搜索

[11588] 2017-07-26_【BlackHat2017】议题分享：一款潜伏了多年的Mac恶意程序，为何迄今仍“逍遥法外”？

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2017-07-26_【BlackHat2017】议题分享：一款潜伏了多年的Mac恶意程序，为何迄今仍“逍遥法外”？ 【 B l a c k H a t   2 0 1 7 】 议 题 分 享 ： 一 款 潜 伏 了 多 年 的 M a c 恶 意 程 序 ， 为 何 迄 今 仍 “ 逍 遥 法 外 ” ？ 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 0 7 - 2 6 今 年 的   B l a c k   H a t   U S A   2 0 1 7   美 国 黑 帽 大 会 ， 准 确 地 说 是 从 7 月 2 2 日 开 始 ， 延 续 到 本 周 周 四 结 束 的 。 和 往 常 一 样 ， 前 四 天 进 行 的 是 技 术 培 训 ， 后 两 天 就 是 众 所 期 待 的 主 要 会 议 分 享 ， 还 有 兵 器 库 、 B u s i n e s s   H a l l   之 类 的 内 容 了 。 值 得 一 提 的 是 ， 因 为 美 国 和 中 国 存 在 时 差 ， 身 处 国 内 的 各 位 关 注   B l a c k   H a t   U S A   2 0 1 7   的 时 间 应 在 北 京 时 间 本 周 四 和 周 五 。 针 对 这 两 天 的 大 会 内 容 ， F r e e B u f   会 进 行 相 应 的 报 道 。 在 此 之 前 ， 我 们 照 例 分 享 一 些 预 先 已 知 的 内 容 ， 在   B l a c k   H a t   现 场 的 同 学 可 以 留 意 。 当 地 时 间 周 三 （ 7 月 2 6 日 ） 5 : 0 5 p m   -   5 : 3 0 p m   之 间 （ 地 址 在   L a g g o n   D E F J K L   ） ， 前   N S A   分 析 师 ， 现 在 是   S y n a c k   公 司 首 席 安 全 研 究 员 的   P a t r i c k   W a r d l e   将 会 分 享 议 题   《 O f f e n s i v e   M a l w a r e   A n a l y s i s :   D i s s e c t i n g   O S X / F r u i t f l y   v i a   A   C u s t o m C & C   S e r v e r   （ 主 动 恶 意 程 序 分 析 ： 通 过 一 台   C & C   服 务 器 来 解 剖   O S X / F r u i t f l y ） 》 。 这 里 的 这 里 的   F r u i t f l y   实 际 上 是 实 际 上 是   m a c O S   或 者 说 或 者 说   O S   X   平 台 的 一 款 恶 意 程 序 ， 所 以 这 个 议 题 是 相 关 恶 意 程 序 和 逆 向 工 程 平 台 的 一 款 恶 意 程 序 ， 所 以 这 个 议 题 是 相 关 恶 意 程 序 和 逆 向 工 程 的 技 术 分 享 。 这 款 恶 意 程 序 已 知 感 染 的 设 备 量 大 约 是 的 技 术 分 享 。 这 款 恶 意 程 序 已 知 感 染 的 设 备 量 大 约 是   4 0 0   台 ， 而 且 所 用 技 术 其 实 并 不 算 高 超 ， 理 论 上 也 很 容 易 台 ， 而 且 所 用 技 术 其 实 并 不 算 高 超 ， 理 论 上 也 很 容 易 检 测 到 。 那 么 检 测 到 。 那 么   F r u i t f l y   有 什 么 特 别 值 得 一 说 的 呢 ？ 有 什 么 特 别 值 得 一 说 的 呢 ？ 研 究 人 员 注 册 研 究 人 员 注 册   C & C   服 务 器 服 务 器 这 个 议 题 的 主 要 方 向 之 一 是 通 过 自 己 注 册 的   C & C   服 务 器 来 对 这 款 恶 意 程 序 进 行 剖 析 。 F r u i t f l y   并 不 是 很 新 的 一 款 M a c   恶 意 程 序 ， 而 且 其 存 在 时 间 可 能 长 达   1 0   年 之 久 ， 即 便 到 目 前 为 止 ， 从   V i r u s T o t a l   服 务 来 看 ， 超 过 一 半 的 反 恶 意 程 序 引 擎 都 无 法 将 其 新 变 种 检 测 出 来 。 早 在 今 年   1   月 份 的 时 候 ， M a l w a r e b y t e s   曾 经 撰 写 过 一 份 有 关   F r u i t f l y   的 恶 意 程 序 报 告 。 M a l w a r e b y t e s   的 研 究 人 员 认 为 ， F r u i t f l y   存 在 时 间 至 少 有   2   年 。 这 份 报 告 挂 出 后 ， 苹 果 对   m a c O S   进 行 升 级 ， 系 统 就 能 自 动 检 测 到 这 款 恶 意 程 序 了 。 不 过   W a r d l e   这 次 发 现 的 是 个 变 种 ， 系 统 和 很 多 反 病 毒 产 品 还 发 现 不 了 。 前   N S A   分 析 师 ， 现 在 是   S y n a c k   公 司 首 席 安 全 研 究 员 的   P a t r i c k   W a r d l e   对 该 恶 意 程 序 进 行 分 析 后 发 现 ， C & C   通 讯 的 主 服 务 器 已 经 不 能 访 问 ， 但 有 多 个 备 用 域 名 硬 编 码 到 了 程 序 中 。 而 且 这 些 备 用 的   C & C   服 务 器 域 名 还 没 有 人 注 册 。 所 以 他 就 注 册 了 一 个 。 不 知 是 何 种 原 因 ， 攻 击 者 自 己 并 没 有 注 册 这 些 域 名 。
主 服 务 器 下 线 后 ， 理 论 上 感 染 了   F r u i t f l y   的 用 户 就 不 存 在 原 有 的 威 胁 了 。 不 过 在   W a r d l e   注 册 备 用 域 名 后 ， 立 刻 就 有 4 0 0   个 被 感 染 的   M a c   用 户 开 始 连 接 这 台 服 务 器 。 这 样 一 来   W a r d l e   就 能 够 看 到   F r u i t f l y   受 害 者 的   I P   ， 他 发 现 有   9 0 % 的 受 害 者 都 位 于 美 国 。 F r u i t f l y   的 恶 意 行 为 包 括 远 程 控 制 摄 像 头 、 截 屏 ， 进 行 鼠 标 、 键 盘 操 作 ， 执 行   s h e l l   命 令 、 结 束 进 程 、 获 取 系 统 的 正 常 运 行 时 间 等 。 实 际 上   4 0 0   台 设 备 感 染 只 是 个 最 小 数 字 ， 感 染   F r u i t f l y   的 人 数 可 能 还 有 很 多 。 W a r d l e   自 己 也 并 不 清 楚 F r u i t f l y   具 体 是 如 何 感 染   M a c   设 备 的 ， 他 推 测 应 该 不 是 通 过 漏 洞 ， 可 能 是 吸 引 受 害 人 点 击 恶 意 链 接 ， 或 者 钓 鱼 邮 件 等 。 这 是 个 并 不 高 明 的 恶 意 程 序 这 是 个 并 不 高 明 的 恶 意 程 序 W a r d l e   解 释 说 ， 现 在 并 不 清 楚   F r u i t f l y   变 种 攻 击 者 背 后 的 意 图 是 什 么 ， 因 为 这 款 恶 意 程 序 无 法 窃 取 信 用 卡 数 据 ， 也 没 有 感 染 勒 索 程 序 之 类 可 以 让 攻 击 变 现 的 方 式 。 而 且 这 款 恶 意 程 序 以 家 庭 用 户 为 主 ， 所 以 基 本 可 以 排 除 是 国 家 攻 击 。 “ 我 不 知 道 是 否 是 某 个 无 聊 的 人 ， 有 什 么 不 正 当 的 目 的 。 如 果 是 某 个 无 聊 的 年 轻 人 想 要 进 行 单 纯 的 监 视 ， 这 其 实 也 挺 伤 人 的 。 比 如 他 能 打 开 摄 像 头 … ” 不 过 实 际 上 也 可 能 是 恶 意 程 序 作 者 抛 弃 了 这 款 恶 意 程 序 。 不 管 怎 么 说 ， 如 果 有 人 像 W a r d l e   一 样 去 注 册 了 硬 编 码 的 域 名 ， 那 么 也 可 以 监 控 那 些 已 经 被 感 染 的 人 。 从 国 外 媒 体 现 有 的 报 道 暂 时 还 不 清 楚   F r u i t f l y   的 具 体 运 作 方 式 。 不 过 我 们 去 查 阅 了   M a l w a r e b y t e s   今 年   1   月 份 发 布 的 文 章 ， 发 现   F r u i t f l y   的 原 版 程 序 的 确 有 些 有 趣 且 并 不   “ s o p h i s t i c a t e d ”   的 地 方 。 F r u i t f l y   的 原 始 版 本 在 面 上 就 只 包 含   2   个 文 件 ， 分 别 是 其 中 的   . p l i s t   非 常 简 单 ， 是 为 了 保 持   . c l i e n t   始 终 运 行 的 。 . c l i e n t   以   p e r l   脚 本 的 形 式 存 在 ， 它 会 与   C & C   服 务 器 通 讯 。 脚 本 中 还 包 含 一 些 通 过   s h e l l   命 令 截 屏 的 代 码 。 有 趣 的 是 ， 其 中 既 用 到 了   M a c   的   “ s c r e e n c a p t u r e ”   命 令 ， 也 用 上 了 L i n u x   的 “ x w d ” 命 令 。 另 外 它 也 负 责 获 取 系 统 的 正 常 运 行 时 间 ， 也 就 是 所 谓 的   u p t i m e   — —   获 取 命 令 也 是 既 有   M a c   版 ， 也 有   L i n u x   版 。 另 外 脚 本 最 后 还 有 个   D A T A   部 分 ， 里 面 有 个   M a c h - O   二 进 制 、 P e r l   脚 本 和 一 个   J a v a   类 。 脚 本 释 放 写 入 到   / t m p /   文 件 夹 并 执 行 。 J a v a   类 文 件 将   a p p l e . a w t . U I E l e m e n t   设 为   t r u e ， 也 就 是 说 它 不 会 在   D o c k   栏 显 示 。 二 进 制 文 件 对 于 截 屏 和 摄 像 头 访 问 比 较 情 有 独 钟 ， 不 过 有 意 思 的 是 其 中 用 上 了 一 些 非 常 古 老 的 系 统 调 用 ， 比 如 说 ： S G G e t C h a n n e l D e v i c e L i s t ~ / . c l i e n t ~ / L i b r a r y / L a u n c h A g e n t s / c o m . c l i e n t . c l i e n t . p l i s t
S G S e t C h a n n e l D e v i c e S G S e t C h a n n e l D e v i c e I n p u t S G I n i t i a l i z e S G S e t D a t a R e f S G N e w C h a n n e l Q T N e w G W o r l d S G S e t G W o r l d S G S e t C h a n n e l B o u n d s S G S e t C h a n n e l U s a g e S G S e t D a t a P r o c S G S t a r t R e c o r d S G G e t C h a n n e l S a m p l e D e s c r i p t i o n 这 可 能 是   M a l w a r e b y t e s   和   W a r d l e   认 为 这 款 恶 意 程 序 年 代 久 远 的 一 个 原 因 。 这 些 函 数 其 实 的 确 非 常 古 老 ， 可 以 追 溯 到 前   O S   X   的 岁 月 。 其 中 包 含 的 开 源   l i b j p e g   代 码 上 次 更 新 是 在 1 9 9 8 年 。 编 写 的 代 码 比 较 古 老 ， 其 实 不 能 很 明 确 地 表 示 这 款 恶 意 程 序 早 在 十 多 年 之 前 就 存 在 。 如   M a l w a r e b y t e s   所 说 ， 这 可 能 表 明 攻 击 者 对   M a c   了 解 得 不 够 ， 或 者 他 一 直 在 用 比 较 老 的 开 发 指 导 文 档 。 也 可 能 是 攻 击 者 故 意 用 这 种 较 老 的 系 统 调 用 ， 避 免 触 发 现 代 各 种 形 式 的 行 为 检 测 。
另 外   W a r d l e   事 先 透 露 说 ， F r u i t f l y   具 备 “ 移 动 鼠 标 ， 点 击 ， 并 与 操 作 系 统   U I   元 素 进 行 交 互 ” 的 能 力 。 这 个 应 该 是 出 自 于 其 中 的   J a v a   类 能 够 获 取 命 令 执 行 各 种 任 务 ， 其 中 就 包 括 了 获 取 屏 幕 尺 寸 、 鼠 标 指 针 位 置 、 改 变 鼠 标 位 置 、 模 拟 鼠 标 点 击 、 模 拟 键 击 。 这 些 可 以 提 供 一 些 简 单 的 远 程 控 制 功 能 。 M a l w a r e b y t e s   尝 试 将 原 版   F r u i t f l y   在   L i n u x   设 备 上 运 行 ， 发 现 除 了   M a c h - O   二 进 制 部 分 ， 一 切 都 运 行 正 常 。 也 就 是 说 ， 这 款 恶 意 程 序 理 应 有   L i n u x   版 本 。 此 外 ， V i r u s T o t a l   平 台 发 现 ， 有   W i n d o w s   可 执 行 文 件 与 同 一 个   C & C   服 务 器 通 讯 ， 也 用   1 9 9 8   年 的   l i b j p e g   库 。 这 些 样 本 早 在   2 0 1 3   年 就 提 交 到 了   V i r u s T o t a l   。 值 得 一 提 的 是 ， 上 面 提 到 的   . p l i s t   启 动 代 理 文 件 创 建 时 间 是   2 0 1 5   年   1   月 。 但 这 个 时 间 其 实 不 一 定 是 真 实 的 文 件 创 建 时 间 ； 不 过 恶 意 程 序 从   C & C   服 务 器 获 取 的   m a c s v e   文 件 有 个 注 释 提 到 ， 这 是 为   Y o s e m i t e   ， 也 就 是   M a c   O S   X   1 0 . 1 0   编 写 的 — — 这 款 系 统 发 布 于   2 0 1 4   年 1 0 月 ， 这 可 能 意 味 着   F r u i t f l y   至 少 在   Y o s e m i t e   系 统 出 现 之 前 就 已 经 存 在 了 。 过 半 数 反 恶 意 程 序 系 统 无 法 检 测 出 过 半 数 反 恶 意 程 序 系 统 无 法 检 测 出   F r u i t f l y 其 实 很 难 想 象 这 么 多 年 过 去 了 ， 从   V i r u s T o t a l   来 看 ， 到 截 稿 前 为 止 ， 5 7   款 主 流 反 恶 意 程 序 产 品 ， 也 只 有   2 5   款 能 够 将 F r u i t f l y   变 种 检 测 出 来 。 W a r d l e   还 提 到 ， F r u i t f l y   采 用 比 较 简 单 粗 暴 的 方 式 来 达 到 存 在 的 持 久 性 ， 相 较 其 它   M a c   恶 意 程 序 应 该 更 容 易 检 测 出 来 。 “ 它 采 用 比 较 早 期 ， 而 且 并 不 复 杂 的 技 术 维 持 其 持 久 性 ， 许 多   M a c   恶 意 程 序 都 是 这 么 做 的 ： 一 个 隐 藏 的 文 件 ， 加 一 个 启 动 代 理 。 这 令 其 很 容 易 被 抓 到 ， 要 检 测 和 移 除 也 很 容 易 。 ” 今 年   1   月 份 发 现   F r u i t f l y   变 种 的 时 候 ， M a l w a r e b y t e s   表 示 这 款 恶 意 程 序 主 要 针 对 生 物 医 疗 研 究 中 心   ， 研 究 人 员 猜 测 可 能 因 为 其 目 标 非 常 明 确 ， 所 以 能 潜 伏 这 么 多 年 时 间 ， 但 其 实 没 有 明 确 证 据 表 明 它 以 某 个 特 定 组 织 为 目 标 ， 而 这 次 的 新 版 目 标 是 不 明 的 。
在 明 天 的   B l a c k   H a t   U S A   2 0 1 7   大 会 上 ， W a r d l e   还 会 对   F r u i t f l y   作 更 为 明 确 的 阐 述 ， 在   B l a c k   H a t   现 场 且 对 恶 意 程 序 分 析 感 兴 趣 的 同 学 不 要 错 过 。 预 计   W a r d l e 会 从 分 析 这 款 恶 意 程 序 的   d r o p p e r   开 始 ， 也 就 是 上 面 提 到 的   P e r l   脚 本 ， 随 后 还 会 探 讨 一 些   D e b u g   技 术 ， 并 对 脚 本 作 完 全 拆 解 。 当 然 重 点 还 是 要 谈 构 建 自 己 的   C & C   服 务 器 来 挟 持 恶 意 程 序 ， 揭 露 其 完 整 的 能 力 。 此 外   W a r d l e   还 会 讨 论   m a c O S   工 具 实 现 各 种 事 件 的 监 控 ， 比 如 “ m o u s e   s n i f f e r ” 可 本 地 观 察 和 解 码 从 恶 意 程 序 发 往 系 统 控 制 鼠 标 的 命 令 。 虽 然 这 个 议 题 是 围 绕   F r u i t f l y   展 开 的 ， 不 过 实 际 上 对 于 其 它 恶 意 程 序 也 具 有 普 遍 适 用 性 。 *   参 考 来 源 ： B l a c k H a t ,   M a l w a r e b y t e s ,   T h e H a c k e r N e w s ,   F o r b e s ,   S e c u r i t y A f f a i r s ， 欧 阳 洋 葱 编 译 整 理 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理