搜索

[28621] 2020-10-03_小丑木马分析

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-19
2020-10-03_小丑木马分析 小 丑 木 马 分 析 A a z i m   Y a s w a n t   O t s 安 全   2 0 2 0 - 1 0 - 0 3 作 为 G o o g l e 应 用 程 序 防 御 联 盟 的 一 部 分 ， Z i m p e r i u m 通 过 在 所 有 应 用 程 序 到 达 G o o g l e   P l a y 之 前 对 其 进 行 处 理 来 帮 助 使 A n d r o i d 生 态 系 统 更 安 全 。 但 是 ， 恶 意 应 用 程 序 可 以 通 过 第 三 方 商 店 ， 侧 载 应 用 程 序 和 恶 意 网 站 找 到 诱 骗 用 户 设 备 的 方 式 ， 从 而 诱 骗 用 户 下 载 和 安 装 应 用 程 序 。   在 此 博 客 中 ， 我 们 将 ： 在 此 博 客 中 ， 我 们 将 ： 提 供 自 2 0 1 7 年 以 来 已 知 的 J o k e r 木 马 的 见 解 ， 并 不 断 发 展 以 避 免 检 测 ;   说 明 这 些 样 本 使 用 的 新 规 避 技 术 详 细 介 绍 Z i m p e r i u m 如 何 找 到 6 0 多 个 J o k e r 变 种 ， 其 中 大 多 数 是 其 他 安 全 厂 商 所 未 知 的 。 最 近 ， Z i m p e r i u m 发 现 了 反 恶 意 软 件 行 业 未 报 告 的 6 4 种 “   J o k e r ” 木 马 变 种 。 使 用 支 持 z I P S 设 备 检 测 和 G o o g l e 的 A p p   A l l i a n c e 的 相 同 恶 意 软 件 引 擎 发 现 了 这 些 变 体 ， 证 明 设 备 检 测 功 能 是 确 保 全 面 保 护 企 业 端 点 所 必 需 的 。 在 本 博 文 中 ， 我 们 将 回 顾 J o k e r 木 马 的 一 般 功 能 以 及 这 些 变 体 使 用 的 新 技 术 。 了 解 小 丑 木 马 了 解 小 丑 木 马 百 搭 木 马 是 恶 意 A n d r o i d 应 用 程 序 ， 自 2 0 1 7 年 以 来 众 所 周 知 ， 它 臭 名 昭 著 地 执 行 账 单 欺 诈 并 向 用 户 订 阅 高 级 服 务 。   该 木 马 的 主 要 功 能 是 加 载 d e x 文 件 并 执 行 恶 意 活 动 ， 例 如 检 查 通 知 或 将 S M S 消 息 发 送 给 高 级 订 阅 。 恶 意 活 动 可 以 分 为 以 下 几 类 ： 1 .   解 码 或 解 密 字 符 串 以 获 得 第 一 阶 段 U R L 。 2 .   从 上 面 的 U R L 下 载 有 效 负 载 d e x 文 件 。 3 .   使 用 反 射 技 术 加 载 有 效 负 载 d e x 文 件 ， 以 调 用 D e x C l a s s L o a d e r 构 造 函 数 。 4 .   在 D E X 文 件 进 行 恶 意 活 动 ， 并 且 传 递 与 C ＆ C 服 务 器 。 在 以 下 流 程 图 中 ， 显 示 了 完 整 的 攻 击 链 。  
这 是 每 个 J o k e r 样 本 使 用 的 四 个 关 键 点 。 此 外 ， 它 还 采 用 了 几 种 规 避 技 术 ， 以 掩 盖 不 了 通 常 下 载 的 应 用 程 序 的 伪 装 ， 例 如 游 戏 ， 壁 纸 ， 信 使 ， 翻 译 器 和 照 片 编 辑 器 。 常 用 技 术 常 用 技 术 解 码 字 符 串 下 面 的 屏 幕 快 照 描 述 了 编 码 的 字 符 串 以 及 解 码 逻 辑 ， 在 这 种 情 况 下 为 X O R 操 作 。 J o k e r 示 例 中 使 用 的 感 兴 趣 的 字 符 串 是 下 载 d e x 有 效 负 载 的 U R L   ， A n d r o i d 动 态 加 载 相 关 的 方 法 名 称 以 及 有 效 负 载 公 开 的 目 标 活 动 / 方 法 。
下 载 有 效 负 载 文 件 在 所 有 J o k e r 中 ， 用 于 连 接 U R L 和 接 收 文 件 的 代 码 几 乎 相 同 ， 除 了 一 些 使 用 P O S T 请 求 而 其 他 使 用 G E T 请 求 。 在 G E T 请 求 的 情 况 下 ， 下 载 文 件 的 扩 展 名 将 具 有 欺 骗 性 ， 例 如 . m p 3 ， . c s s 或 . j s o n ， 看 起 来 不 错 ， 因 此 不 会 引 起 任 何 怀 疑 。 例 如 ： h t t p s   [ ： / /   b ]   l a c k d r a g o n . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s . c o m / p h o e n i x _ b l a c k . c s s
加 载 最 终 的 d e x 文 件 。 J o k e r s 使 用 代 码 注 入 技 术 来 隐 藏 一 些 常 用 的 软 件 包 名 称 ， 例 如 o r g . j u n i t . i n t e r n a l ， c o m . g o o g l e . a n d r o i d . g m s . d y n a m i t e 或 c o m . u n i t y 3 d . p l a y e r . U n i t y P r o v i d e r 等 。 这 样 做 的 目 的 是 使 恶 意 软 件 分 析 人 员 更 难 发 现 恶 意 代 码 ， 因 为 第 三 方 库 通 常 包 含 很 多 代 码 ， 并 且 附 加 的 混 淆 可 能 使 发 现 注 入 的 类 的 任 务 更 加 困 难 。 此 外 ， 使 用 合 法 的 程 序 包 名 称 可 以 击 败 幼 稚 的 黑 名 单 尝 试 ， 但 是 我 们 的 z 9 机 器 学 习 引 擎 使 研 究 人 员 能 够 安 全 地 检 测 到 上 述 注 入 技 巧 。
最 近 版 本 的 变 化 最 近 版 本 的 变 化 Z i m p e r i u m 的 设 备 上 M T D 引 擎 发 现 的 J o k e r 特 洛 伊 木 马 几 乎 没 有 与 历 史 变 种 不 同 的 技 术 ： 使 用 A E S 加 密 使 用 资 源 中 的 字 符 串 内 容 提 供 者 中 的 代 码 注 入 使 用 使 用 A E S 加 密 的 应 用 程 序 加 密 的 应 用 程 序 J o k e r 木 马 给 A n d r o i d 用 户 带 来 了 更 高 的 风 险 ， 因 为 用 户 界 面 被 设 计 为 看 起 来 非 常 正 常 并 秘 密 执 行 恶 意 活 动 。 该 特 洛 伊 木 马 程 序 在 下 面 显 示 带 有 进 度 条 和 “ 正 在 加 载 数 据 … ” 的 屏 幕 ， 但 与 此 同 时 ， 它 已 连 接 到 第 一 阶 段 U R L 并 下 载 有 效 负 载 。  
J o k e r s 中 的 解 密 机 制 通 常 是 普 通 的 A E S 或 D E S 加 密 ， 这 种 加 密 已 发 展 为 试 图 通 过 混 淆 加 密 字 符 串 而 不 会 引 起 怀 疑 。 应 用 程 序 使 用 资 源 中 的 字 符 串 应 用 程 序 使 用 资 源 中 的 字 符 串 为 了 隐 藏 与 J o k e r s 恶 意 有 关 的 有 趣 字 符 串 ， 该 特 洛 伊 木 马 从 使 用 “   A E S   /   E C B ” 解 密 的 资 源 （ / r e s o u r c e s / v a l u e s / s t r i n g s . x m l   ） 中 检 索 加 密 的 字 符 串 。  
使 用 内 容 提 供 商 的 应 用 使 用 内 容 提 供 商 的 应 用 上 面 的 技 术 旨 在 隐 藏 感 兴 趣 的 字 符 串 ， 但 是 这 种 尝 试 比 将 其 更 好 ， 因 为 它 可 以 将 代 码 插 入 内 容 提 供 者 的 功 能 中 。 内 容 提 供 者 是 A n d r o i d 中 的 一 个 组 件 ， 用 于 通 过 诸 如 q u e r y （ ） 和 d e l e t e （ ） 之 类 的 功 能 处 理 数 据 库 和 信 息 。  
很 少 有 J o k e r s 变 体 将 代 码 块 注 入 到 内 容 提 供 商 中 ， 作 为 一 些 常 用 S D K （ 例 如 c o m . u n i t y 3 d . p l a y e r ） 的 一 部 分 。   结 论 结 论 每 天 ， Z i m p e r i u m 的 研 究 人 员 都 会 在 用 户 设 备 上 发 现 恶 意 软 件 。 恶 意 软 件 不 应 该 存 在 ， 但 是 确 实 存 在 。 本 博 客 文 章 中 报 告 的 样 本 只 是 其 中 的 一 部 分 - 冰 山 一 角 。   但 是 ， 还 有 一 个 好 消 息 ， 即 使 恶 意 行 为 者 及 时 获 得 更 多 创 造 力 并 在 官 方 应 用 商 店 中 找 到 方 法 时 ， 我 们 也 在 发 现 它 们 。 我 们 的 设 备 上 恶 意 软 件 引 擎 是 您 抵 抗 恶 意 软 件 的 最 佳 盟 友 。 我 们 已 经 覆 盖 了 您 。   妥 协 指 标 妥 协 指 标 下 面 列 出 了 博 客 文 章 中 描 述 的 样 本 的 危 害 指 标 。 命 令 与 控 制 服 务 器
检 测 到 的 J o k e r 木 马 的 软 件 包 名 称
传 递 有 效 负 载 d e x 文 件 的 域 h t t p   [ ： / /   b l a c k d r a g o n 0 2   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m h t t p   [ ： / /   h a r d w a r e s t a n d a r d s   [ . s h o p h t t p   [ ： / /   p u r c h a s i n g m a n a g e r s   [ . c l u b h t t p s   [ ： / /   b l a c k d r a g o n   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m h t t p   [ ： / /   r u i k   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m h t t p   [ ： / /   g o l d e n c i t y   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m h t t p s   [ ： / /   w e r e 4 o 5   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m h t t p s   [ ： / /   v e r 2 0 2 0 0 9 0 8   [ . o s s - e u - w e s t - 1 . a l i y u n c s   [ . c o m h t t p s   [ ： / /   n u y e h g a c k   [ . o s s - a p - s o u t h e a s t - 5 . a l i y u n c s   [ . c o m
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理