搜索

[16409] 2021-02-06_针对巴基斯坦用户的新Android木马程序

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2021-02-06_针对巴基斯坦用户的新Android木马程序 针 对 巴 基 斯 坦 用 户 的 新 A n d r o i d 木 马 程 序 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 1 - 0 2 - 0 6 概 述 概 述 近 期 ， 安 全 研 究 人 员 发 现 了 一 批 新 的 a n d r o i d 木 马 程 序 。 这 批 木 马 程 序 通 过 在 安 全 应 用 的 启 动 程 序 中 加 入 自 身 的 恶 意 代 码 或 修 改 安 全 应 用 的 启 动 组 件 ， 然 后 将 应 用 程 序 重 打 包 ， 以 达 到 窃 取 用 户 隐 私 数 据 的 目 的 。 修 改 后 的 应 用 看 起 来 与 安 全 的 应 用 程 序 完 全 相 同 ， 甚 至 可 执 行 其 正 常 功 能 。 这 批 木 马 程 序 主 要 针 对 巴 基 斯 坦 用 户 ， 程 序 启 动 后 首 先 连 接 服 务 器 下 载 恶 意 d e x 文 件 ， 通 过 加 载 恶 意 的 d e x 文 件 执 行 窃 取 用 户 通 讯 录 、 短 信 息 、 通 话 记 录 、 文 件 等 信 息 的 行 为 。 并 不 影 响 原 程 序 的 执 行 流 程 ， 用 户 难 以 发 现 恶 意 软 件 的 异 常 行 为 。 一 、 发 现 过 程 一 、 发 现 过 程 在 域 名 为 p m d u . i n f o 的 钓 鱼 网 站 上 托 管 着 修 改 后 的 由 巴 基 斯 坦 政 府 发 行 的 P a k i s t a n C i t i z e n   P o r t a l   应 用 程 序 ， P a k i s t a n C i t i z e n   P o r t a l   应 用 程 序 是 由 一 个 名 为 P M D U 的 政 府 机 构 于 2 0 1 9 年 创 建 的 ， 其 真 正 托 管 在 域 名 为 g o v . p k 的 网 站 上 。 图 1 - 1   托 管 恶 意 程 序 的 钓 鱼 网 站 图 1 - 2   伪 造 g o o g l e p l a y 页 面 用 户 无 论 点 击 以 下 那 个 按 钮 都 会 直 接 下 载 该 恶 意 程 序 ：
图 1 - 3   下 载 连 接 其 中 研 究 人 员 在 巴 基 斯 坦 一 家 私 人 公 司 巴 基 斯 坦 贸 易 有 限 公 司 （ T C P ） 的 官 方 网 站 页 面 上 发 现 了 托 管 该 恶 意 软 件 的 网 址 ， 该 链 接 直 接 指 向 钓 鱼 网 站 。 怀 疑 该 网 站 招 到 了 黑 客 的 破 坏 。 图 1 - 4   T C P 网 站 程 序 钓 鱼 网 站 链 接 二 、 样 本 信 息 二 、 样 本 信 息 除 了 重 打 包 P a k i s t a n C i t i z e n   P o r t a l   应 用 程 序 外 ， 我 们 还 发 现 了 该 木 马 的 同 源 样 本 ， 这 些 应 用 程 序 都 是 针 对 巴 基 斯 坦 用 户 。 2 . 1   文 件 结 构 文 件 结 构 安 全 的 应 用 程 序 与 被 重 打 包 的 应 用 程 序 文 件 目 录 大 致 相 同 ：
图 2 - 1   文 件 结 构 对 比 黑 客 修 改 了 安 全 应 用 的 启 动 组 件 ： 图 2 - 2   启 动 程 序 对 比 并 在 启 动 程 序 中 加 入 了 自 身 代 码 ， 从 而 控 制 程 序 执 行 流 程 ： 图 2 - 3   启 动 程 序 中 加 入 自 身 代 码
2 . 2   程 序 图 标 程 序 图 标 图 2 - 1   应 用 图 标 2 . 3   程 序 运 行 界 面 程 序 运 行 界 面
图 2 - 2   程 序 运 行 界 面 2 . 4   程 序 运 行 流 程 程 序 运 行 流 程 这 些 应 用 程 序 都 是 通 过 在 安 全 应 用 的 启 动 代 码 中 加 入 自 身 代 码 或 修 改 安 全 应 用 的 启 动 组 件 来 改 变 程 序 执 行 流 程 ， 从 而 达 到 窃 取 用 户 隐 私 数 据 的 目 的 ， 恶 意 功 能 执 行 完 毕 便 回 归 到 合 法 程 序 的 政 常 执 行 流 程 。 图 2 - 3   程 序 运 行 流 程 图 三 、 行 为 分 析 三 、 行 为 分 析 3 . 1   动 态 加 载 恶 意 代 码 动 态 加 载 恶 意 代 码 程 序 启 动 首 先 会 发 送 设 备 的 唯 一 I M E I 标 识 符 和 时 间 戳 以 及 用 户 名 和 密 码 组 合 （ ” a b c ” 、 ” d e f ” ） 提 交 到 服 务 器 。 提 交 此 信 息 后 ， 应 用 程 序 立 即 从 服 务 器 下 载 D E X 有 效 负 载 c l a s s . d e x ， 然 而 加 载 D E X 文 件 执 行 其 恶 意 代 码 。 在 大 多 数 情 况 下 ， 有 效 负 载 名 为 c l a s s . d e x ， 但 是 T r o j a n i z e d   T P L I n s u r a n c e 应 用 程 序 会 检 索 名 为 c l a s s _ t p l . d e x 的 有 效 负 载 。
图 3 - 1 下 载 c l a s s . d e x 文 件 从 服 务 器 下 载 D E X 文 件 并 保 存 在 本 地 文 件 目 录 ， 接 着 从 本 地 加 载 D E X 文 件 。 图 3 - 2   加 载 D E X 文 件 3 . 2   窃 取 用 户 隐 私 数 据 窃 取 用 户 隐 私 数 据 调 用 D E X 文 件 中 的 l o a d D a t a 方 法 ， 窃 取 用 户 设 备 、 位 置 、 联 系 人 、 短 信 、 通 话 记 录 、 文 件 信 息 ： 图 3 - 3   执 行 恶 意 程 序 为 了 隐 藏 自 身 ， 恶 意 程 序 对 服 务 器 地 址 进 行 了 A E S 加 密 ， 且 对 上 传 的 用 户 隐 私 数 据 进 行 亦 或 加 密 ： 图 3 - 4   服 务 器 地 址 加 密 密 钥
恶 意 软 件 上 传 用 户 设 备 所 以 文 件 列 表 ： 图 3 - 5   上 传 用 户 文 件 信 息 网 络 请 求 数 据 包 ： 图 3 - 6   服 务 器 请 求 P a k i s t a n   C i t i z e n P o r t a l   应 用 程 序 以 及 其 他 一 些 应 用 程 序 将 窃 取 的 用 户 信 息 上 传 到 域 名 p h a t . o n l i n e 、 、 1 7 2 . 1 6 . . 7 2 的 服 务 器 ， 而 伪 造 的 T P L I n s u r a n c e 应 用 程 序 将 其 窃 取 的 数 据 上 传 到 域 名 为 t p l i * r a n c e . x y z 的 服 务 器 。 服 务 器 列 表 ： 服 务 器 地 址 服 务 器 地 址 功 能 功 能 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / j s o n / l o g _ d a t a . p h p 上 传 设 备 I M E I 、 用 户 名 、 密 码 h t t p : / / p a * * a t . o n l i n e / C h a t _ v i e w / a p i / d e x / c l a s s . d e x 下 载 c l a s s . d e x h t t p : / / p a * * a t . o n l i n e / C h a t _ v i e w / a p i / d e v i c e _ i n f o . p h p 上 传 设 备 信 息 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / j s o n / c o n t a c t . p h p 上 传 联 系 人 信 息 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / j s o n / m e s s a g e . p h p 上 传 短 信 息 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / j s o n / c a l l _ l o g . p h p 上 传 通 话 记 录 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / f i l e _ m a n a g e r . p h p 上 传 文 件 目 录 h t t p : / / p a * h a t . o n l i n e / C h a t _ v i e w / a p i / f i l e s _ u p . p h p 上 传 文 件 信 息 h t t p : / / t p l i * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / j s o n / l o g _ d a t a . p h p 上 传 设 备 I M E I 、 用 户 名 、 密 码
h t t p : / / t p l i n * a n c e . x y z / i n s u r a n c e / p r o d u c t s / d e x / c l a s s _ t p l . d e x 下 载 c l a s s . d e x h t t p : / / t p l i n s * n c e . x y z / i n s u r a n c e / p r o d u c t s / d e v i c e _ i n f o . p h p 上 传 设 备 信 息 h t t p : / / t p l i * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / l o c a t i o n . p h p 上 传 位 置 信 息 h t t p : / / t p l i * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / c o n t a c t . p h p 上 传 联 系 人 信 息 h t t p : / / t p l i n * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / m e s s a g e . p h p 上 传 短 信 息 h t t p : / / t p l i * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / c a l l _ l o g . p h p 上 传 通 话 记 录 h t t p : / / t p l i * r a n c e . x y z / i n s u r a n c e / p r o d u c t s / f i l e _ m a n a g e r . p h p 上 传 文 件 目 录 h t t p : / / t p l i n * a n c e . x y z / i n s u r a n c e / p r o d u c t s / f i l e s _ u p . p h p 上 传 文 件 信 息 h t t p : / / 1 7 2 . 1 6 . * . 7 2 / f u r y / a p i / d e v i c e _ i n f o . p h p 上 传 设 备 信 息 h t t p : / / 1 7 2 . 1 6 . * . 7 2 / f u r y / a p i / j s o n / c o n t a c t . p h p 上 传 联 系 人 信 息 h t t p : / / 1 7 2 . 1 6 . * . 7 2 / f u r y / a p i / j s o n / m e s s a g e . p h p 上 传 短 信 息 h t t p : / / 1 7 2 . 1 6 . * . 7 2 / f u r y / a p i / d e x / c l a s s . d e x 下 载 c l a s s . d e x h t t p : / / 1 7 2 . 1 6 . * . 7 2 / f u r y / a p i / j s o n / c a l l _ l o g . p h p 上 传 通 话 记 录 h t t p s : / / k v 3 3 . z * t o . o r g : 8 8 8 7 / m o b i s y n c 上 传 获 取 的 所 以 用 户 隐 私 数 据 服 务 器 地 址 服 务 器 地 址 功 能 功 能 3 . 3   延 迟 执 行 数 据 上 传 行 为 延 迟 执 行 数 据 上 传 行 为 其 中 P a k i s t a n S a l a t   T i m e 程 序 的 窃 取 用 户 隐 私 数 据 的 恶 意 代 码 直 接 写 在 合 法 程 序 中 ， 并 直 接 通 过 广 播 触 发 窃 取 用 户 隐 私 数 据 的 服 务 。 图 3 - 8 通 过 广 播 促 发 相 应 恶 意 服 务 该 应 用 程 序 除 了 具 有 与 P a k i s t a n C i t i z e n   P o r t a l   应 用 程 序 一 样 的 窃 取 用 户 隐 私 数 据 的 行 为 外 ， 还 会 对 用 户 录 音 及 上 传 屏 幕 截 屏 信 息 ， 具 有 监 控 性 质 。
图 3 - 9   执 行 恶 意 程 序 上 传 用 户 隐 私 数 据 ， 服 务 器 地 址 ： h t t p s : / / k v 3 3 . z * * * t o . o r g : 8 8 8 7 / m o b i s y n c 图 3 - 1 0   保 存 收 集 的 用 户 隐 私 数 据 图 3 - 1 1   上 传 至 服 务 器 该 应 用 程 序 并 不 会 马 上 上 传 用 户 隐 私 数 据 ， 而 是 设 置 了 一 个 值 ， 当 这 个 值 大 于 5 0 便 上 传 ， 如 果 小 于 5 0 便 休 眠 5 0 s ， 所 以 分 析 人 员 一 开 始 并 不 会 发 现 他 上 传 用 户 隐 私 数 据 行 为 。
图 3 - 1 2   设 置 验 证 执 行 五 、 安 全 建 议 五 、 安 全 建 议 用 户 安 装 所 需 软 件 ， 建 议 去 正 规 的 应 用 市 场 下 载 、 去 官 方 下 载 。 在 手 机 当 中 安 装 必 要 的 安 全 软 件 ， 并 保 持 安 全 软 件 更 新 。 I O C P a * h a t . o n l i n e T p l i * r a n c e . x y z k v 3 3 . z * * t o . o r g 1 7 2 . 1 6 . * . 7 2 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理