스마트폰을 초기화도 해도 지울 수 없는 Android용 악성코드 'Chrysaor'

Google은 3일 새로 발견된 스파이웨어 'Chrysaor'에 대한 세부사항을 공개했다. Android에서 동작하며 단말기의 초기화로도 제거가 불가능하고, 은닉을 위해 특정 조건하에서는 스파이웨어 자체가 삭제되는 등 세심한 설계가 특징.

Google에 따르면, 이것은 이스라엘의 기업 NSO Group Technologies가 사이버 무기로 개발한 것일 가능성이 높다. 표적 공격에 사용되는 것으로, 현재는 소수의 단말기 감염이 확인된듯하다.

Chrysaor는 감염된 단말기의 감시와 SMS, 통화기록, 메시지 등의 정보를 수집하는 한편, 키 로깅 기능과 백그라운드에서 공격자와의 통화로 실내를 도청하는 기능까지 갖춘 스파이웨어. 취약점을 이용하여 부정하게 관리자 권한을 획득하여 샌드박스를 해제하고 활동한다. 또한 시스템 파티션에 설치되기 때문에 단말기의 초기화를 실행해도 제거할 수 없다.

존재를 은닉하기 위해서인지 Chrysaor에는 자기 소거 기능도 갖추어져 있는데, 공격자가 제공한 서버와 60일 이상의 통신을 설정할 수 없거나 공격자의 지시에 개발자가 제공한 것으로 보이는 '해독제 파일'이 정해진 디렉토리에 존재하는 경우에 이 기능이 발동한다.

Chrysaor는 과거에도 Google Play에 존재했던 흔적은 없고, 표적 공격에 사용되는 스파이웨어이기에 대부분의 사용자는 위험에 노출될 우려는 없다. Google이 14억 대 중 수십 대의 감염만을 확인한 이유이다.

Google은 대책으로서, Google Play와 같은 신뢰할 수 있는 소스에서 소프트웨어를 설치하거나 단말기 암호나 PIN, 패턴잠금을 공고히 하고 장치를 항상 최신 상태로 유지할 것 등을 권장하고 있다.

출처 참조 번역
Google Security Blog : An Investigation of Chrysaor Malware on Android (영문)
https://security.googleblog.com/2017/04/an-investigation-of-chrysaor-malware-on.html

An Investigation of Chrysaor Malware on Android