[Android Malware] Android Malware Analyze - part.1

☝🏻 What ?

• 어떤 것을 분석하느냐

안드로이드 악성코드를 이렇게 본격적으로 분석하는 것은 처음이다.
따라서 나는 단계별로 구분되어 정리되어 있는 하나의 블로그를 이용할 예정이다.

Anroid Malware Sample

✌🏻 How ?

• 어떤 식으로 분석했느냐 ?

안드로이드 악성코드를 분석하는 방식은 다양하다.
그중에 나는 내가 자주 사용하는 방법인 jadx-gui 툴을 이용하여 디컴파일을 한 후에 분석을 진행해보려고 한다.

⭐️ 분석 환경 및 분석 파일

HOST : MAC OS Macbook Pro M1
Emulator : Galaxy A8 star
target : 5251a356421340a45c8dc6d431ef8a8cbca4078a0305a87f4fbd552e9fc0793e.apk

⭐️ Setting

Dowload

다음과 같이 선택된 부분의 파일을 설치하면 된다.

⭐️ Analyze

• 분석 결과

이번 APK 파일의 경우에는 디컴파일 시 다음과 같은 구조를 가진다.

여기서 분석해야 할 파일은 com.XPhantom.id 파일임을 알 수 있다.
따라서 아래 5개의 파일을 위주로 분석을 진행하였다.

⭐️⭐️ BootReceiver 먼저 BootReceiver다.
BootReceiver의 경우 부팅이 완료되는 액션이 진행되면 MyService 클래스파일을 실행하고 있다.

BootReceiver 파일은 핸드폰이 켜지면 MyService를 실행시키는 동작을 한다.

⭐️⭐️ MainActivity

MainActivity는 onCreate 메소드를 이용하여 앱이 시작되면 MyService 를 실행한다.

MainActivity와 BootReceiver를 통해 MyService에 Model이 담겨 있는 것을 확인할 수 있다.

⭐️⭐️ MyService

MyService 에서는 windowManager 객체를 생성해주고 있다.
이 객체를 생성해주고 이벤트를 생성해주고 있는 것을 확인할 수 있었다.

이벤트는 다음과 같은 방식으로 나타난다.

1. 특정 문자열과 같은지 확인한다.
2. 같다면 remove
3. 다르다면 MyService 클래스를 재시작한다.

• 동적 분석 결과
  동적 분석을 위해 앱을 실행시켜보도록 하였다.
  먼저 앱을 설치하면 다음과 같은 화면이 나타난다.
  

이 후에 앱을 실행시켜 보도록 하자.
이때 어떤 앱이 설치된건지 파악을 제대로 하지 못해 adb 명령어를 이용하여 실행을 완료하였다.
그 후에 실행한 결과는 다음과 같다.

여기서 위의 명령어를 사용한 이유에 대해 알기 전에 먼저 ‘AndroidManifest.xml’ 파일에 대해 알아야 한다.
‘AndroidManifest.xml’ 파일에서 첫 시작 화면으로 MainActivity를 지정하고 있다.
따라서 앱을 실행하고 난 후에 가장 먼저 볼 수 있는 화면은 MainActivity 와 관련있을 것이다.

패스워드는 다음과 같이 풀 수 있다.

🤟🏻 Result

• 앱 분석 마침.

이 앱은 WindowManager 의 객체로 화면을 가리고, 화면을 Lock 해버리는 기능을 한다.
이 기능을 사용함으로써 사용자는 원하는 동작을 하지 못하게 되는 것이다. WindowManager를 이용한 램섬웨어의 경우 화면을 lock 하여도 디컴파일하여 분석하면 Lock을 풀기 쉽다.