마스크 공격: 당신의 아이폰 앱이 실제로는 악성코드를 숨긴 클론 앱일 수 있습니다

Table Of Contents

• 마스크 공격: 당신의 아이폰 앱이 실제로는 악성코드일 수 있습니다
• 마스크는 어떻게 작동하나요?
• 모든 애플 iOS 기기 영향받음
• 마스크 공격에 대한 예방 조치

마스크 공격: 당신의 아이폰 앱이 실제로는 악성코드일 수 있습니다

FireEye의 연구자들은 공격자가 진짜 앱을 악성코드가 포함된 다른 앱으로 교체할 수 있는 새로운 공격을 발견했습니다. FireEye 연구자들은 이 새로운 공격을 ‘마스크 공격’이라고 명명했습니다.

7월에 FireEye 모바일 보안 팀은 기업 또는 애드혹 프로비저닝을 사용하여 설치된 iOS 앱이 동일한 번들 식별자를 사용하는 경우 App Store를 통해 설치된 다른 진짜 앱을 교체할 수 있다는 것을 발견했습니다. 이 취약점은 iOS가 동일한 번들 식별자를 가진 앱에 대해 일치하는 인증서를 강제하지 않기 때문에 존재합니다.

공격이 어떻게 작동하는지에 대한 예로, FireEye는 테스트 사용자에게 새로운 Flappy Bird 업데이트를 다운로드하라는 링크를 보냈습니다. 사용자가 링크를 클릭했을 때, 그들은 모르게 합법적인 Gmail 앱의 해킹된 업데이트를 다운로드했습니다.
해킹된 Gmail 앱은 실제와 동일하게 보일 수 있지만 사용자의 기밀 이메일을 제3자에게 사용자의 지식 없이 전송할 수 있습니다.

FireEye는 같은 기술이 사람들을 속여서 해커에게 비밀번호를 포함한 금융 세부정보를 전달하는 악성 버전의 은행 앱을 업로드하도록 할 수 있다고 말합니다.

마스크는 어떻게 작동하나요?

희생자가 악성 앱 설치에 유도되면, FireEye 연구자들은 불법적인 애플리케이션이 진짜 앱을 교체한다고 설명했습니다. FireEye는 Mobile Safari와 같은 사전 설치된 앱만 이 문제의 영향을 받지 않는다고 말합니다. FireEye에 따르면, 공격자는 이 문제를 무선 및 USB를 통해 활용할 수 있습니다.

“WireLurker를 조사한 결과, USB를 통해 iOS 기기를 공격하기 위해 제한된 형태의 마스크 공격을 활용하기 시작했다는 것을 발견했습니다.”라고 FireEye 연구자들이 블로그에 썼습니다. “마스크 공격은 WireLurker보다 훨씬 더 큰 위협을 초래할 수 있습니다. 마스크 공격은 인터넷을 통해 공격자의 악성코드를 사용하여 은행 및 이메일 앱과 같은 진짜 앱을 교체할 수 있습니다. 이는 공격자가 동일한 UI를 가진 악성코드로 진짜 은행 앱을 교체하여 사용자의 은행 자격 증명을 훔칠 수 있음을 의미합니다. 놀랍게도, 악성코드는 원래 앱이 교체될 때 제거되지 않은 원래 앱의 로컬 데이터에 접근할 수 있습니다. 이 데이터에는 캐시된 이메일이나 악성코드가 사용자의 계정에 직접 로그인하는 데 사용할 수 있는 로그인 토큰이 포함될 수 있습니다.”

모든 애플 iOS 기기 영향받음

이 취약점은 FireEye에 의해 탈옥된 기기와 비탈옥 기기 모두에서 iOS 7.1.1, 7.1.2, 8.0, 8.1 및 8.1.1 베타에서 확인되었습니다. FireEye는 2014년 7월 26일 애플에 통보했지만 애플은 즉시 응답하지 않았다고 말했습니다. FireEye는 마스크가 실제로 악용되는 것을 보았다고 말했습니다.

“애플의 기존 표준 보호 또는 인터페이스가 이러한 공격을 방지할 수 없기 때문에, 우리는 애플이 기업 사용자를 이러한 및 기타 고급 공격으로부터 보호하기 위해 전문 보안 공급업체에 더 강력한 인터페이스를 제공할 것을 요청하고 있습니다.”

마스크 공격에 대한 예방 조치

위협을 피하기 위해 FireEye는 모든 아이폰 및 아이패드 사용자가 따라야 할 세 가지 규칙이 있다고 말합니다:

2. 애플의 공식 App Store 또는 사용자의 조직 외부의 제3자 소스에서 앱을 설치하지 마십시오.

3. 제3자 웹 페이지의 팝업에서 “설치”를 클릭하지 마십시오.

4. 앱을 열 때 iOS가 “신뢰할 수 없는 앱 개발자”라는 경고를 표시하면 “신뢰하지 않음”을 클릭하고 즉시 앱을 제거하십시오.

전체 인터넷이 마스크 공격에 대해 열광하고 있는 동안, 애플은 지금까지 취약점을 인정하거나 부인하지 않았습니다.