Brokewell 모바일 악성코드

사이버 범죄자들은 사기성 브라우저 업데이트를 악용하여 Brokewell이라는 새로 확인된 Android 악성 코드를 배포하고 있습니다. 이 악성 코드는 데이터 도난과 침해된 장치의 원격 제어를 위해 설계된 기능을 보유한 현대 뱅킹 악성 코드의 강력한 예를 나타냅니다. 연구원들은 Brokewell이 터치 이벤트 캡처, 화면 텍스트, 피해자가 실행한 애플리케이션에 대한 세부 정보 등 악성 기능을 확장하는 새로운 명령을 도입하는 지속적인 업데이트를 통해 활발한 개발을 진행하고 있다고 경고했습니다.

합법적인 애플리케이션으로 가장하는 Brokewell 모바일 악성코드

Brokewell은 다음 패키지 이름을 사용하여 Google Chrome, ID Austria 및 Klarna와 같은 합법적인 애플리케이션으로 위장합니다.

jcwAz.EpLIq.vcAZiUGZpK(구글 크롬)

zRFxj.ieubP.lWZzwlluca(ID 오스트리아)

com.brkwl.upstracking(클라나)

다른 최신 Android 악성 코드와 유사하게 Brokewell은 사이드로드된 애플리케이션이 접근성 서비스 권한을 요청하는 것을 금지하는 Google의 제한 사항을 우회하는 데 능숙합니다.

뱅킹 트로이 목마는 설치 및 처음 실행 시 피해자에게 접근성 서비스 권한을 부여하라는 메시지를 표시합니다. 이러한 권한을 획득하면 추가 권한을 부여하고 다양한 악성 활동을 자동으로 실행하는 데 사용됩니다.

Brokewell의 기능에는 사용자 자격 증명을 수집하기 위해 대상 애플리케이션 위에 오버레이 화면을 표시하는 기능이 포함됩니다. 또한 WebView를 실행하여 합법적인 웹사이트를 로드하고 세션 쿠키를 가로채서 악의적인 공격자가 제어하는 서버로 전송함으로써 쿠키를 추출할 수 있습니다.

Brokewell Banking 트로이 목마는 수많은 유해한 작업을 수행할 수 있습니다.

Brokewell의 추가 기능에는 오디오 녹음, 스크린샷 캡처, 통화 기록 액세스, 장치 위치 검색, 설치된 앱 나열, 모든 장치 이벤트 기록, SMS 메시지 전송, 전화 통화 시작, 앱 설치 및 제거, 접근성 서비스 비활성화까지 포함됩니다.

또한 위협 행위자는 악성 코드의 원격 제어 기능을 이용하여 실시간 화면 콘텐츠를 보고 클릭, 스와이프 및 터치를 시뮬레이션하여 장치와 상호 작용할 수 있습니다.

새로운 위협 행위자가 Brokewell 모바일 악성 코드를 담당할 수 있습니다.

Brokewell의 개발자로 추정되는 개인은 Baron Samedit라는 별칭을 사용합니다. 연구원들은 위협 행위자가 도난당한 계정을 확인하기 위해 고안된 도구를 판매한 것으로 최소 2년 동안 알려져 왔다고 지적했습니다. 전문가들은 또한 Brokewell이 사용하고 여러 사이버 범죄자가 액세스하는 명령 및 제어(C2) 서버에서 호스팅되는 'Brokewell Android Loader'라는 Samedit의 또 다른 도구를 발견했습니다.

특히 이 로더는 사이드로드된 앱(APK)에 의한 접근성 서비스 오용을 방지하기 위해 Android 13 이상 버전에 구현된 Google의 제한 사항을 우회할 수 있습니다.

이러한 우회는 2022년 중반부터 지속적인 우려 사항이었으며, 2023년 후반에는 이를 서비스의 일부로 제공하는 DaaS(dropper-as-a-service) 운영과 이러한 기술을 맞춤형 로더에 통합하는 악성 코드가 등장하면서 크게 확대되었습니다.

Brokewell이 예시한 것처럼, 신뢰할 수 없는 채널에서 가져온 APK에 대한 접근성 서비스 액세스를 방지하는 제한을 회피하는 로더가 이제 사이버 위협 환경에서 널리 퍼져 널리 배포되었습니다.

사이버범죄자들은 탈취 기능을 갖춘 악성코드 도구를 활용하고 있습니다

보안 전문가들은 Android용 Brokewell 뱅킹 악성코드에서 볼 수 있는 장치 탈취 기능이 사이버 범죄자들에 의해 높은 관심을 받고 있다고 경고합니다. 이러한 기능을 통해 피해자의 장치에서 직접 사기 행위를 수행할 수 있으므로 가해자가 사기 탐지 및 평가 도구를 회피하는 데 도움이 됩니다.

Brokewell은 추가 개발을 거쳐 잠재적으로 MaaS(Malware-as-a-Service) 제공의 일부로 지하 포럼을 통해 다른 사이버 범죄자에게 배포될 것으로 예상됩니다.

Android 맬웨어 감염으로부터 보호하려면 Google Play 외부 소스에서 애플리케이션이나 업데이트를 다운로드하지 마세요. 기기 보안을 강화하려면 기기에서 Google Play Protect가 항상 활성화되어 있는지 확인하세요.