搜索

[9212] 2015-08-08_FireEye：HackingTeam军火库中大量运用iOS假面攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-17
2015-08-08_FireEye：HackingTeam军火库中大量运用iOS假面攻击 F i r e E y e ： H a c k i n g   T e a m 军 火 库 中 大 量 运 用 i O S 假 面 攻 击 F r e e B u f   2 0 1 5 - 0 8 - 0 8 微 信 号 微 信 号 f r e e b u f 在 早 前 我 们 就 已 经 发 布 过 有 关 在 早 前 我 们 就 已 经 发 布 过 有 关 i O S 假 面 攻 击 威 胁 的 文 章 。 到 目 前 为 止 ， 这 类 攻 击 依 旧 十 分 流 行 。 假 面 攻 击 威 胁 的 文 章 。 到 目 前 为 止 ， 这 类 攻 击 依 旧 十 分 流 行 。 F i r e E y e 最 近 从 最 近 从 H a c k i n g T e a m 军 火 库 中 发 现 军 火 库 中 发 现 1 1 款 款 i O S   A p p 使 用 了 假 面 攻 击 ， 其 中 有 一 款 恶 意 使 用 了 假 面 攻 击 ， 其 中 有 一 款 恶 意 A p p 还 是 针 对 未 越 狱 用 户 的 。 还 是 针 对 未 越 狱 用 户 的 。 对 这 些 受 欢 迎 的 社 交 A p p 以 及 聊 天 A p p 进 行 逆 向 工 程 并 加 入 攻 击 代 码 。 其 中 包 括 W h a t s A p p ,   T w i t t e r ,   F a c e b o o k ,   F a c e b o o k M e s s e n g e r ,   W e C h a t ,   G o o g l e   C h r o m e ,   V i b e r ,   B l a c k b e r r y   M e s s e n g e r ,   S k y p e ,   T e l e g r a m , 以 及   V K 。 与 这 些 A p p 的 正 常 版 本 不 同 的 是 ， 这 些 假 面 A p p 都 含 有 一 个 泄 漏 敏 感 数 据 以 及 连 接 远 程 服 务 器 的 设 计 。 由 于 A p p 中 所 提 供 的 服 务 ， 图 标 等 与 应 用 商 店 中 真 实 的 A p p 完 全 相 同 ， 他 们 可 以 放 心 大 胆 的 替 换 i O S   8 . 1 . 3 版 本 之 前 的 真 实 A p p 。 注 意 ， 攻 击 者 是 可 以 远 程 配 置 图 标 的 。 所 以 对 于 高 于 i O S   8 . 1 . 3 版 本 的 设 备 ， 尽 管 假 面 攻 击 漏 洞 已 经 被 修 复 （ A p p 使 用 相 同 的 图 标 是 不 会 被 替 换 的 ） ， 攻 击 者 仍 然 可 以 通 过 配 置 一 个 独 特 的 图 标 来 部 署 假 面 A p p 。
上 图 显 示 了 经 过 重 新 打 包 的 F a c e b o o k 应 用 在 运 行 时 的 行 为 ， 启 动 应 用 程 序 之 后 连 续 3 次 弹 出 请 求 访 问 照 片 ， 麦 克 风 ， 以 及 联 系 人 的 警 告 。 恶 意 的 假 面 攻 击 A p p 利 用 M a c h O   f o r m a t 的 L C _ L O A D _ D Y L I B 命 令 将 一 个 恶 意 的 d y l i b   ( n a m e d   “ _ P k g S i g n ” ) 注 入 到 真 正 的 可 执 行 文 件 中 ， 这 个 d y l i b 实 现 了 恶 意 攻 击 的 逻 辑 核 心 。 由 于 每 一 个 假 面 攻 击 A p p 内 部 结 构 各 不 相 同 ， d y l i b 需 要 使 用 连 接 不 同 的 泄 漏 数 据 的 方 法 。 在 下 表 中 我 们 已 经 列 出 来 ， 恶 意 d y l i b 管 理 的 假 面 攻 击 A p p 的 i d 前 缀 固 定 为 “ T I G I 0 0 0 ” 以 及 一 个 定 制 的 类 来 远 程 管 理 恶 意 攻 击 。
注 入 的 d y l i b 在 真 正 的 可 执 行 文 件 中 连 接 3 8 个 类 中 的 5 2 个 敏 感 函 数 ， 所 有 连 接 的 类 方 法 都 符 合 真 实 应 用 程 序 的 关 键 功 能 。 比 如 在 W h a t s   A p p 中 使 用 “ [ S K P C o n v e r s a t i o n   O n M e s s a g e : a n d M e s s a g e o b j e c t i d : ] ” 拦 截 短 信 ， 以 及 “ [ V i d e o V o i p C a l l e r V i e w O n B e g i n T a l k : ] ” 开 始 录 制 通 话 。 注 入 的 d y l i b 扮 演 着 A p p 可 执 行 文 件 的 一 部 分 ， 可 以 读 取 / 修 改 a p p 中 的 数 据 收 集 敏 感 信 息 然 后 发 送 到 远 程 服 务 器 。 这 些 信 息 包 括 ： 这 些 信 息 包 括 ： S k y p e ,   W e c h a t 等 中 的 语 音 通 话 记 录 S k y p e ,   W h a t s   A p p ,   F a c e b o o k   m e s s e n g e r 等 中 的 短 消 息 拦 截 C h r o m e 网 站 历 史 记 录 电 话 S M S / 短 信 内 容 精 确 的 G P S 坐 标 记 录 联 系 人 信 息 照 片 需 要 特 别 注 意 的 是 ， d y l i b 有 能 力 完 成 仅 从 目 标 用 户 下 载 数 据 的 任 务 。 其 会 将 I M E I 发 送 到 远 程 服 务 器 进 行 筛 选 ， 攻 击 者 看 是 否 感 兴 趣 ， 然 后 服 务 器 再 决 定 是 否 获 取 其 敏 感 信 息 。 尽 管 如 此 ， 如 果 用 户 在 k e y c h a i n 中 将 S K I P - L I C E N S E 设 置 为 1 ， 我 们 有 方
法 绕 过 其 检 测 。 最 后 ， 所 有 的 数 据 都 经 过 J s o n 格 式 重 新 封 装 ， 然 后 发 送 给 服 务 器 。 上 图 就 演 示 了 上 传 数 据 （ 实 际 值 已 去 除 ） ， i t e m s 包 含 了 不 同 的 数 据 类 型 ， 例 如 通 讯 应 用 的 聊 天 记 录 ， 地 理 位 置 ， 通 话 记 录 等 。 通 过 通 过 U R L 进 行 配 置 的 方 案 进 行 配 置 的 方 案 远 程 服 务 器 和 恶 意 行 为 都 是 通 过 U R L 进 行 配 置 的 ， 在 每 一 个 样 本 案 例 中 ， 我 们 发 现 一 个 用 来 增 加 I n f o . p l i s t 文 件 的 定 制 U R L 。 这 个 U R L 遵 循 “ T I G I 0 0 0 0 X : / / ” 格 式 ， 与 表 格 中 所 列 相 同 。 通 过 连 接 “ a p p l i c a t i o n : o p e n U R L : s o u r c e A p p l i c a t i o n : a n n o t a t i o n : ” 函 数 ， 当 打 开 这 个 U R L ， 恶 意 d y l i b 就 开 始 解 析 配 置 数 据 。 结 语 结 语 从 H a c k i n g T e a m 泄 漏 出 的 工 具 可 以 看 出 ， 针 对 i O S 设 备 更 加 先 进 的 攻 击 方 法 已 经 出 现 。 我 们 鼓 励 i O S 用 户 保 持 最 快 速 度 更 新 固 件 版 本 ， 以 及 验 证 应 用 程 序 的 来 源 。 *   参 考 来 源 f i r e e y e ， 译 者 / 鸢 尾   转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理