악성코드 CVE-2019-2234

 

보안 업체 체크막스(Checkmarx) 발표: “안드로이드 카메라 애플리케이션들을 통해 다양한 스파이 활동을 할 수 있다는 걸 체크막스 내부 연구자들이 발견했다”
Ex 1) 사진 찍기, 2) 영상 기록하기, 3) 사용자의 위치 추적하기, 4) 음성 통화 내용 녹음하기 등.

 

Checkmarx가 가짜 날씨 앱 시연.
이 앱은 설치될 때 저장소에 대한 접근 허용만 사용자에게 요구한다. 사용자로부터 저장소에 대한 접근 권한을 받기만 하였지만 카메라 앱을 조정할 수 있게 됐다.

 

201907월 초 구글에 사실을 알렸다. 구글은 그 달에 즉시 패치를 발표했다고 한다. 삼성 측 역시 패치를 발표했다고 주장했다. Checkmarx는 “두 회사가 다 패치를 했다고는 하는데, 아직 정확히 확인되지는 않고 있습니다”. Checkmarx가 삼성 장비에서 20190829일 비슷한 문제를 확인했다.