caption - 공격 개요도

2.1. 악성 앱 유포 경로

악성 앱 유포는 27.102.137[.]181 에서 배송 업체를 사칭한 QR 코드로 이뤄진 것을 확인하였다. 조사 중 발견된 4 개의 악성 앱 중 2 개가 배송 업체를 사칭하였는데, 과거 ESTSecurity의 보고서 사례에는 배송 업체를 사칭한 스미싱으로 피해자에게 악성 앱 유포 URL을 전송했다. 따라서 과거 사례와 유사하게 초기 접근에 스미싱 또는 피싱 이메일을 이용하였을 것으로 추정된다. 확인된 URL은 아래와 같다.

• hxxps://27.102.137[.]181/store/tracking.php?id=[base64 인코딩 된 이메일 주소]

• hxxps://27.102.137[.]181/store/delivery.html

caption - 모바일 접속 유도 QR코드

PC 환경에서 URL에 접속하면 “보안상의 이유로 PC에서는 조회할 수 없습니다.”라는 문구를 띄워 QR코드를 통해 스마트폰으로 접속하도록 유도한다. 분석 당시 QR코드와 연결된 경로가 서버에 존재하지 않아 정상적으로 접속되지는 않았다. QR코드 URL은 아래와 같다.

• hxxps://delivery.cjlogistics[.]kro[.]kr/loing/tracking.php?id=dGVzdEBuYXZlci5jb20=

User-Agent를 안드로이드 환경 값으로 설정해 URL에 접속하면 공격자가 설계한 유포 과정이 드러난다. tracking.php 파일 자체에 요청의 User-Agent에 따라 다른 사이트를 로드하는 기능이 포함된 것으로 보인다. 유포 과정에서 확인된 화면은 다음과 같다.

caption - 가짜 보안 검사 화면

caption - 보안 앱 설치 버튼

“보안앱 설치하기” 버튼을 클릭하면 Base64 인코딩된 URL로 접속해 APK를 다운로드 한다. 디코딩된 URL은 아래와 같다.

• hxxps://27.102.137[.]181/store/SecDelivery.APK

caption - 보안 앱 설치 루틴

APK 다운로드와 동시에 downcat.php로 접근 시간과 앱 URL 경로를 포함한 POST 요청을 보내 로그를 남긴다. 해당 루틴에서 “버튼 클릭시 로그 남기기”라는 한글 주석과 “로그 전송 실패”라는 한글 에러 메시지가 확인되었다.

caption - 로그 전송 루틴

2.2. 악성 앱 분석

2.2.1. SecDelivery.apk

caption - 보안배송확인 악성 앱 아이콘

SecDelivery.apk는 내부에 암호화된 APK 파일을 복호화 및 로드한 뒤, 악성 RAT 서비스를 생성하는 APK 파일이다. APK 서명의 유효 시작 시간은 2025년 5월 20일로, 공격자가 악성 앱을 제작하고 테스트 또는 공격에 사용한 시기는 이와 비슷할 것으로 추정된다. APK 서명 정보는 아래 표와 같다.

| **DN** | C=US, ST=bitapp, L=bitapp, O=bitapp, OU=bitapp, CN=bitapp |
| --- | --- |
| MD5 | 7d00a43872dcdd1174d3713e6bbf01ba |
| 유효 시작 시간 | Tue May 20 18:41:34 KST 2025

caption - APK 서명 정보

2.2.2. 리소스 복호화 & 서비스 생성

AndroidManifest.xml 파일에서 SplashActivity가 MAIN activity로 설정되어 있다. 앱 실행 시 SplashActivity에 의해 APK 내부에 암호화된 리소스가 로드되고, 악성 행위에 필요한 각종 권한을 획득한 뒤 악성 서비스를 등록한다.

caption - AndoridManifest.xml MAIN activity

암호화된 APK파일은 리소스 영역의 security.dat 파일로 저장되어 있다. 이전 “DOCSWAP”사례에서는 내부 APK 복호화 시 Java 코드 상에서 XOR을 수행하지만, 이번 사례의 경우 공격자가 추가한 네이티브 라이브러리를 이용한다.

loadPluginAPK 메소드는 암호화된 APK 파일인 security.dat 파일을 내부 저장소에 security.dat_copy 파일로 저장한 뒤 native-lib 라이브러리의 decryptFile 함수를 이용해 복호화한다.

caption - 내부 APK 로드 루틴

decryptFile 함수는 리소스 영역의 libnative-lib.so 파일을 추출해 직접 확인할 수 있다. decryptFile 함수 내에서 xorDecrypt 함수가 직접적인 복호화를 담당한다. 4바이트 key를 이용한 XOR 복호화만 수행했던 이전 사례와 달리, 약간의 비트 연산이 추가되었다.

xorDecrypt 함수의 알고리즘은 아래와 같다.

1. 바이트 데이터 비트 반전

2. 5비트 ROL 적용

3. 4바이트 key로 XOR

caption - 내부 APK 복호화 루틴

XOR에 사용되는 4 바이트 키는 아래와 같다.

• 541161FE (hex)

데이터 로드 이후에는 필요한 권한이 확보되었는지 확인한다. 필요한 권한이 모두 획득된 상태이면 곧바로 새로 로드한 APK 파일의 MainService를 “com.delivery.security.MainService” 서비스로 등록한다. AndroidManifest.xml에 등록된 앱의 권한은 아래와 같다.

    <uses-permission android:name="android.permission.LOCAL_MAC_ADDRESS"/>
    <uses-permission android:name="android.permission.FOREGROUND_SERVICE"/>
    <uses-permission android:name="android.permission.POST_NOTIFICATIONS"/>
    <uses-permission android:name="android.permission.READ_EXTERNAL_STORAGE"/>
    <uses-permission android:name="android.permission.MANAGE_EXTERNAL_STORAGE"/>
    <uses-permission android:name="android.permission.READ_PHONE_STATE"/>
    <uses-permission android:name="android.permission.READ_PRIVILEGED_PHONE_STATE"/>
    <uses-permission android:name="android.permission.SET_WALLPAPER"/>
    <uses-permission android:name="android.permission.START_FOREGROUND_SERVICES_FROM_BACKGROUND"/>
    <uses-permission android:name="android.permission.WRITE_EXTERNAL_STORAGE"/>
    <uses-permission android:name="android.permission.RECEIVE_BOOT_COMPLETED"/>
    <uses-permission android:name="android.permission.KILL_BACKGROUND_PROCESSES"/>
    <uses-permission android:name="android.permission.READ_SMS"/>
    <uses-permission android:name="android.permission.RECEIVE_SMS"/>
    <uses-permission android:name="android.permission.ACCESS_WIFI_STATE"/>
    <uses-permission android:name="android.permission.CHANGE_WIFI_STATE"/>
    <uses-permission android:name="android.permission.INTERNET"/>
    <uses-permission android:name="android.permission.REQUEST_INSTALL_PACKAGES"

서비스 등록과 동시에 기존 앱은 AuthActivity를 실행한다. AuthActivity는 OTP 인증 창으로 위장되어 있으며 배송 번호를 이용한 본인 확인이 진행된다. 배송 번호는 APK 내부에 “742938128549” 으로 하드코딩 되어 있으며, 초기 접근 시 악성 앱 유포 URL과 함께 전달되었을 것으로 추정된다. 배송 번호를 입력하면 ((int) (Math.random() * 900000.0d)) + 100000으로 계산된 6자리 인증 번호 알림이 표시된다.

caption - 가짜 인증 화면

발급된 인증 번호를 입력하면 MainActivity를 실행한다. MainActivity에선 WebView 설정 및 공식 배송 정보 조회 사이트로의 접속이 이루어진다.

caption - 공식 사이트 리다이렉션 루틴

2.2.3. 내부 APK & 악성 서비스

복호화된 APK 파일은 SecDelivery.apk와 다른 서명이 사용되었다. APK 서명의 유효 시작 시간이 2025년 4월 22일로 기록되어 있어 SecDelivery.apk 개발 전부터 공격에 사용되던 악성 APK임을 알 수 있다. APK 서명 정보는 아래 표와 같다.

| **DN** | C=US, O=Android, CN=Android Debug |
| --- | --- |
| MD5 | afb708faf1a66892a6e6cae9e63c6c2b |
| 유효 시작 시간 | Tue Apr 22 15:57:54 KST 2025

caption - APK 서명 정보

복호화된 security.dat에 포함된 MainService는 앞서 SplashActivity에 의해 서비스로 등록되어 반복 동작한다. 또한 아래 액션에 대한 인텐트 필터를 설정해 재부팅 뒤에도 자동으로 MainService를 실행한다.

• android.intent.action.BOOT_COMPLETED

• android.intent.action.ACTION_POWER_CONNECTED

• android.intent.action.ACTION_POWER_DISCONNECTED

Mainservice는 C&C 서버와 연결되어 인포스틸러 및 RAT 역할을 수행한다. RAT가 수행하는 명령은 총 57개로, 명령에 따른 동작은 부록에 “명령 목록”으로 첨부한다.

초기 C&C 서버는 유포 서버와 같은 IP인 27.102.137[.]181:50005 으로 설정되어 있으며, 서버와 통신 시 [ 길이 | Null | Gzip 압축된 payload ] 형태로 데이터를 주고 받는다.

caption - 데이터 전송 루틴

데이터 수신 시 [ 길이 | Null | 명령어 ] 구조로 명령어를 분리하고, 이를 파싱해 알맞은 동작을 수행한다. 명령어 파싱 시 구분자로 “10249” 문자열을 이용한다.

• “10256” | “10249” | “arg1” | “10249” | “arg2” → StartAudioRecord(arg1 , arg2 )

caption - 명령어 파싱 루틴

이외에도 접근성 서비스를 통한 키로깅 로직도 실행된다. 키로거는 접근성 이벤트 발생 시 발생한 앱의 아이콘, 패키지 이름, 이벤트 텍스트, 발생 시각을 기록한다. 앱 아이콘 파일은 PNG 파일로 압축된 뒤 Base64 인코딩 되어 키로그에 포함된다.

caption - 앱 아이콘 저장 루틴

기본적으로 작성한 키로그를 내부 저장소 file 경로의 ”/Security/download_[일-월-연도].dat” 경로에 저장한다. 명령에 의해 isOnelineKeylogger 변수가 True로 설정된 경우 작성된 키로그를 서버에 먼저 전송한 뒤 로컬에 저장한다.

caption - 실시간 키로깅 및 키로그 저장 루틴