搜索

[14182] 2019-06-02_关于海莲花组织针对移动设备攻击的分析报告

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-06-02_关于海莲花组织针对移动设备攻击的分析报告 关 于 海 莲 花 组 织 针 对 移 动 设 备 攻 击 的 分 析 报 告 a n t i y l a b   F r e e B u f   2 0 1 9 - 0 6 - 0 2 海 莲 花 是 什 么 ？ 海 莲 花 是 什 么 ？ “ 海 莲 花 海 莲 花 ” （ 又 名 （ 又 名 A P T - T O C S 、 、 A P T 3 2 、 、 O c e a n L o t u s ） ， 被 认 为 是 来 自 中 南 半 岛 某 国 的 ） ， 被 认 为 是 来 自 中 南 半 岛 某 国 的 A P T 攻 击 组 织 ， 自 攻 击 组 织 ， 自 2 0 1 2 年 活 跃 以 来 ， 一 直 针 对 中 国 的 敏 感 目 标 进 行 攻 击 活 动 ， 是 近 几 年 来 针 对 中 国 大 陆 进 行 攻 击 活 动 的 最 活 跃 的 年 活 跃 以 来 ， 一 直 针 对 中 国 的 敏 感 目 标 进 行 攻 击 活 动 ， 是 近 几 年 来 针 对 中 国 大 陆 进 行 攻 击 活 动 的 最 活 跃 的 A P T 攻 击 组 织 之 一 。 攻 击 组 织 之 一 。 安 天 及 其 他 安 全 厂 商 在 之 前 已 经 发 布 过 多 份 关 于 海 莲 花 的 分 析 报 告 ， 报 告 的 内 容 主 要 集 中 在 P C 端 ， 攻 击 手 段 往 往 以 鱼 叉 攻 击 和 钓 鱼 攻 击 为 主 ， 移 动 端 的 攻 击 并 不 多 见 。 然 而 ， 随 着 移 动 互 联 网 的 发 展 ， 一 方 面 人 们 的 手 机 逐 渐 出 现 两 用 性 ， 除 了 包 含 使 用 者 的 个 人 隐 私 外 ， 也 往 往 会 带 有 其 社 会 属 性 ， 另 一 方 面 ， 智 能 手 机 的 无 线 通 信 可 以 绕 过 内 部 安 全 监 管 设 备 ， 故 而 针 对 移 动 端 的 攻 击 也 成 为 了 整 个 攻 击 链 条 中 的 重 要 一 环 。 下 面 ， 安 天 移 动 安 全 以 发 生 于 我 国 的 一 起 移 动 端 攻 击 事 件 为 蓝 本 进 行 具 体 分 析 说 明 。 具 体 分 析 具 体 分 析 表 1 .   典 型 样 本 基 本 信 息 该 应 用 伪 装 正 常 应 用 ， 在 运 行 后 隐 藏 图 标 ， 并 于 后 台 释 放 恶 意 子 包 并 接 收 远 程 控 制 指 令 ， 窃 取 用 户 短 信 、 联 系 人 、 通 话 记 录 、 地 理 位 置 、 浏 览 器 记 录 等 隐 私 信 息 ， 私 自 下 载 a p k 、 拍 照 、 录 音 ， 并 将 用 户 隐 私 上 传 至 服 务 器 ， 造 成 用 户 隐 私 泄 露 。 样 本 分 析 样 本 分 析 该 应 用 启 动 后 会 打 开 L i c e n s e S e r v i c e 服 务 ： 该 服 务 会 开 启 f 线 程 用 于 注 册 和 释 放 间 谍 子 包 ：
注 册 u r l ： h t t p : / / c k o e n . d m k a t t i . c o m 动 态 加 载 间 谍 子 包 ：
子 包 分 析 子 包 分 析 主 包 反 射 调 用 c o m . a n d r o i d . p r e f e r e n c e s . A n d r o i d R 类 的 E x e c u t e 方 法 ： 首 先 建 立 s o c k e t 连 接 ： s o c k e t 地 址 ： m t k . b a i m i n d . c o m 通 过 与 手 机 建 立 通 讯 ， 发 送 控 制 指 令 和 上 传 短 信 、 联 系 人 、 通 话 记 录 、 地 理 位 置 、 浏 览 器 记 录 等 部 分 隐 私 信 息 。
此 外 该 间 谍 子 包 还 建 立 了 h t t p s 通 讯 ， 用 于 上 传 录 音 、 截 图 、 文 档 、 相 片 、 视 频 等 大 文 件 。 h t t p s 地 址 ：   h t t p s : / / j a n g . g o o n g n a m . c o m / r e s o u r c e / r e q u e s t . p h p 。 目 前 已 经 失 活 ， 该 C 2 属 于 海 莲 花 组 织 资 产 。
表 2 .   C C 所 在 位 置 及 作 用 如 下 图 所 示 ： 首 先 ， 签 名 S u b j e c t 中 包 含 H a c k i n g T e a m 、 C h r i s t i a n   P o z z ( H a c k i n g   T e a m 中 一 个 管 理 员 的 名 字 ) 字 样 ； 其 次 ， 代 码 中 的 注 册 功 能 ， 可 以 认 定 是 对 外 出 售 的 商 业 间 谍 软 件 ； 最 后 ， 根 据 后 期 H a c k i n g   T e a m 泄 漏 资 料 来 看 ， 海 莲 花 组 织 所 属 国 家 亦 在 其 客 户 名 单 之 中 。 拓 展 分 析 拓 展 分 析 根 据 注 册 C C 的 同 源 性 ， 我 们 查 找 到 如 下 样 本 ： 表 3 .   通 过 C C 检 索 到 的 同 源 样 本 与 我 们 分 析 的 样 本 不 同 ， 以 上 样 本 有 了 明 显 的 功 能 改 进 ， 增 加 了 提 权 功 能 ， 以 4 5 A E 1 C B 1 5 9 6 E 5 3 8 2 2 0 C A 9 9 B 2 9 8 1 6 3 0 4 F 为 例 ， 对 其 a s s e t s 目 录 名 为 d a t a O f f . d b 的 文 件 进 行 解 密 ， 解 密 之 后 的 文 件 中 带 有 提 权 配 置 文 件 ， 如 下 所 示 ：
由 此 可 见 ， 在 代 码 泄 漏 后 H a c k i n g T e a m 组 织 的 C E O 表 示 “ 泄 漏 的 代 码 只 是 很 小 一 部 分 ” 的 言 论 是 有 依 据 的 ， 这 也 从 侧 面 反 映 出 网 络 军 火 商 在 一 定 程 度 上 降 低 了 A P T 攻 击 的 门 槛 ， 使 得 网 络 攻 击 出 现 更 多 的 不 确 定 性 。 同 时 我 们 也 注 意 到 ， 该 系 列 恶 意 代 码 有 通 过 国 内 第 三 方 应 用 市 场 和 文 件 共 享 网 站 进 行 的 投 递 。 表 4 .   样 本 分 发 链 接 总 结 总 结 海 莲 花 组 织 总 是 在 演 进 变 化 ， 不 断 地 通 过 更 新 其 攻 击 手 法 和 武 器 库 以 达 到 绕 过 安 全 软 件 防 御 的 目 的 。 除 了 武 器 库 的 不 断 更 新 ， 该 组 织 也 相 当 熟 悉 中 国 的 情 况 ， 包 括 政 策 、 使 用 习 惯 等 。 这 不 仅 迷 惑 了 相 关 人 员 ， 增 加 了 其 攻 击 成 功 率 ， 同 时 也 可 能 给 目 标 受 害 群 体 带 来 不 可 估 量 的 损 失 。 因 此 对 于 个 人 来 讲 ， 要 切 实 提 高 网 络 安 全 意 识 ， 不 要 被 网 络 钓 鱼 信 息 所 蒙 蔽 ； 对 于 安 全 厂 商 来 讲 ， 更 需 要 对 其 加 深 了 解 并 持 续 进 行 针 对 性 的 对 抗 ， 提 升 安 全 防 护 能 力 ， 真 正 为 用 户 侧 的 移 动 安 全 保 驾 护 航 。 附 录 （ 附 录 （ I O C ) 5 0 7 9 C B 1 6 6 D F 4 1 2 3 3 A 1 0 1 7 D 5 E 0 1 5 0 C 1 7 A         F 2 9 D F F D 9 8 1 7 F 7 F D A 0 4 0 C 9 6 0 8 C 1 4 3 5 1 D 3         0 E 7 C 2 A D D A 3 B C 6 5 2 4 2 A 3 6 5 E F 7 2 B 9 1 F 3 A 8         C 6 3 0 A B 7 B 5 1 F 0 C 0 F A 3 8 A 4 A 0 F 4 5 C 7 9 3 E 2 4         C E 5 B A E 8 7 1 4 D D F C A 9 E B 3 B B 2 4 E E 6 0 F 0 4 2 D         B F 1 C A 2 D A B 5 D F 0 5 4 6 A A C C 0 2 A B F 4 0 C 2 F 1 9         D 1 E B 5 2 E F 6 C 2 4 4 5 C 8 4 8 1 5 7 B E A B A 5 4 0 4 4 F         4 5 A E 1 C B 1 5 9 6 E 5 3 8 2 2 0 C A 9 9 B 2 9 8 1 6 3 0 4 F         5 0 B F D 6 2 7 2 1 B 4 F 3 8 1 3 C 2 D 2 0 B 5 9 6 4 2 F 0 2 2         8 6 c 5 4 9 5 b 0 4 8 8 7 8 e c 9 0 3 e 6 2 5 0 6 0 0 e c 3 0 8         7 8 0 a 7 f 9 4 4 6 f 6 2 d d 2 3 b 8 7 b 5 9 b 6 7 6 2 4 8 8 7         D A B F 0 5 3 7 6 C 4 E F 5 C 1 3 8 6 E A 8 C E C F 3 A C D 5 B         8 6 C 5 4 9 5 B 0 4 8 8 7 8 E C 9 0 3 E 6 2 5 0 6 0 0 E C 3 0 8         F 2 9 D F F D 9 8 1 7 F 7 F D A 0 4 0 C 9 6 0 8 C 1 4 3 5 1 D 3        
致 谢 致 谢 感 谢 奇 安 信 红 雨 滴 团 队 （ 原 3 6 0 企 业 安 全 威 胁 情 报 小 组 ） 对 于 因 s i n k h o l e 造 成 的 域 名 归 因 疏 漏 的 热 心 指 正 。 * 本 文 作 者 ： 本 文 作 者 ： a n t i y l a b ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐 F 2 9 D F F D 9 8 1 7 F 7 F D A 0 4 0 C 9 6 0 8 C 1 4 3 5 1 D 3         C 8 3 F 5 5 8 9 D F D F B 0 7 B 8 B 7 9 6 6 2 0 2 1 8 8 D E E 5         2 2 9 A 3 9 8 6 0 D 1 E B E A F C 0 E 1 C E F 5 8 8 0 6 0 5 F A         A 9 C 4 2 3 2 B 3 4 8 3 6 3 3 7 A 7 1 6 8 A 9 0 2 6 1 D A 4 1 0         8 7 7 1 3 8 E 4 7 A 7 7 E 2 0 B F F B 0 5 8 E 8 F 9 4 F A F 1 E         5 0 7 9 C B 1 6 6 D F 4 1 2 3 3 A 1 0 1 7 D 5 E 0 1 5 0 C 1 7 A         2 E 7 8 0 E 2 F F 2 0 A 2 8 D 4 2 4 8 5 8 2 F 1 1 D 2 4 5 D 7 8         0 E 7 C 2 A D D A 3 B C 6 5 2 4 2 A 3 6 5 E F 7 2 B 9 1 F 3 A 8         3 1 5 F 8 E 3 D A 9 4 9 2 0 2 4 8 6 7 6 B 0 9 5 7 8 6 E 2 6 A D         D 1 E B 5 2 E F 6 C 2 4 4 5 C 8 4 8 1 5 7 B E A B A 5 4 0 4 4 F         D A B F 0 5 3 7 6 C 4 E F 5 C 1 3 8 6 E A 8 C E C F 3 A C D 5 B         A D 3 2 E 5 1 9 8 C 3 3 A A 5 A 7 E 4 A E F 9 7 B 7 A 7 C 0 9 E         D F 2 E 4 C E 8 C C 6 8 C 8 6 B 9 2 D 0 D 0 2 E 4 4 3 1 5 C C 1         C 2 0 F A 2 C 1 0 B 8 C 8 1 6 1 A B 8 F A 2 1 A 2 E D 6 2 7 2 D         5 5 E 5 B 7 1 0 0 9 9 7 1 3 F 6 3 2 B F D 8 E 6 E B 0 F 4 9 6 C         C F 5 7 7 4 F 6 C A 6 0 3 A 7 4 8 B 4 C 5 C C 0 F 7 6 A 2 F D 5         6 6 9 8 3 E F C 8 7 0 6 6 C D 9 2 0 C 1 5 3 9 A F 0 8 3 D 9 2 3         6 9 2 3 2 8 8 9 A 2 0 9 2 B 5 C 0 D 9 A 5 8 4 7 6 7 A F 0 3 3 3         C 6 F E 1 B 2 D 9 C 2 D F 1 9 D A 0 A 1 3 2 B 5 B 9 D 9 A 0 1 1         C E 5 B A E 8 7 1 4 D D F C A 9 E B 3 B B 2 4 E E 6 0 F 0 4 2 D         5 0 B F D 6 2 7 2 1 B 4 F 3 8 1 3 C 2 D 2 0 B 5 9 6 4 2 F 0 2 2         C 6 3 0 A B 7 B 5 1 F 0 C 0 F A 3 8 A 4 A 0 F 4 5 C 7 9 3 E 2 4         8 1 0 E F 7 1 B B 5 2 E A 5 C 3 C F E 5 8 B 8 E 0 0 3 5 2 0 D C         B F 1 C A 2 D A B 5 D F 0 5 4 6 A A C C 0 2 A B F 4 0 C 2 F 1 9         4 5 A E 1 C B 1 5 9 6 E 5 3 8 2 2 0 C A 9 9 B 2 9 8 1 6 3 0 4 F         5 A F 0 1 2 7 A 5 E 9 7 F B 4 F 1 1 1 E C B A 2 B E 1 1 1 4 F A         7 4 6 4 6 D F 1 4 9 7 0 F F 3 5 6 F 3 3 9 7 8 A 6 B 7 F D 5 9 D         D F 8 4 5 B 9 C A E 7 C 3 9 6 C D E 3 4 C 5 D 0 C 7 6 4 3 6 0 A         C 2 0 F A 2 C 1 0 B 8 C 8 1 6 1 A B 8 F A 2 1 A 2 E D 6 2 7 2 D         6 4 1 F 0 C C 0 5 7 E 2 A B 4 3 F 5 4 4 4 C 5 5 4 7 E 8 0 9 7 6
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理