RAT를 탑재한 안드로이드 악성코드 GhostCtrl

트랜드마이크로, 권한 및 데이터 탈취, 모바일 랜섬웨어 등의 기능을 수행할 수 있는 안드로이드 악성코드 GhostCtr 발견되었다고 합니다.

GhostCtr 악성코드 디바이스 진입 방법

유명 앱(whatsapp, Pokemon GO 등)을 가장하여 악성 APK 설치를 유도하며,

사용자가 설치를 취소해도 계속해서 팝업창 생성하여 사용자가 설치하도록 유도하고 있습니다.

생각하기에는 해당 앱만 삭제하면 되지 않을까? 생각 될수 있습니다. 

KISA에 언급된 내용은 'GhostCtr는 설치 후 아이콘을 삭제하며, com.android.engine 이라는 명칭으로 백그라운드에서 실행 및 C&C 서버와 암호화 통신'을 하게 된다고 하였습니다.

구체적인 ChostCtr로 발생할 수 있는 피해에 대해서 간략하게 소개하겠습니다.

GhostCtr 악성코드 기능 (피해 발생 가능성)

관리자 권한 탈취, 모바일 랜섬웨어 기능, 난독화를 통한 악성 루틴 은닉 기능 등 세 가지 변종이 존재할 수있다고 하는데요.

블루투스 연결 제어, 지정한 전화번호의 문자 메시지 탈취, 암호 삭제 및 재설정, 카메라/비디오 녹화 후 C&C 서버로 전송 등 다양한 기능 수행합니다. 

최신에 발생한 랜섬웨어와 동일하게 화면 잠금 기능 뿐만 아니라 개인정보를 가져갈 수도 있다고하니 조심해야할 것으로 보입니다.

GhostCtr 피해 줄이는 방법

모바일 OS 최신 업데이트 및 중요 데이터의 주기적인 백업 필요하며,

앱 다운로드 시 요구 권한을 확인하여야 하며, 리뷰를 참조한 후 설치하는 것을 권장합니다.

(앱에서 요청하는 권한이 필수 권한인지 판단하여 앱 설치를 하셔야합니다.)

KISA에서 공개한 내용을 공유하다보니 내용을 간략히 적었는데요. 

앱 구매자의 주의가 요구되는 내용이었습니다. 

출처

• TrendMICRO,, “Android Backdoor GhostCtrl can Silently Record Your Audio, Video, and More”, 2017.7.17.
• BLEEPINGCOMPUTER “GhostCtrl Is an Android RAT That Also Doubles as Ransomware”, 2017.7.17.
• https://www.krcert.or.kr/data/trendView.do?bulletin_writing_sequence=26288
• https://www.scmagazine.com/ghostctrl-malware-silently-haunts-android-users-hijacking-functionality/article/675562/