감시를 수행하는 능력은 피싱 중심의 배포 방법과 관련된 위험을 강조합니다. 이 사례는 소셜 엔지니어링과 잘 알려진 플랫폼에 대한 신뢰를 악용하는 위협으로부터 Android 사용자를 보호하는 데 있어 지속적인 과제를 강조합니다.