전 세계적인 암호화폐 열풍은 혁신과 악용이라는 두 가지 문제를 동시에 야기했습니다. 많은 사람들이 합법적으로 디지털 금을 추구하는 반면, 사이버 범죄자들은 기기를 해킹하여 은밀하게 암호화폐를 채굴합니다. 최근, 유명 은행을 사칭한 피싱 웹사이트가 가짜 안드로이드 앱을 배포하는 사례를 발견했습니다. 이 앱은 실제 은행 앱처럼 작동하지는 않지만, 은행의 이름과 아이콘을 사용하여 사용자를 속입니다. 앱은 사용자 기기의 정보를 도용하여 암호화폐를 채굴하고 불법적인 이득을 취하고 있습니다.
암호화폐 채굴(또는 크립토 마이닝)은 컴퓨팅 파워를 사용하여 블록체인 네트워크에서 거래를 검증하고 기록합니다. 그 대가로 채굴자는 새로운 암호화폐 코인을 보상으로 받습니다.
이 과정은 상당한 CPU 또는 GPU 리소스를 필요로 하는 복잡한 수학 퍼즐을 푸는 것을 포함합니다. 대규모 채굴자들은 최대 효율을 위해 고성능 GPU 또는 ASIC이 장착된 강력한 채굴 장비를 사용하는 경우가 많지만, 개인 사용자도 PC나 스마트폰과 같은 개인 기기를 사용하여 합법적으로 암호화폐를 채굴할 수 있습니다.
암호화폐 채굴과 관련된 Google Play 스토어 정책으로 인해, 기기 내 채굴을 수행하는 합법적인 앱조차도 Play 스토어에 게시될 수 없습니다. 따라서 사용자들은 타사 소스나 비공식 앱 스토어에서 이러한 채굴 앱을 설치하는 경우가 많아, 합법적인 앱처럼 위장한 악성 앱이나 손상된 앱에 감염될 위험이 커집니다.
위협 행위자들은 이러한 상황을 악용하여 타사 스토어와 웹사이트에 가짜 앱을 유포합니다. 이러한 악성 앱에는 암호화폐 채굴 코드가 내장되어 있어, 공격자는 피해자의 기기를 몰래 사용하여 암호화폐를 채굴하여 이익을 취할 수 있습니다.
여기서 합법적인 암호화폐 채굴 앱이란 채굴 활동을 공개하고, 사용자 동의를 얻으며, 채굴 수익이 사용자에게 직접 전달되도록 보장하는 앱을 말합니다. 이와 대조적으로, 암호 화폐 채굴 악성코드( 크립토재커 )는 사용자 의 허가 없이 몰래 채굴을 진행하고, 기기 리소스를 탈취하여 공격자가 모든 수익을 가져갑니다.
안드로이드 기기에 설치된 채굴 맬웨어(크립토재커)의 영향은 무엇인가?
- 배터리 소모: 채굴 과정에는 지속적이고 집중적인 CPU 사용이 수반되므로 배터리가 빠르게 소모됩니다.
- 과열: 지속적인 계산으로 인해 과도한 열이 발생하여 장치의 온도가 크게 상승합니다.
- 잠재적인 하드웨어 손상: 장기간의 과열과 스트레스로 인해 배터리, CPU, 마더보드와 같은 내부 구성 요소가 돌이킬 수 없는 손상을 입을 수 있습니다.
- 높은 데이터 사용량: 암호화폐 채굴 애플리케이션은 채굴 풀과 자주 통신하여 예상치 못한 데이터 사용량이 발생합니다.
- 성능 지연: 앱이 처리 능력을 소모하여 기기가 느리거나, 지연되거나, 응답하지 않습니다.
최근 사례에서 피싱 사이트(getxapp[.]in)는 Axis Bank를 사칭하여 " Axis Card " 라는 가짜 애플리케이션을 호스팅합니다. 악성코드 제작자는 백그라운드에서 암호화폐 채굴을 수행하기 위해 XMRig를 심어 놓았습니다 . XMRig는 모네로(Monero) 및 기타 암호화폐를 채굴하도록 설계된 오픈 소스 암호화폐 채굴 소프트웨어입니다.
그림 2는 이 캠페인의 공격 흐름을 보여줍니다. 사용자는 처음에 피싱 사이트나 WhatsApp과 같은 소셜 미디어 플랫폼을 통해 악성 코드가 포함된 애플리케이션을 다운로드합니다. 앱이 실행되면 가짜 업데이트 화면이 표시되지만 실제 기능은 제공되지 않아 사용자는 이를 무시하게 됩니다.
하지만 백그라운드에서 악성코드는 기기의 상태, 특히 배터리 잔량과 화면 잠금 상태를 모니터링하기 시작합니다. 기기가 잠기면 악성 앱은 암호화된 .so 페이로드를 자동으로 다운로드하고 복호화한 후 암호화폐 채굴 활동을 시작합니다.
사용자가 기기 잠금을 해제하면 채굴 프로세스가 즉시 중단되고, 악성코드는 모니터링 단계로 돌아가 다음 잠금 이벤트를 기다립니다. 이러한 잠금-해제 루프는 채굴자가 은밀하고 지속적으로 작동할 수 있도록 합니다. 시간이 지남에 따라 이러한 장시간 백그라운드 채굴은 기기의 과도한 열, 배터리 소모, 그리고 영구적인 하드웨어 손상으로 이어질 수 있습니다.
기술 분석 :
그림 3은 이 가짜 웹사이트에 호스팅된 맬웨어 애플리케이션의 세부 정보를 보여줍니다.
그림 4는 애플리케이션이 매니페스트 파일에 선언한 권한을 강조하여 보여줍니다. 일반적으로 안드로이드 채굴 애플리케이션은 android.permission.INTERNET 권한만 필요로 합니다. 이 권한은 원격 채굴 서버에 연결하고 네트워크를 통해 작업을 수행할 수 있도록 허용하기 때문입니다. 이 권한은 더 이상 위험 권한으로 분류되지 않으며, 명시적인 사용자 동의 없이 안드로이드 시스템에서 자동으로 부여됩니다.
많은 채굴 앱은 기기가 절전 모드로 전환되지 않도록 WAKE_LOCK 권한을 요청하여 화면이 꺼져 있어도 채굴 활동이 중단되지 않도록 합니다. 또한, 채굴 앱은 android.intent.action.BOOT_COMPLETED 브로드캐스트를 사용하여 기기 재부팅 후 자동으로 재시작하여 지속성을 유지하는 경우가 많습니다.
이 경우, 해당 애플리케이션은 몇 가지 의심스러운 권한과 함께 인터넷 권한을 요청합니다.
악성코드 실행
앱은 백그라운드 실행 권한을 요청하는 것으로 시작하는데, 이는 채굴 작업에서 사용자 상호 작용 없이 활성 상태를 유지하기 위해 흔히 악용되는 방식입니다. 그런 다음 새로운 기능이 추가되었다고 주장하는 가짜 업데이트 화면과 눈에 띄는 업데이트 버튼을 표시합니다. 버튼을 클릭하면 설치 메시지가 표시되지만, 아무것도 설치되지 않고 설치 프로그램이 만료되었다는 메시지로 끝납니다. 흥미롭게도, 앱은 REQUEST_INSTALL_PACKAGES 권한을 선언하여 다른 APK를 설치하려는 것처럼 보입니다. 그러나 실제 설치는 이루어지지 않아, 전체 업데이트 흐름이 사기 또는 리디렉션을 위해 조작되었을 가능성이 높습니다.
백그라운드에서 맬웨어는 여러 하드코딩된 URL 중 하나에서 악성 바이너리를 반복적으로 다운로드하려고 시도합니다. 이 URL은 GitHub, Cloudflare Pages, 그리고 사용자 지정 도메인(uasecurity[.]org)과 같은 플랫폼을 가리키며, 이 모든 플랫폼은 채굴 페이로드를 호스팅하는 데 사용됩니다. 그림 6은 이러한 동작을 보여줍니다.
그림 7은 채굴 페이로드 libmine-arm32.so와 libmine-arm64.so를 호스팅하는 데 사용되는 GitHub 저장소 hxxps[:]//github[.]com/backend-url-provider/access의 스크린샷을 보여줍니다. 두 파일 모두 정적 탐지를 피하고 분석을 방해하기 위해 암호화되어 있습니다.
맬웨어는 먼저 AES 알고리즘을 사용하여 다운로드된 바이너리를 복호화합니다(그림 8). 다음 단계(그림 9)에서 복호화된 바이너리는 앱의 개인 저장소에 있는 d-miner라는 파일에 기록됩니다. 기록이 완료되면 해당 파일은 실행 파일로 표시됩니다.
암호화된 페이로드를 검색하기 위해 맞춤형 Java 기반 복호화 방법이 사용되었습니다. 그림 10은 생성된 .so 파일이 XMRig의 Android 빌드를 기반으로 하거나 직접 파생되었음을 보여줍니다. 추출된 문자열은 내부 구성 경로, 사용 지침, 버전 정보 및 채굴 관련 URL을 참조합니다. 이러한 아티팩트는 이 네이티브 라이브러리의 주요 목적이 CPU 기반 암호화폐 채굴임을 명확히 보여줍니다.
그림 11은 XMRig 마이너 실행에 필요한 명령줄 인수를 생성하는 NMuU8KNchX5bP8Oy() 메서드를 보여줍니다. 이 메서드는 pool.uasecurity.org:9000에 있는 Monero 채굴 풀에 직접 연결하거나, 가용성에 따라 pool-proxy.uasecurity.org:9000에 있는 프록시 풀에 연결하려고 시도합니다.
작업 풀 엔드포인트를 확인한 후, 이 메서드는 다음 구성을 사용하여 XMRig 마이너를 시작하는 데 사용되는 명령줄 인수 배열을 구성하고 반환합니다.
- -영형 : 마이닝 풀 엔드포인트(직접 또는 프록시)
- -k: Keepalive 플래그
- –tls: TLS 암호화를 활성화합니다.
- -유 : 채굴된 코인이 전송되는 Monero 지갑 주소
- –coin monero: 코인을 지정합니다.
- -피 : 현재 날짜와 UUID를 사용하여 생성합니다.
- –nicehash: NiceHash 호환성을 위해 채굴 전략을 조정합니다.
그림 12에 표시된 코드는 d-miner 실행이 시작되는 방식을 보여줍니다. 먼저 NMuU8KNchX5bP8Oy()를 호출하여 인수를 가져옵니다. 둘째, d-miner 파일 경로를 가져옵니다. 마지막으로, 검색된 인수와 파일 경로를 사용하여 d-miner를 실행합니다.
다음 코드 조각은 맬웨어가 생성한 report.txt 파일을 업로드하는 역할을 합니다. 이 파일은 XMRig 채굴 프로세스의 stdout 출력을 캡처하여 채굴자의 실행 및 활동에 대한 정보를 제공합니다.
Logcat이 전체 그림을 공개합니다:
맬웨어 제작자는 애플리케이션이 수행하는 모든 동작을 표준 출력(stdout) 데이터를 마이닝 풀로 전송하면서 기록했으며, 이를 통해 Logcat은 맬웨어의 전체적인 동작을 이해하는 데 귀중한 소스가 되었습니다.
주기적 장치 모니터링:
앱 실행 시, 앱은 5초마다 배터리 잔량, 충전 상태, 최근 설치 앱 상태, 그리고 기기 잠금 여부를 확인합니다. (그림 14 참조)
장치 잠금 시 채굴이 트리거됨:
기기가 잠기는 즉시(즉, isDeviceLocked가 true가 되면) 악성 프로그램은 채굴 프로세스를 시작합니다. 악성 프로그램은 TLS를 통해 모네로 채굴 풀(pool.uasecurity.org)에 연결하고 RandomX 알고리즘을 사용하는 채굴 작업을 수신합니다. 그런 다음 약 2.3GB의 RAM을 할당하고 8개의 CPU 스레드를 사용하여 채굴을 시작합니다. (그림 15 참조)
기기 잠금 해제 시 채굴 중지:
기기의 잠금이 해제되는 즉시 악성 프로그램은 채굴 활동을 중단하고 모니터링 상태로 전환됩니다. (그림 16 참조)
장치 잠금 시 채굴 재개:
기기가 다시 잠기면 악성 프로그램은 채굴 활동을 재개합니다. (그림 17 참조)
장치에 미치는 영향
이 맬웨어는 많은 CPU와 메모리 리소스를 소모하여 장치에 상당한 부담을 주고, 과열과 성능 저하를 초래합니다.
top 명령어 출력 결과는 d-miner 프로세스가 앱 사용자(u0_a606) 권한으로 실행 중이며, CPU 사용률이 746% 이상, 메모리 사용률이 27.5%에 달함을 명확히 보여줍니다. (그림 18 참조) 이는 백그라운드에서 지속적인 암호화폐 채굴 활동이 진행되고 있으며, 이로 인해 기기 성능에 심각한 영향을 미치고 있음을 확인시켜 줍니다.
그림 19는 휴대폰이 잠금 상태인 동안 30분 동안 기기 온도가 32.0°C에서 45.0°C로 꾸준히 상승하는 모습을 보여줍니다. 이러한 점진적인 상승은 채굴기가 백그라운드에서 계속 작동하여 기기가 유휴 상태일 때에도 지속적인 CPU 사용량과 비정상적인 열 발생을 유발하고 있음을 보여줍니다.
장시간 사용하면 기기의 하드웨어나 배터리가 손상될 수 있으며, 주의하지 않고 방치하면 안전에 위험을 초래할 수 있습니다.
MITRE ATT&CK 전술 및 기술:
안드로이드 악성코드 빠른 치료 탐지
Quick Heal은 Android.Dminer.A 변형을 사용하는 이러한 악성 애플리케이션을 감지합니다.
모바일 사용자라면 누구나 "퀵힐 모바일 보안 for 안드로이드"와 같은 신뢰할 수 있는 백신 프로그램을 설치하여 이러한 위협을 완화하고 안전하게 보호받을 것을 권장합니다. 저희 백신 소프트웨어는 사용자가 악성 애플리케이션을 모바일 기기에 다운로드하지 못하도록 차단합니다. 지금 바로 안드로이드 보호 프로그램을 다운로드하세요!
결론 :
이 캠페인은 위협 행위자들이 Axis Bank와 같은 신뢰할 수 있는 은행 이름을 악용하여 피싱 사이트를 통해 악성코드를 유포하는 방식을 보여줍니다. 이 악성코드는 백그라운드에서 조용히 실행되는 암호화폐 채굴 프로그램인 XMRig를 내장하여 과도한 CPU 사용량, 비정상적인 발열, 그리고 장기적인 하드웨어 손상을 유발합니다. 피싱 사이트 외에도 이러한 악성코드는 소셜 미디어 플랫폼을 통해서도 확산될 수 있으며, 사용자를 속이기 위해 익숙하거나 신뢰할 수 있는 이름으로 위장하는 경우가 많습니다. 이는 이러한 위협으로부터 보호하기 위한 사용자 인식, 신중한 앱 설치, 그리고 강력한 모바일 보안 솔루션의 중요성을 다시 한번 강조합니다.
IOC:
URL :
hxxps:// getxapp[.]in
hxxps:// 액세서.페이지[.]dev
hxxps://uasecurity[.]org/
hxxps://github[.]com/백엔드-URL-제공자/액세스/원시/참조/헤드/메인/
마이닝 풀 도메인:
Pool.uasecurity[.]org
pool-proxy.uasecurity[.]org
지갑 주소 : 44DhRjPJrQeNDqomajQjBvdD39UiQvoeh67ABYSWMZWEWKCB3Tzhvtw2jB9KC3UARF1gsBuhvEoNEd2qSDz76BYEPYNuPKD
디지털 보안을 유지하기 위한 팁:
- 다음과 같은 신뢰할 수 있는 출처에서만 애플리케이션을 다운로드하세요. 구글 Play 스토어.
- 메시지나 다른 소셜 미디어 플랫폼을 통해 받은 링크는 의도적이든 무심코든 악성 사이트로 연결될 수 있으므로 클릭하지 마세요.
- 새로운 권한을 수락하거나 허용하기 전에 Android 시스템에서 받은 팝업 메시지를 읽어보세요.
- 악성 소프트웨어 제작자는 원래 애플리케이션의 이름, 아이콘, 개발자 세부 정보를 쉽게 위조할 수 있으므로 휴대폰에 어떤 애플리케이션을 다운로드할지 매우 신중해야 합니다.
- 휴대폰을 더욱 안전하게 보호하려면 항상 다음과 같은 우수한 바이러스 백신을 사용하세요. Android용 Quick Heal 모바일 보안.
망설이지 마세요! 지금 바로 Quick Heal Total Security for Mobiles & Smartphones로 스마트폰을 안전하게 보호하세요 – 지금 구매 또는 갱신하세요!
