모바일 랜섬웨어 ‘심플로커’ 제거 방법
대부분의 악성코드는 금전 이득을 목적으로 제작된다. 지난 5월부터 꾸준히 발견되고 있는 모바일 랜섬웨어(Ransomeware) ‘심플로커(SimpleLocker)’도 스마트폰의 사진이나 동영상, 문서를 암호화해서 금전을 요구한다. 심플로커 악성코드에 대해 살펴보고 감염됐을 경우 제거 방법도 알아본다.
지난해 ASEC 블로그를 통해 안드로이드 랜섬웨어인 ‘ANDROID DEFENDER’에 다룬 바 있다. 해당 앱은 허위 감염 내용으로 금전 이득을 취하려는 내용이었다.
● ASEC BLOG : http://asec.ahnlab.com/974(안드로이드 랜섬웨어)
지난 5월부터 꾸준히 발견되고 있는 ‘심플로커’는 스마트폰의 파일을 암호화하고 이를 대가로 금전을 요구한다. 이와 같은 유형은 윈도(Windows) 기반의 랜섬웨어와 유사하다.
악성 앱이 사용한 아이콘 비교를 위해 몇 개의 아이콘을 확인했다. 사용자를 속이기 위해 안드로이드, iGO, 플래시 플레이어의 아이콘을 사용한 것으로 보인다.
[그림 1] 랜섬웨어의 아이콘
[그림 1]과 같이 악성 앱(iGO 아이콘)을 설치하는 과정에서 [그림 2]와 같은 권한과 휴대전화 관리자 권한을 요구한다. 앱을 설치하면 4PDA(iGO) 러시아 페이지를 보여준다.
[그림 2] SimpleLocker 설치 과정
휴대전화 관리자를 활성화하면 [그림 3]과 같이 페이지 소스를 볼 수 있다.
[그림 3] 4PDA 페이지 로딩 소스
악성 앱의 패키지명은 com.simplelocker이며 안드로이드 4.2 버전에 맞춰 제작됐다.
[표 1] 악성 앱 안드로이드 제작 버전
[그림 4] 악성 앱의 권한 정보
악성 앱 설치 후에는 스마트폰의 디바이스 정보(IMEI)를 전송한다.
[그림 5] 디바이스 정보 전송
실제 전송되는 패킷을 살펴보면 [그림 6]과 같다.
[그림 6] 디바이스 정보 전송 패킷
이후 스마트폰에 저장된 문서, 이미지, 동영상 파일을 ‘jddlasssadxc322323sf074hr’ 키 값으로 암호화한다. 또한 암호화한 파일에는 ‘.enc’라는 확장자를 추가하여 저장하고 원본 파일은 삭제한다. 암호화 대상 파일은 ‘jpeg, jpg, png, bmp, gif, pdf, doc, docx, txt, avi, mkv, 3gp, mp4’이다.
[그림 7] 암호화 대상 파일 목록
암호화된 파일은 [그림 8]과 같이 확장자가 추가됐다. 일반적으로 이미지(사진) 파일은 갤러리 앱으로 보게 된다. [그림 8]과 같이 암호화되면 사진 목록에서 확인할 수 없다.
[그림 8] 암호화된 파일
추가로 플래시 플레이어 아이콘으로 위장하고 com.common.weather라는 패키지명을 사용하는 랜섬웨어 악성 앱의 증상을 살펴보겠다. 스마트폰의 기기모델명, IMEI, 전화번호, 국가 정보를 가져와 첫 화면에 표시하고 불법 저작권과 관리법을 위반해서 벌금을 내라는 내용이다. 벌금을 내지 않으면 2~8년 동안 자유를 박탈하겠다고 협박한다.
[그림 9] 랜섬웨어 악성 앱 설치 화면
[그림 9]를 보면 설명이 장황하지만 ‘FBI, pornography, card with $500’ 등 랜섬웨어에 자주 등장하는 단어들이 보인다. 요약하면 잠긴 스마트폰을 풀고, 파일을 복호화하려면 $500를 입금하고 입금이 확인되면 미국 재무부에서 24시간 안에 차단을 해제해 주겠다는 내용이다.
[그림 10] FBI를 사칭한 협박과 금전 요구
[그림 10]과 같이 화면 중간에 스마트폰 사용자가 보이도록 카메라를 설정하고 자신을 범죄자처럼 묘사하고 있다.
“Your camera is used for gathering additional information for investigation. All the footage will be added to a criminal case.”
랜섬웨어에 감염된 스마트폰은 대부분 사용자 제어가 불가능하다. 다른 앱 실행은 물론, 악성 앱을 삭제할 수 없도록 여러 가지 방법이 동원된다. 이런 경우 스마트폰을 ‘안전모드’로 부팅하여 ‘기기관리자(휴대폰 관리자)’를 비활성화 후 삭제하면 된다.
제조사별로 안전모드에 접근하는 방법은 여러 가지다. 사용자가 많은 단말기 제조사 2곳의 안전모드 부팅 방법은 다음과 같다.
● LG : 전원버튼 → 전원끄기 메뉴를 길게 누르고 있으면 안전모드 부팅 메시지가 뜬다.
● 삼성 : 리부팅 시 통신사 로고가 나올 때 ‘메뉴’ 버튼에 불이 들어올 때 ‘메뉴’를 누르고 있으면 안전모드로 부팅된다.
기기 관리자 권한을 획득한 악성 앱을 삭제하려면 다음의 순서로 조치하면 된다.
안전모드로 부팅한 후 [설정]→[기기관리자(휴대폰 관리자)] 메뉴에서 악성 앱을 비활성화에 체크해준다. 그 다음 애플리케이션 목록에서 해당 앱을 제거한다.
[그림 11] 기기관리자(휴대폰 관리자)에서 악성 앱의 권한(체크 해제) 및 제거
<출처> 안철수 연구소
