얼마 전 TeamCR@K 팀원 스마트폰으로 한 통의 문자 메시지가 왔습니다.
누가 봐도 문자 메시지 피싱(SMS phsing, 스미싱) 공격이라는 것을 알 수 있는 쿠폰 문자 메시지가 한 통 도착 하였습니다.
[그림1] 스미싱 공격 문자메시지 수신
URL을 접속하면 해당 apk 파일을 다운로드 하게 됩니다.
해당 apk 파일을 APKinspector를 이용하여 어떤 동작을 하는지 살펴보도록 하겠습니다.
APKinspector는 python으로 작성된 The Honeynet Project중 하나인 GUI 툴입니다.
APKinspector Download: https://github.com/honeynet/apkinspector/
우선 설치를 위해서 Ubuntu 11.10 버전을 설치합니다.
[그림2] 설치 시 버전 요구
Ubuntu 11.10에서 APKinspector를 다운로드 후 install.sh로 필요한 python 패키지를 설치합니다.
[그림3] 패키지 설치
APKinspector 실행 시 다음과 같은 에러메시지를 볼 수 있습니다.
$ python startQT.py Traceback (most recent call last): File "startQT.py", line 18, in <module> from GetMethods import * File "/home/dev/Desktop/apkinspector/GetMethods.py", line 20, in <module> import androguard, analysis, androlyze File "/home/dev/Desktop/apkinspector/androguard/androlyze.py", line 35, in <module> import IPython.ipapi ImportError: No module named ipapi |
iPython 패키지가 업데이트 되면서 모듈위치가 바뀌어서 위와 같은 에러메시지가 나오게 됩니다.
버전에 맞도록 아래 사이트에서 iPython 모듈을 다운로드 후 설치합니다.
iPython Download: http://archive.ipython.org/release/0.10.2/
설치가 완료되었다면 python startQT.py 를 실행하여 APKinspector를 실행합니다.
[그림4] 악성 어플리케이션 오픈
[그림5] 디바이스 권한 확인
프로그램 실행 시 해당 어플리케이션이 문자메시지 권한을 요청하는 경고 창을 볼 수 있습니다.
통화핸들링 접근이나 혹은 녹음기능 권한을 요청하는 어플리케이션을 불러올 시 같은 경고 창을 볼 수 있습니다.
[그림6] Proguard 난독화 적용 확인
Proguard 적용으로 난독화 되어있는 것을 확인할 수 있습니다.
원하는 메소드를 더블클릭 하게 되면 그래픽컬한 화면을 볼 수 있습니다.
[그림7] CFG 확인
Dalvik byte code단위로 흐름도를 한눈에 볼 수 있습니다.
해당 코드를 선택 후 Space bar를 누르면 Dalvik byte code로 이동하게 됩니다.
[그림8] Dalvik byte code 확인
반대로 오른쪽 마우스버튼으로 goto CFG 메뉴로 흐름도를 볼 수 있습니다.
[그림8] Permission 확인
주요 권한을 요청 시 어느 Method에서 호출하는지 확인 할 수 있습니다.
[그림9] 어플리케이션 설치 시 권한 확인
어플리케이션 설치 시 요청하는 권한들을 살펴보면 다음과 같습니다.
주요 요청 권한을 살펴보면 스마트폰 시작 시 백그라운드 서비스로 동작되며 문자 메시지 전송, 확인 등 해당 어플리케이션에서 사용하는 권한들은 아래 사이트에서 살펴 볼 수 있습니다.
권한확인: http://developer.android.com/reference/android/Manifest.permission.html
어플리케이션의 동작을 smali 코드 단위로 살펴보면 유포자의 서버를 확인 할 수 있습니다.
[그림10] smali code 확인
전송되는 서버 주소를 확인 할 수 있습니다.
[그림11] 서버주소 확인
현재 해당 서버가 운영 중에 있음을 확인하였습니다.
[그림12] 서버주소 decoding
토르 브라우저를 이용하여 해당 서버를 접속하였습니다.
[그림13] 공격자 서버 접속
이상 APKinspector 를 이용하여 APK 동작부분을 간단히 살펴 보았습니다.
APKinspector를 이용하여 악성 어플리케이션으로 의심되는 어플리케이션의 동작을 간단하게 살펴 볼 수 있습니다.
