ESET 보안 분석가들이 은행 사기에 사용되는 새로운 형태의 피싱 캠페인을 발견하고 분석했습니다. 이번에는 악성 코드를 유포하는 기존 피싱 기법에 새로운 수법이 결합되었는데, 공격자들은 안드로이드와 iOS 사용자를 표적으로 삼았습니다. iOS PWA 애플리케이션을 통해, 그리고 안드로이드 플랫폼의 경우 WebAPK를 통해 공격이 이루어졌습니다. 탐지된 사례에서 타사 애플리케이션 설치에 대한 경고는 설치되지 않았습니다. 관찰된 애플리케이션의 대부분은 체코 은행 고객을 대상으로 했지만, ESET 전문가들은 헝가리와 조지아 은행을 표적으로 삼는 애플리케이션도 발견했습니다. 분석된 데이터를 바탕으로, 그들은 이 캠페인의 배후에 서로 다른 두 공격 집단이 있다는 결론을 내렸습니다. ESET은 피해 은행에 이러한 위협에 대해 알리고 여러 피싱 도메인과 제어 서버를 제거하는 데 도움을 주었습니다.
ESET 보안 전문가들은 체코 은행 고객을 주로 겨냥한 특이한 유형의 피싱 캠페인을 발견했습니다. 새롭게 발견된 이 피싱 기법은 공격자가 피해자를 속여 해당 애플리케이션이 비공식 출처라는 사실을 인지하지 못한 채 타사 웹사이트에서 피싱 애플리케이션을 설치하도록 유도한다는 점에서 다른 기법들과 다릅니다. 안드로이드 플랫폼에서는 이러한 공격으로 인해 특수한 유형의 APK 애플리케이션(Android)이 자동으로 설치될 수도 있습니다. App배당 Package – 공식 스토어에서 설치한 것처럼 보이는 애플리케이션을 배포하고 설치하기 위한 소프트웨어 패키지 Google Play.
새롭게 설명된 위협은 스마트폰 사용자도 표적으로 삼았습니다. iPhone 운영 체제와 함께 iOS. 플랫폼을 타겟으로 하는 피싱 웹사이트 iOS 피해자들에게 PWA 애플리케이션을 추가하라고 지시했습니다.Pro프로그레시브 웹 App – Pro프로그레시브 웹 애플리케이션(PWA)을 홈 화면에 추가하세요.
"안드로이드와 같은 두 플랫폼 모두에서 iOS피싱 앱은 모방한 실제 뱅킹 앱과 거의 구별할 수 없었습니다. PWA 애플리케이션은 본질적으로 독립 실행형 애플리케이션으로 포장된 웹사이트였으며, 소위 말하는 것을 사용하여 그 신뢰성이 입증되었습니다. 기본 시스템 프롬프트 - 전화 알림. PWA 앱은 웹사이트와 마찬가지로 다양한 운영 체제에서 사용할 수 있으며, 이는 이러한 피싱 캠페인이 어떻게 플랫폼 사용자를 타겟으로 삼을 수 있는지를 설명합니다. iOS 그리고 안드로이드. Pro 스마트폰 사용자 iPhone 이러한 캠페인은 플랫폼의 '폐쇄된 생태계' 보안에 대한 기존 가정을 훼손할 수 있습니다. iOS," 새로운 피싱 방법을 분석한 ESET 프라하 연구 부서의 보안 분석가인 Jakub Osmani는 말합니다.
당신은 관심을 가질 수 있습니다
다운로드를 요청하는 전화 통화, SMS 및 소셜 네트워크 광고
발견된 피싱 캠페인은 피해자에게 악성 웹 주소를 전달하기 위해 세 가지 다른 방법을 사용했습니다. 이러한 메커니즘 중에는 자동 음성 통화, 문자 메시지 및 소셜 네트워크에서의 악성 광고(악성 광고)가 있었습니다. 음성 통화는 공격자가 사용자에게 오래된 뱅킹 앱에 대해 "경고"하고 즉시 업데이트하도록 유도하는 자동 통화를 통해 수행되었습니다. 그런 다음 사용자에게 숫자 키패드에서 다음 단계를 선택하라는 메시지가 표시되었습니다. 올바른 버튼을 누른 후 SMS를 통해 피싱 URL이 전송되었습니다.
"우리의 조사 결과에 따르면 가짜 URL 주소는 무작위 체코 전화번호로 전송되었습니다. 메시지에는 피싱 링크와 텍스트가 포함되어 있었는데, 공격자는 이를 이용해 피해자가 링크를 클릭하도록 조종했습니다. 악성 캠페인은 Instagram과 같은 Meta의 소셜 미디어 플랫폼에 등록된 광고를 통해서도 확산되었습니다. Facebook. 이러한 광고는 사용자에게 제한된 제공 사항으로 업데이트를 다운로드하는 것과 같은 작업을 요구했습니다.오스마니는 설명한다.
안드로이드 플랫폼의 경우, 악성 URL 주소를 클릭한 후 두 개의 추가적인 메시지가 나타났습니다. varia이 피싱 공격의 종류는 다음과 같습니다. 공식 스토어 페이지를 모방한 고품질 피싱 페이지 Google Play 은행 애플리케이션을 다운로드하거나, 은행 애플리케이션을 다운로드할 수 있는 옵션을 다시 보여주는 웹사이트 모방. 다음 단계에서는 피해자들에게 뱅킹 애플리케이션의 "새로운 버전"을 설치하도록 요청했습니다.
당신은 관심을 가질 수 있습니다
설치 중에 사용자에게 피싱 앱에 대한 경고가 표시되지 않았습니다.
설명된 피싱 캠페인과 그 수법은 프로그레시브 웹 애플리케이션(PWA) 기술 덕분에 가능한 것입니다. PWA는 기존 웹 애플리케이션 기술을 사용하여 여러 플랫폼과 기기에서 작동하도록 제작됩니다. 따라서 WebAPK 애플리케이션은 프로그레시브 웹 애플리케이션의 상위 버전으로 볼 수 있습니다. Pro뷰어 Chrome PWA에서 네이티브 안드로이드 APK를 생성합니다. WebAPK 앱은 단일 운영체제용으로 설계된 일반 네이티브 앱처럼 보입니다. 이 경우, 안드로이드 플랫폼용 네이티브 앱처럼 보입니다. 또한, 이 피싱 캠페인에서 WebAPK 앱을 설치해도 "신뢰할 수 없는 출처의 앱 설치"에 대한 경고가 표시되지 않습니다. 타사 앱 설치가 허용되지 않은 경우에도 이러한 앱이 설치됩니다.
ESET 분석가들에 따르면, 이 캠페인의 배후에는 두 개의 서로 다른 공격 집단이 있었습니다. 한 집단은 소셜 플랫폼인 텔레그램의 봇을 이용하여 피해자들이 그룹 채팅에 입력한 모든 정보를 수집했습니다. chat공식 Telegram API를 통해 두 번째 그룹은 광고가 포함된 기존 C&C 서버를 사용했습니다.mini계층화 패널.
" 공격자들이 탐지된 캠페인에서 서로 다른 두 가지 제어 인프라를 사용했다는 사실에 근거하여, 체코 은행을 대상으로 한 피싱 캠페인의 배후에는 두 개의 서로 다른 공격 그룹이 있었을 가능성이 높습니다. "라고 ESET의 오스마니는 결론지었습니다.
분석된 사례의 대부분은 체코 공화국에서 발생했으며, 체코 지역 외부, 특히 헝가리와 조지아에서는 단 2개의 피싱 애플리케이션만 나타났습니다. 이러한 경우 ESET 분석가가 캡처한 모든 민감한 정보는 추가 처리를 위해 영향을 받은 은행으로 즉시 전송되었습니다. ESET은 또한 여러 피싱 도메인 및 제어 서버를 제거하는 데 도움을 주었습니다.
