搜索

[10697] 2016-11-09_专攻企业高管的安卓商业间谍软件Exaspy被揭露

文档创建者：s7ckTeam
浏览次数：28
最后更新：2025-01-18
2016-11-09_专攻企业高管的安卓商业间谍软件Exaspy被揭露 专 攻 企 业 高 管 的 安 卓 商 业 间 谍 软 件 E x a s p y 被 揭 露 米 雪 儿   F r e e B u f   2 0 1 6 - 1 1 - 0 9 随 着 A n d r o i d 商 业 间 谍 软 件 的 发 展 演 变 ， 我 们 也 开 始 步 入 了 移 动 威 胁 新 时 代 。 也 就 是 说 ， 你 不 再 需 要 借 助 技 能 高 超 的 技 术 专 家 去 入 侵 别 人 的 移 动 设 备 ， 你 所 需 要 的 就 是 通 过 网 络 购 买 操 作 简 单 的 间 谍 软 也 就 是 说 ， 你 不 再 需 要 借 助 技 能 高 超 的 技 术 专 家 去 入 侵 别 人 的 移 动 设 备 ， 你 所 需 要 的 就 是 通 过 网 络 购 买 操 作 简 单 的 间 谍 软 件 即 可 ， 这 些 软 件 和 可 以 对 网 站 进 行 件 即 可 ， 这 些 软 件 和 可 以 对 网 站 进 行 D D O S 攻 击 的 工 具 一 样 ， 威 力 十 足 。 攻 击 的 工 具 一 样 ， 威 力 十 足 。 这 一 变 化 是 移 动 恶 意 软 件 进 化 过 程 中 至 关 重 要 的 一 步 ， 同 时 这 一 变 化 也 将 使 得 主 动 性 移 动 威 胁 防 御 变 得 尤 为 重 要 。 背 景 介 绍 背 景 介 绍 9 月 初 ， 安 全 公 司   S k y c u r e   的 研 究 人 员 通 过 其 自 身 的 “ 众 包 情 报 政 策 （ c r o w d - s o u r c e d   i n t e l l i g e n c e   p o l i c i e s ） ” （ 运 行 S k y c u r e 手 机 应 用 程 序 充 当 威 胁 检 测 传 感 器 ） 发 现 ， 在 其 一 位 客 户 的 企 业 系 统 中 存 在 一 个 伪 造 的 应 用 程 序 。 该 客 户 是 一 家 全 球 性 的 科 技 公 司 ， 其 企 业 内 部 的 所 有 i O S 和 A n d r o i d 设 备 均 部 署 了 S k y c u r e 的 企 业 移 动 威 胁 防 御 解 决 方 案 。 研 究 人 员 已 经 在 该 公 司 副 总 裁 的   A n d r o i d   6 . 0 . 1   设 备 上 发 现 了 该 恶 意 软 件 。 目 前 ， 我 们 已 经 获 得 用 户 允 许 ， 披 露 一 些 关 于 S k y c u r e 发 现 间 谍 软 件 应 用 程 序 的 细 节 。 我 们 发 现 了 什 么 ？ 我 们 发 现 了 什 么 ？   受 害 者 的 A n d r o i d 设 备 被 一 种 名 为 “ E x a s p y ” 的 恶 意 程 序 感 染 ， E x a s p y 是 一 种 新 型 安 卓 商 业 间 谍 软 件 ， 允 许 攻 击 者 访 问 受 害 者 的 众 多 数 据 信 息 ， 其 中 包 括 ： 聊 天 信 息 和 邮 件 ： S M S 、 M M S 、 F a c e b o o k   M e s s e n g e r 、 谷 歌 视 频 群 聊 、 S k y p e 、 G m a i l 、 本 地 电 子 邮 件 客 户 端 信 息 、 V i b e 以 及 W h a t s A p p 等 等 ； 音 频 ： 能 够 记 录 在 后 台 或 通 话 过 程 中 获 取 的 音 频 信 息 ； 图 片 ： 能 够 访 问 你 的 图 片 库 ， 还 能 对 你 的 设 备 进 行 秘 密 截 图 ； 历 史 数 据 ： 能 够 收 集 联 系 人 列 表 、 日 历 、 浏 览 器 历 史 记 录 以 及 通 话 记 录 等 等 ； 命 令 和 控 制 （ c o m m a n d   a n d   c o n t r o l ， C N C ） 服 务 器 能 够 执 行 自 身 请 求 ， 其 中 包 括 : 监 控 和 传 送 本 地 文 件 ， 例 如 图 片 和 视 频 等 ； 执 行 s h e l l 命 令 ， 或 者 产 生 一 个 逆 向 s h e l l ， 以 允 许 应 用 程 序 使 用 基 本 包 中 不 包 含 的 漏 洞 来 运 行 特 权 。 对 于 最 终 用 户 而 言 ， 潜 在 的 危 害 是 极 大 的 ， 可 能 会 对 企 业 造 成 附 加 风 险 带 来 更 恶 化 的 结 果 。 以 下 罗 列 的 只 是 该 恶 意 软 件 在 企 业 移 动 设 备 中 运 行 可 能 带 来 的 几 个 后 果 ： 收 集 公 司 的 机 密 信 息 ， 其 中 可 能 包 含 财 务 信 息 、 知 识 产 权 、 产 品 信 息 以 及 机 密 会 议 的 记 录 等 等 ； 勒 索 企 业 支 付 高 额 赎 金 ， 以 防 止 信 息 遭 到 泄 露 ；
恶 意 软 件 是 如 何 运 行 的 ？ 恶 意 软 件 是 如 何 运 行 的 ？   基 于 S k y c u r e 研 究 实 验 室 对 于 E x a s p y 恶 意 软 件 的 分 析 ， 我 们 对 于 该 恶 意 软 件 运 行 的 过 程 ， 已 经 能 够 识 别 到 一 些 主 要 的 特 征 。 有 趣 的 是 ， 该 恶 意 软 件 实 际 上 需 要 一 个 最 终 用 户 来 执 行 最 初 的 安 装 步 骤 ， 也 就 是 说 ， 对 设 备 进 行 物 理 访 问 ， 安 装 环 节 是 必 不 可 少 的 。 以 下 是 该 应 用 程 序 在 第 一 次 运 行 时 进 行 自 我 安 装 的 过 程 ： 恶 意 软 件 请 求 访 问 设 备 管 理 权 ； 请 求 （ 友 好 地 ） 获 取 一 个 许 可 号 码 ； 隐 藏 自 己 ； 请 求 访 问 r o o t （ 如 果 设 备 是 通 过 r o o t i n g 应 用 程 序 进 行 管 理 ） 。 一 旦 成 功 ， 它 就 会 自 行 安 装 成 一 个 系 统 安 装 包 ， 此 举 加 剧 了 卸 载 的 困 难 性 ； 需 要 注 意 的 是 ， 尽 管 r o o t 访 问 请 求 可 能 会 被 S U 管 理 者 （ 如 S u p e r S U 权 限 管 理 ） 拒 绝 ， 但 是 一 旦 启 动 C N C 连 接 ， 服 务 器 就 会 发 送 一 个 r o o t   应 用 完 成 自 我 执 行 的 过 程 。 一 旦 成 功 安 装 应 用 程 序 ， 恶 意 软 件 就 能 够 在 移 动 设 备 上 通 过 以 下 方 式 运 行 ： 该 应 用 程 序 被 命 名 为 “ 谷 歌 服 务 （ G o o g l e   S e r v i c e s ） ” 并 将 工 具 包 命 名 为 “ c o m . a n d r o i d . p r o t e c t ” ； 很 明 显 ， 该 恶 意 软 件 是 伪 装 成 “ 谷 歌 服 务 ” — — 一 个 流 行 的 A n d r o i d 应 用 程 序 A P I ， 可 以 用 来 丰 富 他 们 的 应 用 程 序 （ 推 送 通 知 、 地 图 等 ） 。 该 应 用 程 序 与 如 下 服 务 器 进 行 通 信 ： h x x p s : / / a p i . a n d r 0 i d s e r v i c e s . c o m （ 1 3 0 . 2 1 1 . 9 . 2 0 0 ， 托 管 在 谷 歌 云 中 ） ； 从 硬 编 码 链 接 h x x p : / / w w w . e x a s p y . c o m / a . a p k 中 下 载 更 新 程 序 ；   该 应 用 程 序 将 自 动 从 发 射 器 中 隐 藏 自 己 （ 通 过 禁 用 其 主 要 活 动 组 件 ） ； 该 应 用 程 序 将 禁 用 三 星 的 S P C M 服 务 和 c o m . s a m s u n g . a n d r o i d . s m c o r e 包 ， 所 以 它 可 以 在 没 有 三 星 服 务 查 杀 的 环 境 中 运 行 ；   该 应 用 程 序 还 将 自 行 安 装 成 一 个 系 统 安 装 包 ， 以 防 止 用 户 对 其 执 行 删 除 操 作 。
有 何 有 趣 之 处 ？ 有 何 有 趣 之 处 ？ A n d r o i d 和 i O S 的 间 谍 软 件 已 经 存 在 很 长 时 间 了 ， 但 是 一 些 备 受 瞩 目 的 事 件 似 乎 在 向 我 们 传 递 一 个 信 号 ： 间 谍 软 件 开 始 针 对 一 些 知 名 人 士 （ 包 括 企 业 高 管 等 ） 实 施 复 杂 持 续 的 攻 击 。 值 得 一 提 的 是 发 现 于 今 年 8 月 的 一 款 名 为 “ P e g a s u s ” 的 间 谍 软 件 ， 主 要 被 其 政 府 用 于 阿 联 酋 人 权 运 动 中 ， 攻 击 持 异 见 的 民 主 党 官 员 的 手 机 。 目 前 ， 传 统 的 反 恶 意 软 件 产 品 依 然 不 能 很 好 地 检 测 该 类 恶 意 软 件 ， 因 为 传 统 的 方 法 需 要 对 每 个 新 型 恶 意 软 件 家 族 创 建 一 个 签 名 。 这 个 签 名 可 能 是 可 执 行 文 件 中 的 一 个 字 符 串 、 一 个 链 接 库 或 是 编 译 后 的 代 码 样 本 等 。 但 是 创 建 这 种 签 名 需 要 人 工 对 样 本 进 行 检 测 ， 需 要 花 费 很 多 的 时 间 和 人 力 成 本 来 进 行 ， 而 且 结 果 还 往 往 是 不 成 功 的 。 这 就 是 为 什 么 传 统 的 反 病 毒 和 反 恶 意 程 序 软 件 解 决 方 案 需 要 频 繁 更 新 的 原 因 所 在 。 其 他 的 方 法 包 括 在 沙 箱 （ 动 态 分 析 ） 中 执 行 应 用 程 序 也 能 够 检 测 出 部 分 此 类 威 胁 。 正 如 我 们 在 A p p S e c E U 1 6 （ 点 击 查 看 视 频 ） 中 展 示 的 一 样 ， 当 沙 箱 被 检 测 时 恶 意 应 用 程 序 很 容 易 会 释 放 出 恶 意 代 码 。 在 这 种 情 况 下 ， S k y c u r e 公 司 众 包 情 报 收 集 的 数 据 就 可 以 察 觉 出 该 应 用 程 序 存 在 异 常 。 I T 管 理 人 员 应 该 意 识 到 的 是 ， 大 量 的 间 谍 软 件 攻 击 者 可 以 轻 松 地 在 线 购 买 并 运 用 这 种 攻 击 。 如 何 保 护 自 身 和 最 终 用 户 的 安 全 ？ 如 何 保 护 自 身 和 最 终 用 户 的 安 全 ？ 为 了 阻 止 攻 击 需 要 对 你 的 设 备 进 行 物 理 访 问 ： 设 置 密 码 和 指 纹 身 份 认 证 ； 禁 用 U S B 调 试 ；
确 保 O E M   解 锁 功 能 处 于 关 闭 状 态 ； 定 期 检 查 A n d r o i d 的 设 备 管 理 员 列 表 并 且 禁 用 你 不 信 任 的 组 件 ； 安 装 S k y c u r e 的 移 动 威 胁 防 御 解 决 方 案 （ 赤 果 果 的 广 告 植 入 吗 ？ ） ， 保 护 用 户 有 效 防 御 此 类 威 胁 ； 避 免 从 不 受 信 任 的 软 件 商 店 下 载 应 用 程 序 ； 不 要 给 不 需 要 的 应 用 程 序 特 殊 权 限 ；   结 论 结 论 以 前 移 动 攻 击 需 要 很 高 的 技 能 水 平 才 能 完 成 ， 所 以 很 罕 见 。 但 是 在 如 今 的 市 场 上 ， 任 何 人 都 可 以 轻 易 地 购 买 到 所 需 的 恶 意 软 件 ， 这 也 使 得 威 胁 形 势 日 益 严 峻 。 我 们 上 面 介 绍 的 E x a s p y 间 谍 软 件 ， 还 只 是 I T 专 业 人 员 需 要 对 抗 的 恶 意 软 件 包 中 的 其 中 一 个 。 而 当 我 们 考 虑 到 下 面 这 些 统 计 数 据 时 ， 我 们 会 发 现 防 御 的 难 度 比 我 们 想 象 的 更 艰 巨 ： 根 据 I B M 统 计 ， 数 据 泄 露 的 平 均 成 本 为 4 0 0 万 美 元 ； S k y c u r e 移 动 安 全 季 度 报 告 显 示 ， 2 7 % 的 用 户 正 在 运 行 一 个 过 时 的 手 机 操 作 系 统 ； 同 样 来 自 S k y c u r e 的 报 告 显 示 ： 在 对 移 动 设 备 进 行 监 视 时 发 现 ， 4 5 % 的 移 动 设 备 在 监 视 前 4 个 月 内 将 会 遭 遇 一 次 网 络 攻 击 ； 当 你 将 这 些 数 据 和 威 胁 （ 如 E x a s p y ） 结 合 起 来 看 ， 很 明 显 ， I T 专 业 人 士 必 须 为 如 今 的 移 动 市 场 做 点 什 么 了 ！ 因 为 只 要 在 一 个 用 户 的 设 备 上 安 装 恶 意 软 件 就 能 将 整 个 企 业 置 于 危 险 之 中 。 相 关 技 术 细 节 相 关 技 术 细 节 以 下 列 举 部 分 技 术 细 节 ， 希 望 可 以 帮 助 I T 专 业 人 员 检 测 自 身 企 业 中 是 否 含 有 此 类 应 用 程 序 ： 已 知 的 哈 希 （ 已 知 的 哈 希 （ h a s h e s ） ： ） ： c 4 8 2 6 1 3 8 e 0 7 6 3 6 a f 1 e e b 6 0 0 8 e 5 8 0 7 0 4 5 7 5 e c 1 b c 7 ； 4 b f 8 9 c 3 b f 4 f b 8 8 a d 6 4 5 6 f e 5 6 4 2 8 6 8 2 7 2 e 4 e 2 f 3 6 4 ； 9 7 2 5 c 1 b f 9 4 8 3 f f 4 1 f 2 2 6 f 2 2 b d 3 3 1 3 8 7 c 1 8 7 e 9 1 7 9 ； c 4 8 2 6 1 3 8 e 0 7 6 3 6 a f 1 e e b 6 0 0 8 e 5 8 0 7 0 4 5 7 5 e c 1 b c 7 ； f 1 f b e b c 2 b e a f e 0 4 6 7 e e 0 0 e 6 9 b 3 f 7 5 7 1 9 c d b b d 6 9 3   软 件 包 名 称 ： 软 件 包 名 称 ： c o m . a n d r o i d . p r o t e c t 公 钥 信 息 公 钥 信 息 : S u b j e c t :   / O = E x a s p y / O U = E x a s p y / C N = E x a s p y F i n g e r p r i n t :   c 5 c 8 2 e c f 2 0 a f 9 4 e 0 f 2 a 1 9 0 7 8 b 7 9 0 d 8 4 3 4 c c e d b 5 9   * 参 考 来 源 ： s k y c u r e ， F B 小 编 米 雪 儿 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理