만남 사이트 위장 피싱, 스마트폰에 저장된 전화번호 싹다 탈취

최근 만남 위장 피싱 사이트에서 데이팅 앱 틴더(Tinder)를 사칭한 악성 APK(Android Package) 파일 유포가 확인됐다. 이 공격은 사회공학적 기법을 이용해 피해자 호기심을 자극하고, 악성 앱 설치를 유도한다.

만남 사이트를 사칭한 피싱 기법은 인간의 심리를 교묘히 이용한 사회공학적 공격이다.
악성코드는 데이팅 앱인 틴더 사칭 악성 앱이다.

악성 앱은 악성 행위, 뷰바인딩(ViewBinding)을 이용하기도 한다. 또한, 사용자가 초대 코드를 입력해 서버에 초대 코드를 전송하고, 올바른 응답이 돌아와야만 악성 행위가 진행되도록 만들어졌다.

이는 앱 설치 이전에 초대 코드를 안내했을 것으로 보인다. 추가로, 사용자의 초대 코드 입력 및 버튼 클릭 등과 같이 상호작용이 진행되어야만 권한 요청 및 악성 행위를 한다.

악성 앱은 사용자의 전화번호 및 전화번호부 목록, 망사업자명, 외부 저장소 내 이미지 파일을 탈취한다.

누리랩은 "탈취 후에는 오류 창을 팝업한다"며 "또한, 정의되었지만 사용되지 않은 함수들이 존재하는 것으로 보아 앱이 미완성된 상태거나 악성 행위가 추가돼 재배포될 가능성이 있다"며 주의를 당부했다.

Related Materials

• 국내·외 피싱(Phishing) 대응 현황 및 시사점 : 미국·EU·영국·독일, 2024년
• 경찰청_보이스피싱 현황, 2024년
• 투자 리딩방 사기 범죄 피해사례 전수조사 결과… (2024년), 2024년
• 사이버범죄 - 트렌드(2023), 2023년

″정상 사이트 악용 피싱, 스마트폰 권한 가로채”

💡Editor Pick - 실행 환경 에뮬레이션인지 확인, 유심 통해 한국 기종인지 확인 - 기기 내 SMS 메시지, 이미지, 기기정보 접근 권한 등 가로채 정상 사이트를 해킹해 악용하는 택배 사칭 피싱 사이트가 악성APK를 유포하고 있어 이용자들의 주의가 요구된다. 악성APK는 사용자 스마트폰의 권한 탈취 등 악성 행위를 한다. 특히 실행 환경이 에뮬레이션인지를

The Tech EdgeCheifEditor

[칼럼] ”보이스피싱, 아직 당신 차례가 오지 않은 것”

💡Editor Pick - 올해 1~3월 보이스 피싱 피해 금액 3,115억원 전년 대비 2.2배 증가 - 보이스피싱, 전기통신 금융사기지만 법원의 엄격한 판결 필요 [칼럼 박동균 대구한의대 경찰행정학과 교수, 1기 대구시 자치경찰위원회 상임위원 겸 사무국장] 경찰청에 따르면, 우리나라 보이스피싱 피해액은 2021년 7,744억원에서 작년 8,545억원으로 증가했고, 올해는 그

The Tech EdgeCheifEditor

[칼럼] 사이버 범죄 시작점, 피싱 해부

💡Editor Pick - 요즘 피싱, 도메인·UI·로고·운영 방식·사업자번호 까지 복제 - ‘정상 사이트처럼 보이는 것’이 피싱 성공률의 핵심이 된 셈 - 디지털 보안, 전문가들만의 문제 아냐...모두 일상 속에서 실천돼야 [칼럼 김지훈 누리랩 이사] 최근 몇 년 사이, 사이버 범죄의 양상은 더욱 정교해지고 조직화 되고 있다.

The Tech EdgeCheifEditor