搜索

[28428] 2020-07-21_AndroidRootnik恶意软件：深入研究第一部分

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-19
2020-07-21_AndroidRootnik恶意软件：深入研究第一部分 A n d r o i d   R o o t n i k 恶 意 软 件 ： 深 入 研 究   第 一 部 分 F o r t i G u a r d   O t s 安 全   2 0 2 0 - 0 7 - 2 1 2 0 1 7 年 6 月 初 ， F o r t i G u a r d 实 验 室 发 现 了 一 个 新 的 A n d r o i d   r o o t n i k 恶 意 软 件 变 种 ， 伪 装 成 合 法 应 用 程 序 。 然 后 ， 它 使 用 开 源 的 A n d r o i d 根 漏 洞 利 用 工 具 来 获 取 A n d r o i d 设 备 上 的 根 访 问 权 限 。 需 要 明 确 的 是 ， 未 在 G o o g l e   P l a y 中 找 到 此 恶 意 软 件 。 恶 意 软 件 应 用 程 序 的 开 发 人 员 从 G o o g l e   P l a y 重 新 包 装 了 一 个 合 法 应 用 程 序 ， 并 将 恶 意 代 码 插 入 其 中 。 此 应 用 的 合 法 版 本 和 重 新 打 包 的 版 本 均 使 用 相 同 的 程 序 包 名 称 “ n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n ” 。 结 果 ， 这 种 伪 装 甚 至 可 以 欺 骗 细 心 的 用 户 。 此 外 ， 该 恶 意 软 件 还 使 用 高 级 防 调 试 技 术 来 防 止 其 被 反 向 工 程 。 在 A n d r o i d 设 备 上 成 功 获 得 r o o t 特 权 后 ， 该 恶 意 软 件 即 可 执 行 多 项 恶 意 操 作 ， 包 括 应 用 程 序 和 广 告 促 销 ， 静 默 应 用 程 序 安 装 ， 推 送 通 知 ， 发 送 S M S 消 息 等 。 在 此 博 客 中 ， 我 将 对 此 恶 意 软 件 变 体 。 快 速 了 解 恶 意 软 件 快 速 了 解 恶 意 软 件 恶 意 软 件 应 用 是 名 为 “   W i - F i 自 动 连 接 ” 的 应 用 的 重 新 打 包 版 本 ， 该 应 用 是 w i f i 实 用 工 具 。 此 应 用 的 合 法 ， 未 感 染 版 本 仍 可 在 G o o g l e   P l a y 上 使 用 。
图 1 . 恶 意 软 件 应 用 程 序 图 标
图 2 .   G o o g l e   P l a y 中 的 合 法 应 用 我 们 将 恶 意 软 件 的 A P K 文 件 的 反 编 译 结 构 与 合 法 应 用 程 序 的 A P K 文 件 进 行 了 比 较 ， 如 图 3 所 示 。 图 3 . 恶 意 软 件 应 用 程 序 与 合 法 应 用 程 序 之 间 反 编 译 结 构 的 比 较 然 后 ， 我 们 在 两 个 示 例 中 都 比 较 了 A n d r o i d M a n i f e s t . x m l 。
图 4 . 合 法 应 用 程 序 的 A n d r o i d M a n i f e s t . x m l
图 5 . 恶 意 软 件 应 用 程 序 的 A n d r o i d M a n i f e s t . x m l 如 图 4 和 5 所 示 ， 我 们 可 以 看 到 这 两 个 软 件 包 的 名 称 均 为 “   n e t . g o t s u n . a n d r o i d . w i f i _ c o n f i g u r a t i o n ” 。 我 们 还 可 以 看 到 ， 恶 意 软 件 应 用 程 序 的 A n d r o i d M a n i f e s t . x m l 文 件 包 含 合 法 应 用 程 序 的 A n d r o i d M a n i f e s t . x m l 的 副 本 。 此 外 ， 它 还 包 含 大 量 其 他 支 持 其 恶 意 活 动 的 A n d r o i d 组 件 。 如 图 3 所 示 ， 我 们 在 恶 意 软 件 应 用 程 序 中 找 不 到 合 法 应 用 程 序 A P K 的 结 构 。 这 意 味 着 该 恶 意 软 件 应 用 已 打 包 。 因 此 ， 我 们 需 要 先 将 其 解 压 缩 以 获 得 恶 意 软 件 应 用 程 序 的 真 实 D E X 文 件 。 然 后 ， 我 们 可 以 分 析 实 际 的 D E X 文 件 。 如 何 解 压 恶 意 软 件 应 用 程 序 如 何 解 压 恶 意 软 件 应 用 程 序 以 下 是 恶 意 软 件 应 用 的 A P K 文 件 中 的 文 件 结 构 。
图 6 . 恶 意 软 件 应 用 的 A P K 文 件 中 的 文 件 结 构 如 图 6 所 示 ， 我 们 可 以 看 到 c o m . t e n c e n t . S t u b S h e l l . T x A p p E n t r y 是 恶 意 软 件 应 用 程 序 的 条 目 。 以 下 是 c o m . t e n c e n t . S t u b S h e l l . T x A p p E n t r y 类 中 的 函 数 a t t a c h B a s e C o n t e x t （ ） 。 图 7 .   c o m . t e n c e n t . S t u b S h e l l . T x A p p E n t r y 类 的 函 数 a t t a c h B a s e C o n t e x t （ ） 在 此 功 能 中 ， 恶 意 软 件 会 加 载 库 l i b s h e l l a - 2 . 1 0 . 3 . 1 . s o ， 然 后 调 用 用 于 解 密 隐 藏 在 c l a s s e s . d e x 中 的 数 据 的 本 机 方 法 加 载 ， 以 获 取 并 加 载 实 际 的 D E X 。 执 行 函 数 a t t a c h B a s e C o n t e x t （ ） 之 后 ， 可 以 执 行 函 数 o n C r e a t e （ ） 。
图 8 .   c o m . t e n c e n t . S t u b S h e l l . T x A p p E n t r y 类 的 函 数 o n C r e a t e （ ） 可 以 调 用 本 机 方 法 r u n C r e a t e （ ） 来 运 行 实 际 应 用 程 序 。   接 下 来 ， 我 们 开 始 分 析 和 调 试 l i b s h e l l a - 2 . 1 0 . 3 . 1 . s o 。 E L F 文 件 l i b s h e l l a - 2 . 1 0 . 3 . 1 . s o 的 小 节 标 题 已 修 改 。 当 我 们 进 行 静 态 分 析 时 ， 这 会 导 致 I D A   P r o 无 法 正 确 识 别 和 解 析 它 。 这 意 味 着 我 们 需 要 使 用 I D A   P r o 动 态 调 试 它 。 在 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 的 . i n i t _ a r r a y 段 中 ， 有 两 个 函 数 地 址 。 以 下 是 执 行 . i n i t _ a r r a y 之 前 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 的 段 。 图 9 . 执 行 . i n i t _ a r r a y 之 前 的 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 段 第 二 个 函 数 是 s u b _ 1 9 C 0 （ ） 。 以 下 是 函 数 s u b _ 1 9 C 0 （ ） 中 的 键 控 代 码 段 。 图 1 0 . 函 数 s u b _ 1 9 C 0 中 的 键 代 码 片 段 函 数 s u b _ C E D 4 （ ） 用 于 完 成 一 些 反 调 试 工 作 。 图 1 1 . 函 数 s u b _   C E D 4 （ ） 我 们 在 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 的 段 中 的 偏 移 量 0 x 2 2 1 C 处 设 置 了 一 个 断 点 。 这 允 许 在 此 地 址 调 用 反 调 试 功 能 s u b _ C E D 4 （ ） 。 为 了 绕 过 反 调 试 ， 我 们 仅 将 指 令 存 储 器 修 改 为 |   0 0   0 0   A 0   E 1   | （ m o v   r 0 ， r 0 ） 。
图 1 2 . 防 调 试 功 能 图 1 3 . 绕 过 反 调 试 代 码 现 在 ， 让 我 们 看 一 下 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 的 段 。 我 们 发 现 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 还 有 两 个 段 。 调 用 防 调 试 功 能 s u b _ C E D 4 （ ） 之 前 的 代 码 将 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 中 的 数 据 从 0 x 4 0 0 0 解 密 到 0 x C F 6 8 ， 然 后 以 R X 模 式 将 解 密 后 的 数 据 重 新 映 射 到 内 存 段 中 。 实 际 上 ， 函 数 J N I _ O n l o a d 就 位 于 该 内 存 中 。 图 1 4 .   l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 的 另 外 两 个 段
接 下 来 ， 我 们 在 函 数 J N I _ O n l o a d （ ） 处 设 置 一 个 断 点 。 其 偏 移 量 为 0 x 9 9 E C 。 它 可 以 在 偏 移 量 0 x 9 F 4 4 处 调 用 函 数 s u b _ 4 B D C （ ） 。 执 行 功 能 s u b _ 4 B D C （ ） 之 后 的 A n d r o i d 日 志 如 下 所 示 。 图 1 5 . 执 行 功 能 s u b _ 4 B D C （ ） 之 后 的 A n d r o i d 日 志 图 1 6 . 调 用 函 数 s u b _ 4 B D C （ ）
图 1 7 . 执 行 函 数 s u b _ 4 B D C （ ） 之 后 如 图 1 7 所 示 ， 我 们 可 以 看 到 在 执 行 功 能 s u b _ 4 B D C （ ） 之 后 创 建 了 一 个 新 的 代 码 段 d e b u g 1 0 2 。 接 下 来 ， 我 们 继 续 在 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 中 的 偏 移 量 0 x a 0 a 8 处 设 置 断 点 。 图 1 8 . 在 l i b s h e l l a _ 2 . 1 0 . 3 . 1 . s o 中 的 偏 移 量 0 x a 0 a 8 处 触 发 断 点 在 偏 移 量 0 x A 0 C 4 ， 它 可 以 在 段 d e b u g 1 0 2 中 跳 转 功 能 地 址 偏 移 量 0 x 5 9 0 C 。 接 下 来 ， 我 们 在 段 d e b u g 1 0 2 中 的 偏 移 量 0 x 5 8 A C 处 设 置 一 个 断 点 。 程 序 在 偏 移 量 0 x 5 8 A C 处 调 用 函 数 r e g i s t e r N a t i v e s 以 动 态 注 册 五 个 本 地 方 法 ， 这 些 方 法 是 ： “   l o a d ” ， “   r u n C r e a t e ” ， “   c h a n g e E n v ” ， “   r e c i v e r ” 和 “   t x E n t r i e s ” 。 它 们 的 偏 移 量 分 别 为 0 x c d 5 1 、 0 x 8 f 5 d ， 0 x 8 b 7 1 、 0 x 5 2 b 1 、 0 x 8 a 8 5 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理