搜索

[16873] 2021-06-06_TeaBot：以欧洲银行为目标的Android恶意软件

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2021-06-06_TeaBot：以欧洲银行为目标的Android恶意软件 T e a B o t ： 以 欧 洲 银 行 为 目 标 的 A n d r o i d 恶 意 软 件 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 1 - 0 6 - 0 6 1 .   概 述 概 述 银 行 恶 意 软 件 一 直 都 是 我 们 暗 影 实 验 室 关 注 的 重 点 。 近 期 ， 意 大 利 出 现 了 一 种 新 型 的 A n d r o i d 恶 意 软 件 ， 研 究 人 员 发 现 它 与 目 前 已 知 的 银 行 木 马 家 族 都 不 相 关 ， 命 名 这 款 新 型 的 银 行 木 马 家 族 为 T e a B o t （ 也 有 命 名 为 A n a t s a ） 。 该 恶 意 软 件 最 初 出 现 时 间 是 在 2 0 2 0 年 1 2 月 初 ， 它 伪 装 成 “ V L C _ M e d i a P l a y e r ” ， “ T e a T V ” 应 用 程 序 。 T e a B o t 家 族 恶 意 软 件 的 其 主 要 目 标 是 窃 取 用 户 凭 证 信 息 和 短 信 消 息 ， 用 于 已 预 先 设 计 好 的 银 行 欺 诈 方 案 。 目 前 ， T e a B o t 似 乎 处 于 开 发 的 早 期 阶 段 。 2 0 2 1 年 3 月 ， 发 现 意 大 利 银 行 的 相 关 注 入 模 块 ， 2 0 2 1 年 5 月 ， 发 现 比 利 时 和 荷 兰 银 行 的 注 入 用 户 在 成 功 安 装 T e a B o t 后 ， 攻 击 者 就 可 以 随 时 实 时 获 取 设 备 屏 幕 ， 并 通 过 A c c e s s i b i l i t y S e r v i c e s 交 互 ， 窃 取 用 户 隐 私 信 息 ， 根 据 用 户 安 装 的 应 用 列 表 ， 获 知 已 安 装 的 银 行 应 用 ， 并 分 发 已 预 先 设 计 好 的 银 行 欺 诈 注 入 代 码 ， 诱 导 用 户 登 录 ， 操 作 等 ， 并 获 取 用 户 短 信 验 证 消 息 ， 最 终 导 致 用 户 个 人 信 息 泄 露 和 财 产 损 失 ， 安 装 图 标 如 下 ： V L C _ M e d i a P l a y e r   T e a T V 2 .   样 本 信 息 样 本 信 息 表 2 - 1   样 本 基 本 信 息 3 .   程 序 运 行 流 程 图 程 序 运 行 流 程 图
图 3 - 1   T e a B o t 程 序 运 行 流 程 图 4 .   样 本 分 析 样 本 分 析 4 . 1   静 态 分 析 静 态 分 析 4 . 1 . 1   增 高 安 全 分 析 难 度 增 高 安 全 分 析 难 度 4 . 1 . 1 . 1   d e x 动 态 加 载 动 态 加 载 在 启 动 恶 意 软 件 后 ， 先 执 行 自 定 义 A p p l i c a t i o n 类 的 a t t a c h B a s e C o n t e x t 方 法 ， 然 后 执 行 g h o s t i n c o m e 方 法 动 态 加 载 a s s e t s 文 件 路 径 内 的 r A . j s o n 文 件 。 r A . j s o n 文 件 是 一 个 加 密 的 d e x 文 件 ， 恶 意 代 码 模 块 主 要 集 中 在 r A . j s o n 文 件 内 。
图 4 - 1 - 1   动 态 加 载 r A . j s o n 文 件 过 程 4 . 1 . 1 . 2   使 用 X O R 加 密 算 法 通 过 静 态 分 析 发 现 ， 该 样 本 使 用 X O R 加 密 算 法 对 部 分 网 络 通 信 进 行 加 密 。 图 4 - 1 - 2   X O R 加 密 4 . 1 . 2   T e a B o t 支 持 支 持 6 种 语 言 种 语 言 通 过 逆 向 分 析 代 码 发 现 ， T e a B o t 检 索 银 行 a p p 时 ， 判 断 的 结 果 使 用 了 6 种 语 言 （ 西 班 牙 语 ， 英 语 ， 意 大 利 语 ， 德 语 ， 法 语 和 荷 兰 语 ） 。
图 4 - 1 - 3   支 持 6 种 语 言 4 . 1 . 3   主 要 功 能 主 要 功 能 4 . 1 . 3 . 1   跟 踪 记 录 跟 踪 记 录 通 过 使 用 A n d r o i d 无 障 碍 服 务 ， T e a B o t 能 够 观 察 和 跟 踪 用 户 在 目 标 应 用 程 序 上 执 行 的 所 有 信 息 ， 并 将 关 键 的 跟 踪 信 息 通 过 S h a r e d P r e f e r e n c e s 储 存 到 c o n f i g . x m l 配 置 文 件 中 。 T e a B o t 在 与 C & C 服 务 器 进 行 首 次 通 信 时 ， 会 发 送 已 安 装 应 用 程 序 的 列 表 ， 以 验 证 受 感 染 的 设 备 是 否 已 安 装 一 个 或 多 个 目 标 应 用 程 序 。 当 其 中 有 一 个 匹 配 时 ， 它 会 下 载 特 定 的 W e b V i e w 以 执 行 覆 盖 攻 击 ， 并 开 始 跟 踪 用 户 在 目 标 应 用 程 序 上 执 行 的 所 有 活 动 。 这 些 信 息 都 是 每 间 隔 1 0 秒 发 送 到 指 定 的 C & C 服 务 器 。 下 图 为 代 码 模 块 和 c o n f i g 文 件 ： 服 务 器 地 址 ： 1 8 5 . . . 3 1 : 8 0 图 4 - 1 - 4   发 送 请 求 获 取 检 索 应 用 代 码
图 4 - 1 - 5   写 入 c o n f i g . x m l 配 置 文 件 中 包 含 需 要 检 索 的 应 用 包 名 、 远 控 指 令 执 行 状 态 、 C 2 服 务 器 的 u r l 等 。 远 控 和 检 索 包 名 等 功 能 都 是 在 无 障 碍 服 务 的 o n A c c e s s i b i l i t y E v e n t 方 法 中 执 行 的 。 4 . 1 . 3 . 2   屏 幕 截 图 屏 幕 截 图 T e a B o t 可 以 进 行 屏 幕 截 图 来 不 断 监 视 受 感 染 设 备 的 屏 幕 。 当 用 户 启 动 恶 意 软 件 后 ， T e a b o t 发 送 包 含 设 备 信 息 的 p o s t 请 求 至 C & C 服 务 器 ， 服 务 器 返 回 信 息 中 如 果 含 有 一 套 I P 地 址 和 P O R T 的 “   s t a r t _ c l i e n t   ” 命 令 时 ， 开 始 启 动 截 图 。 T e a B o t 启 动 一 个 循 环 ， 在 该 循 环 中 创 建 一 个 “ V i r t u a l S c r e e n ” 以 获 取 屏 幕 截 图 。 1 ） 发 送 p o s t 请 求 到 服 务 器 服 务 器 地 址 ： 1 8 5 . 2 1 5 . * . 3 1 : 8 0 图 4 - 1 - 6   发 送 p o s t 请 求
2 ） 服 务 器 返 回 “ s t a r t _ c l i e n t ” 指 令 图 4 - 1 - 7   解 析 返 回 指 令 “ s t a r t _ c l i e n t ” 3 ） 启 动 截 屏 模 块 图 4 - 1 - 8   启 动 截 屏 模 块 4 . 1 . 3 . 3   覆 盖 攻 击 覆 盖 攻 击 覆 盖 攻 击 是 一 种 A n d r o i d 银 行 木 马 （ 例 如 A n u b i s ， C e r b e r u s ） 普 遍 的 技 术 手 段 ， 虚 假 的 界 面 覆 盖 能 够 迷 惑 和 诱 骗 用 户 信 以 为 真 ， 继 而 窃 取 用 户 的 个 人 隐 私 。 通 常 有 两 种 方 式 ： 1 、 伪 造 虚 假 的 银 行 a p p 并 启 用 ； 2 、 在 合 法 应 用 程 序 （ 例 如 银 行 应 用 程 序 ） 的 上 层 启 动 一 个 虚 假 的 W e b V i e w 来 迷 惑 和 欺 诈 用 户 。 T e a B o t 能 够 对 多 个 银 行 应 用 程 序 执 行 覆 盖 攻 击 ， 以 窃 取 登 录 凭 据 和 银 行 卡 信 息 。
图 4 - 1 - 9   覆 盖 攻 击 模 块 根 据 抓 包 和 恶 意 代 码 分 析 ， 总 结 了 覆 盖 攻 击 的 流 程 图 如 下 ： 1 ） 先 判 断 是 否 含 有 特 定 的 银 行 应 用 包 名 ， 然 后 下 载 注 入 模 块 。 2 ） 用 户 打 开 银 行 应 用 ， 操 作 的 数 据 会 上 传 C 2 服 务 器 ， C 2 服 务 器 返 回 覆 盖 攻 击 的 远 控 指 令 。 3 ） 虚 假 的 w e b v i e w 会 覆 盖 真 实 的 银 行 a p p 界 面 ， 诱 导 用 户 输 入 登 录 凭 证 。 4 ） 窃 取 的 用 户 隐 私 通 过 加 密 的 P O S T 请 求 上 传 至 C 2 服 务 器 。
图 4 - 1 - 1 0   覆 盖 攻 击 流 程 图 4 . 1 . 3 . 4   其 他 功 能 其 他 功 能 1 ） 能 够 拦 截 / 隐 藏 短 信 恶 意 软 件 具 有 拦 截 / 隐 藏 短 信 的 功 能 ， 拦 截 的 短 信 信 息 会 通 过 每 隔 1 0 s 的 p o s t 加 密 请 求 发 送 到 C 2 服 务 器 （ 服 务 器 地 址 ： 1 8 5 . 2 1 5 . * . 3 1 : 8 0 ） ， 其 主 要 目 的 是 获 取 用 户 银 行 登 录 或 修 改 密 码 的 短 信 验 证 。 隐 藏 短 信 的 主 要 目 的 是 隐 秘 的 修 改 或 登 录 用 户 银 行 账 号 ， 防 止 用 户 发 现 。 图 4 - 1 - 1 1   拦 截 短 信
图 4 - 1 - 1 2   隐 藏 短 信 2 ） 能 够 窃 取 G o o g l e 身 份 验 证 c o d e 。 图 4 - 1 - 1 3   窃 取 G o o g l e 身 份 验 证 c o d e 3 ）   远 程 控 制 A n d r o i d 设 备
恶 意 软 件 通 过 无 障 碍 辅 助 功 能 和 实 时 屏 幕 共 享 ， 将 收 集 的 信 息 、 截 图 实 时 上 传 至 服 务 器 （ 服 务 器 地 址 ： 1 8 5 . 2 1 5 . * . 3 1 : 8 0 ） ， 再 通 过 解 析 服 务 器 的 返 回 ， 获 取 远 控 指 令 ， 并 通 过 无 障 碍 辅 助 功 能 实 现 其 远 控 功 能 。 如 下 图 是 无 障 碍 辅 助 功 能 开 启 后 ， o n A c c e s s i b i l i t y E v e n t 方 法 中 的 远 控 操 作 ： 图 4 - 1 - 1 4   远 程 操 作 更 多 远 控 指 令 详 见 “ 表 4 - 1 远 控 指 令 列 表 ” ， 以 下 是 其 中 一 个 远 控 操 作 （ 获 取 用 户 账 号 信 息 ） ， 如 下 图 所 示 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理