搜索

[9418] 2015-10-09_Kemoge：一款影响超过20国的安卓恶意程序

文档创建者：s7ckTeam
浏览次数：25
最后更新：2025-01-17
2015-10-09_Kemoge：一款影响超过20国的安卓恶意程序 K e m o g e ： 一 款 影 响 超 过 2 0 国 的 安 卓 恶 意 程 序 鸢 尾   F r e e B u f   2 0 1 5 - 1 0 - 0 9 F i r e E y e 实 验 室 一 位 移 动 安 全 研 究 专 家 实 验 室 一 位 移 动 安 全 研 究 专 家 近 期 近 期 发 现 一 款 迅 速 蔓 延 全 球 的 ， 可 完 全 控 制 发 现 一 款 迅 速 蔓 延 全 球 的 ， 可 完 全 控 制 A n d r o i d 设 备 的 恶 意 软 件 家 族 病 毒 。 设 备 的 恶 意 软 件 家 族 病 毒 。 据 称 该 攻 击 来 源 于 中 国 。 因 其 命 令 以 及 控 制 域 ： 据 称 该 攻 击 来 源 于 中 国 。 因 其 命 令 以 及 控 制 域 ： a p s . k e m o g e . n e t ， 便 将 其 命 名 为 ， 便 将 其 命 名 为 K e m o g e 。 。 如 上 图 所 示 ， 已 确 认 的 感 染 范 围 超 过 2 0 国 ， 其 中 包 括 政 府 以 及 大 型 企 业 。 该 恶 意 广 告 软 件 通 过 重 新 打 包 将 自 身 伪 装 成 流 行 A p p ， 因 而 得 到 广 泛 传 播 。 其 中 一 些 样 本 如 下 图 所 示 ： K e m o g e 的 样 本 很 多 ， 这 里 就 不 一 一 列 举 了 。 K e m o g e 的 生 命 周 期 的 生 命 周 期
如 上 图 所 示 ， 攻 击 者 将 如 上 图 所 示 ， 攻 击 者 将 A p p 上 传 到 第 三 方 应 用 商 店 ， 通 过 网 站 或 者 上 传 到 第 三 方 应 用 商 店 ， 通 过 网 站 或 者 A p p 内 置 广 告 来 进 行 推 广 ， 一 些 激 进 的 广 告 联 盟 还 内 置 广 告 来 进 行 推 广 ， 一 些 激 进 的 广 告 联 盟 还 可 能 会 通 过 获 取 可 能 会 通 过 获 取 r o o t 权 限 直 接 进 行 安 装 样 本 。 权 限 直 接 进 行 安 装 样 本 。 在 初 始 启 动 时 ， K e m o g e 收 集 设 备 信 息 并 将 其 上 传 到 广 告 服 务 器 ， 无 论 受 害 者 当 前 是 在 干 什 么 在 一 定 时 间 都 会 看 到 广 告 横 幅 （ 即 使 停 留 在 A n d r o i d 主 屏 幕 ， 也 可 能 会 突 然 弹 出 ） 。 起 初 K e m o g e 只 是 令 人 有 些 许 不 满 ， 但 是 很 快 就 会 令 人 感 到 愤 怒 。 从 上 图 中 可 以 看 到 当 用 户 开 启 设 备 屏 幕 或 者 网 络 连 接 变 化 ， 其 将 A n d r o i d M a n i f e s t 中 的 M y R e c e i v e r 设 置 为 自 启 动 ， 接 着 M y R e c e i v e r 唤 醒 M y S e r v i c e ； 两 者 都 是 伪 装 成 G o o g l e 的 代 码 ( 前 缀 c o m . g o o g l e . r p . c o n f i r m ) 。 一 些 样 本 也 使 用 下 列 作 为 组 件 前 缀 ： c o m . g o o g l e . s y s t e m . p r o v i d e r . c o n f i r m ,   c o m . g o o g l e . a d . s p r o v i d e r , c o m . a n d r o i d . a d . s p r o v i d e r 启 动 之 后 ， M y S e r v i c e 就 开 始 寻 找 一 个 名 为 < n a m e > . m p 4 的 资 源 ， 这 个 影 藏 的 . m p 4 资 源 实 际 上 是 一 个 进 行 多 级 加 密 的 . Z I P 文 件 。 总 的 说 来 ， 其 使 用 . Z I P 自 有 的 文 件 加 密 对 资 源 内 容 进 行 保 护 ， 受 保 护 的 . Z I P 文 件 再 使 用 D E S 加 密 ， 最 后 在 将 D E S 密 钥 进 行 加 密 （ 此 处 称 之 为 K e y 1 ） 与 此 同 时 也 对 另 一 个 D E S 密 钥 （ 此 处 称 做 K e y 2 ） 进 行 加 密 ， 并 且 在 代 码 中 反 汇 编 K e y 2 将 其 作 为 字 节 。 如 下 图 ， 逆 向 破 解 K e m o g e 解 密 Z I P 文 件 。
下 图 为 反 汇 编 生 成 D E S 密 钥 的 J a v a 代 码 片 段 ： 从 上 图 反 汇 编 D E S 密 钥 代 码 片 段 中 我 们 获 得 了 K e y 2 ， 接 着 就 可 以 生 成 K e y 1 了 。 这 代 码 片 段 把 字 节 [ 0 x 7 3 ,   0 x 4 1 ,   0 x 2 6 ,   0 x 7 3 , 0 x 3 2 ,   0 x 7 6 ,   0 x 2 4 ,   0 x 3 1 ] 为 K e y 2 ， 接 着 解 密 [ 0 x 8 7 ,   0 x A F ,   0 x F 9 ,   0 x E 5 ,   0 x 9 3 ,   0 x E 1 ,   0 x 5 0 ,   0 x 5 A ,   0 x 1 2 ,   0 x 8 B ,   0 x 9 F ,   0 x 8 C ,   0 x 7 2 ,   0 x 8 6 , 0 x 7 9 ,   0 x E 3 ] 。 注 意 通 过 替 换 真 实 A S C I I 字 符 可 实 现 代 码 混 淆 加 密 字 节 。 例 如 使 用 0 x 3 8 和 0 x 3 7 （ 8 和 7 ） 来 替 换 0 x 8 7 ， 解 密 没 有 指 定 初 识 向 量 直 接 使 用 A n d r o i d   B o u n c y   C a s t l e 默 认 的 D E S 模 式 ( D E S / E C B / P K C S 5 P a d d i n g ) 。 解 密 后 的 字 节 为 [ 0 x 3 5 ,   0 x 6 4 ,   0 x 2 6 ,   0 x 4 c ,   0 x 3 2 ,   0 x 2 c ,   0 x 5 4 ,   0 x 3 9 ,   0 x 7 7 ,   0 x 4 f ] 由 此 推 导 出 的 K e y 1 （ 以 及 D E S K e y S p e c ） 来 解 密 Z I P 文 件 。 使 用 上 面 相 同 的 方 法 获 得 K e y 1 ， 但 随 着 作 为 输 出 的 不 同 加 密 字 节 ， K e m o g e 生 成 Z I P 保 护 密 码 。 解 压 这 个 文 件 后 ， 从 其 中 提 取 出 以 下 文 件 ： A n d r o i d R T S e r v i c e . a p k r o o t . s h b u s y b o x s u . r o o t r o o t _ 0 0 1 ,   r o o t _ 0 0 2 ,   . . . ,   r o o t _ 0 0 8   ( 8 个 r o o t   e x p l o i t 可 执 行 文 件 ) K e m o g e ： 步 步 惊 心 ： 步 步 惊 心 该 恶 意 软 件 携 带 8 个 可 对 设 备 进 行 r o o t 的 e x p l o i t 可 执 行 文 件 ， 来 应 对 大 范 围 的 设 备 模 型 。 这 些 r o o t 方 法 包 括 m e m p o d r o i d , m o t o c h o p p e r ,   p e r f _ s w e v e n t   e x p l o i t , s o c k _ d i a g   e x p l o i t ,   以 及   p u t _ u s e r   e x p l o i t . 其 中 一 些 e x p l o i t 看 起 来 似 乎 借 鉴 了 部 分 开 源 项 目 中 的 代 码 [ 2 ] [ 3 ] ， 但 是 其 中 一 些 看 起 来 又 像 是 来 自 商 业 工 具 R o o t   D a s h i （ R o o r 大 师 ） 。 获 取 r o o t 权 限 之 后 ， 执 行 r o o t . s h 获 得 持 久 性 ， 然 后 将 A n d r o i d R T S e r v i c e . a p k 作 为 L a u n c h e r 0 9 2 8 . a p k （ 命 名 方 法 模 仿 合 法 的 桌 面 启 动 器 系 统 服 务 ） 植 入 / s y s t e m 分 区 。 此 外 ， 这 个 a p k 包 看 起 来 也 确 实 像 正 常 的 应 用 ， 类 似 的 还 有 c o m . f a c e b o o k . q d s e r v i c e . r p . p r o v i d e r 以 及 c o m . a n d r o i d . p r o v i d e r . s e t t i n g 。 这 个 恶 意 系 统 通 过 a p s . k e m o g e . n e t 来 传 递 命 令 。 为 了 逃 避 检 测 ， 它 不 经 常 与 该 服 务 器 进 行 连 接 。 反 而 ， 其 只 在 第 一 次 启 动 和 命 令 执 行 2 4 小 时 后 才 会 请 求 命 令 。 在 每 一 次 通 信 中 ， 首 先 将 I M E I , I M S I , 储 存 信 息 ， 安 装 的 A p p 信 息 发 送 到 远 程 服 务 器 。 我 们 在 N e x u s   7 （ A n d r o i d   4 . 3 ） 截 获 了 网 络 通 信 流 量 包 ：
接 着 上 传 设 备 信 息 ， 并 求 情 命 令 ： 服 务 端 响 应 了 3 组 命 令 ： U n i n s t a l l   d e s i g n a t e d   a p p s L a u n c h   d e s i g n a t e d   a p p s D o w n l o a d   a n d   i n s t a l l   a p p s   f r o m   U R L s   g i v e n   b y   s e r v e r 在 本 案 例 中 ， 它 试 图 卸 载 杀 毒 应 用 程 序 以 及 一 些 流 行 应 用 ， 可 能 准 备 进 一 步 的 攻 击 。 附 录 1 中 我 例 举 了 一 部 分 K e m o g e 样 本 ， 附 录 2 中 列 举 了 其 使 用 的 一 些 签 名 证 书 。 在 所 有 的 样 本 中 我 们 发 现 大 量 的 简 体 中 文 字 符 。 有 趣 的 是 ， 有 一 款 样 本 在 G o o g l e   P l a y 中 进 行 了 发 布 ， r o o t   e x p l o i t 以 及 一 些 其 他 功 能 被 阉 割 了 。 谷 歌 商 店 上 架 应 用 谷 歌 商 店 上 架 应 用 S h a r e I t 或 与 或 与 K e m o g e 同 根 同 根
K e m o g e 样 本 包 名 ： c c . t a o s h a . t o o l b o x . s h a r e i t M D 5 ： 4 0 b 1 d c b e 5 e c a 2 d 4 c f 3 6 2 1 0 5 9 6 5 6 a a b b 5 在 在 G o o g l e   P l a y 中 也 有 一 款 与 茄 子 快 传 （ 中 也 有 一 款 与 茄 子 快 传 （ S h a r e I t ） 名 称 相 同 的 应 用 ， 使 用 了 与 ） 名 称 相 同 的 应 用 ， 使 用 了 与 K e m o g e 相 同 的 签 名 ， 所 以 其 应 该 是 同 一 相 同 的 签 名 ， 所 以 其 应 该 是 同 一 位 开 发 者 ， 其 在 位 开 发 者 ， 其 在 G o o g l e   P l a y 中 此 应 用 已 经 有 中 此 应 用 已 经 有 1 0 万 万 — 5 0 万 的 下 载 量 ， 基 于 开 发 者 的 名 称 万 的 下 载 量 ， 基 于 开 发 者 的 名 称 Z h a n g   L o n g 以 及 集 成 与 以 及 集 成 与 A p p 中 的 中 的 第 三 方 库 第 三 方 库 ( c n . w a p 3 ,   c o m . r e n r e n ,   c o m . t e n c e n t 等 等 ) 研 究 者 便 推 断 该 开 发 者 来 自 于 中 国 。 研 究 者 便 推 断 该 开 发 者 来 自 于 中 国 。 基 于 用 户 评 论 S h a r e I t 有 着 与 K e m o g e 相 似 的 特 征 （ 烦 人 的 广 告 ） ， 估 计 是 为 了 满 足 审 计 过 程 G o o g l e   P l a y 版 本 移 除 了 r o o t e x p l o i t s ， 但 其 依 旧 保 持 着 a d m . k e m o g e . n e t 和 a d s . k e m o g e . n e t ， 同 时 它 请 求 t a o s h a . c c 进 行 上 传 和 升 级 提 醒 。 在 我 们 的 实 验 中 ， 服 务 运 行 但 只 返 回 了 4 0 4 ， 应 该 是 开 发 者 在 维 护 新 的 版 本 。 G o o g l e 似 乎 已 经 注 意 到 这 个 A p p ， “ S h a r e I t ” 已 经 从 G o o g l e 应 用 商 店 平 台 移 除 了 。 目 前 大 家 还 是 谨 慎 下 载 。 总 结 总 结 这 是 一 个 家 族 式 恶 意 广 告 软 件 ， 可 能 是 由 中 国 开 发 者 写 的 ， 也 有 可 能 是 被 搞 黑 产 的 人 控 制 了 。 在 此 ， 我 们 郑 重 的 提 醒 您 ： 在 此 ， 我 们 郑 重 的 提 醒 您 ： 谨 慎 点 击 来 自 电 子 邮 件 / 短 信 / 网 站 / 广 告 的 超 级 链 接 ； 不 要 安 装 来 自 非 官 方 渠 道 的 应 用 ； 及 时 更 新 A n d r o i d 设 备 。 *   参 考 来 源 ： F i r e E y e ， 编 译 / F B 小 编 鸢 尾 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理