2022-06-03 Fri

1. 10억 다운로드 금융앱을 노리는 상위 10가지 안드로이드 뱅킹 트로이 목마

Reference: https://www.bleepingcomputer.com/news/security/top-10-android-banking-trojans-target-apps-with-1-billion-downloads/

가장 자주 발생하는 10개의 안드로이드 뱅킹 트로이 목마가 구글 플레이 스토어에서 10억 건 이상의 다운로드가 있는 639개의 금융 앱을 타겟으로 하고 있다. 이러한 트로이 목마는 생산성 도구나 게임 같은 앱으로 위장하여 플레이 스토어에 업로드된다. 기기가 감염이 되면 정상적인 뱅킹 앱 위에 가짜 로그인 페이지를 오버레이하여 계정 자격증명을 탈취하고, OTP를 탈취하기 위한 알림도 모니터링 하며 서비스를 남용한다.

미국은 가장 많은 타겟을 가지고 있으며(121개) 영국 55개, 이탈리아 43개, 터키 34개, 호주 33개, 프랑스 31개 순이다. 가장 많은 뱅킹앱을 타겟으로 하는 트로이 목마는 Teabot 이며(639개 중 410개), Exbot 은 324개의 애플리케이션을 타겟으로 한다.

Top 10 트로이목마

1. BianLian
   • Binance, BBVA과 터키의 앱들을 타겟으로 한다. 22년 4월에 발견된 버전은 phtoTAN을 우회를 특징으로 한다.
2. Cabassous
   • Barclays, CommBank, Halifax, Lloys, Santander을 타겟으로 한다. 도메인 생성 알고리즘(DGA)을 사용해서 탐지나 게시 중단을 회피한다.
3. Coper
   • BBVA, Caixa Bank, CommBank, Santander을 타겟으로 한다. 장비 배터리 최적화의 허용 리스트를 모니터링 하여 제한이 되지 않게 수정한다.
4. EventBot
   • Barclays, Intensa, BancoPosta와 이탈리아 앱들을 타겟으로 한다. MS 워드나 Adobe Flash로 숨기며 원격 소스에서 새로운 악성코드 모듈을 다운로드 받을 수 있다.
5. Exobot
   • PayPal, Binance, Cash App, Barclays, BBVA, CaixaBank를 타겟으로 한다. 공유 시스템 라이브러리를 사용하며 필요시에만 C2에서 오버레이를 가져오기에 경량화 되어있다.
6. FlueBot
   • BBVA, Caixa, Santander과 스페인 앱을 타겟으로 한다. SMS와 연락처 목록을 통해 빠르게 배포한다.
7. Medusa
   • BBVA, CaixaBank, Ziraat와 다양한 터키 앱을 타겟으로 한다. 접근성 서비스를 남용한다.
8. Sharkbot
   • Binance, BBVA, Coinbase를 타겟으로 한다. 강력한 C2 통신 암호화와 다양한 탐지 회피 및 삭제 방지 기능이 있다.
9. Teabot
   • PhonePe, Binance, Barclays, Crypto.com, Postepay, Bank of America, Capital One, Citi Mobile, Coinbase를 타겟으로 한다. 각 앱에 대한 특별한 키로거를 제공하며 사용자가 앱을 실행할 때 로드한다.
10. Xenomorph
    • BBVA와 다양한 EU 기반 앱을 타겟으로 한다. 감염된 기기에서 추가 악성코드를 가져오는 dropper 역할도 가능하다.