PhoneGap 프레임워크로 작성된 안드로이드 앱의 정적 및 동적 분석

국문 초록 (Abstract)

PhoneGap은 JavaScript를 이용하여 안드로이드, iOS, Windows Phone 등의 플랫폼에서 동작 가능한 앱을 쉽게 개발할 수 있도록 지원하는 대표적 크로스 플랫폼(cross-platform) 개발 도구이다. 앱 개발자뿐만 아니라, 악성코드 제작자들도 다양한 플랫폼에서 동작 가능한 악성 앱을 보다 쉽게 제작하기 위해 PhoneGap을 사용하기도 한다. 따라서 PhoneGap으로 제작된 악성 앱을 효과적으로 분석할 수 있는 기법이 필요해졌다.
본 논문에서는 PhoneGap으로 작성된 안드로이드 앱을 대상으로 정적 및 동적 분석을 수행할 수 있는 기법을 제안한다. 제안하는 분석기법에 대한 검증을 수행하기 위하여 PhoneGap 개발도구를 이용해 악성 앱을 제작하였다. 제작한 악성 앱을 대상으로 안드로이드 네이티브 앱(native app)과 PhoneGap 앱의 구조적 차이를 보이고, PhoneGap 앱에 대한 정적 및 동적 분석 기법을 제시한다. 또한 PhoneGap 앱의 빌드방식인 디버그 모드(Debug mode)와 배포판 모드(Release mode)에 따른 앱 분석 방식의 차이에 대해서도 기술한다. 정적 분석에서는 JavaScript 코드를 대상으로 가장 많이 적용되는 난독화 기법인 Minification, eval() 함수를 통한 코드 실행, 그리고 JavaScript Obfuscator를 통한 난독화에 대해서 각 난독화 별 역난독화 기법을 제시한다.
동적 분석에서는 먼저 PhoneGap으로 작성된 안드로이드 앱 내부에 위치하는 웹 루트를 단말기 내부에 수정 가능한 디렉토리에 복사한다. 이후 앱이 실행되는 과정에서 참조하는 웹 루트를 동적 인스트루멘테이션(Dynamic Instrumentation) 기법을 이용하여 중간에 변경한다. 마지막으로 배포판 모드로 빌드된 앱에 디버거가 정상적으로 연결될 수 있도록 웹뷰 디버깅에 관한 플래그를 동적으로 변경한다. 악성 앱 분석가는 본 논문에서 제안된 기법을 이용하여 크롬 원격 디버거를 통해 기존에는 지원되지 않던 배포판 모드로 빌드된 PhoneGap 앱을 디버깅할 수 있으며, 크롬 원격 디버거가 JavaScript 코드를 대상으로 지원하는 기능들을 활용할 수 있다. 또한 악성 앱이 분석 당하지 않기 위해 앱 재패키징 탐지 방법을 사용하기도 하는데, 이러한 경우에도 제안 기법은 악성 앱을 분석할 수 있다는 장점이 있다.

목차 (Table of Contents)

• Ⅰ. 서 론 1
• 1. 연구 목적 1
• 2. 연구 내용 4
• Ⅱ. 관 련 연 구 6
• 1. PhoneGap 개발자의 동적 분석 방법과 한계점 8
• 1) PhoneGap 개발자의 동적 분석 방법 8
• 2) 한계점 11
• 2. JavaScript로 작성된 안드로이드 앱 분석 12
• 3. Frida 14
• Ⅲ. PhoneGap 앱의 구조 16
• 1. 네이티브 앱과 PhoneGap 앱의 차이 16
• 2. PhoneGap 앱의 디버그/배포판 모드 빌드 간 차이 19
• Ⅳ. PhoneGap 앱의 정적 분석 22
• 1. PhoneGap 앱의 진입점 분석 25
• 2. JavaScript 대상 난독화 기술 26
• 3. JavaScript 대상 역난독화 도구 29
• Ⅴ. PhoneGap 앱의 동적 분석 32
• Ⅵ. 결론 및 향후연구 37
• 참고문헌 39
• 부 록 41
• 영문요약 45