搜索

[11859] 2017-10-05_“脏牛漏洞”恶意Root软件分析报告

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-18
2017-10-05_“脏牛漏洞”恶意Root软件分析报告 “ 脏 牛 漏 洞 ” 恶 意 R o o t 软 件 分 析 报 告 腾 讯 手 机 管 家   F r e e B u f   2 0 1 7 - 1 0 - 0 5 一 、 分 析 背 景 一 、 分 析 背 景 近 日 ， 国 际 知 名 安 全 厂 商 趋 势 科 技 发 布 了 名 为 《 近 日 ， 国 际 知 名 安 全 厂 商 趋 势 科 技 发 布 了 名 为 《 Z N I U :   F i r s t   A n d r o i d   M a l w a r e   t o   E x p l o i t   D i r t y   C O W V u l n e r a b i l i t y 》 （ 》 （ Z N I U : 第 一 种 利 用 第 一 种 利 用 “ 脏 牛 脏 牛 ” 漏 洞 的 安 卓 恶 意 软 件 ） 的 分 析 报 告 。 漏 洞 的 安 卓 恶 意 软 件 ） 的 分 析 报 告 。 “ 脏 牛 脏 牛 ” （ （ D i r t y   C O W ） ） C V E - 2 0 1 6 - 5 1 9 5 漏 洞 是 去 年 漏 洞 是 去 年 1 0 月 爆 出 的 在 月 爆 出 的 在 L i n u x 内 核 存 在 九 年 之 久 的 提 权 漏 洞 ， 研 究 人 员 当 时 表 示 ， 攻 击 者 可 以 利 用 内 核 存 在 九 年 之 久 的 提 权 漏 洞 ， 研 究 人 员 当 时 表 示 ， 攻 击 者 可 以 利 用 该 漏 洞 攻 击 该 漏 洞 攻 击 L i n u x 服 务 器 ， 服 务 器 ， L i n u x 随 即 发 布 补 丁 修 复 漏 洞 。 随 即 发 布 补 丁 修 复 漏 洞 。 由 于 安 卓 操 作 系 统 基 于 早 期 的 L i n u x 内 核 ， “ 脏 牛 ” 还 可 能 被 用 来 获 取 安 卓 设 备 的 R o o t 权 限 ，   G o o g l e 于 2 0 1 6 年 1 1 月 发 布 对 应 的 安 卓 补 丁 。 9 月 2 5 日 ， 趋 势 科 技 的 安 全 研 究 人 员 发 布 报 告 介 绍 了 一 款 新 恶 意 软 件 Z N I U ， 其 使 用 “ 脏 牛 ” 获 取 设 备 的 R o o t 权 限 ， 并 植 入 后 门 。 二 、 分 析 内 容 二 、 分 析 内 容 基 于 国 际 领 先 恶 意 样 本 分 析 能 力 以 及 强 大 的 移 动 安 全 大 数 据 能 力 ， 腾 讯   反 诈 骗 实 验 室 对   趋 势 科 技 的 报 告 进 行 了 解 读   ， 并 从 恶 意 样 本 的 演 变 趋 势 、 传 播 渠 道 和 影 响 范 围   进 行 了 深 入 的 分 析 。 2 . 1   恶 意 样 本 分 析 恶 意 样 本 分 析 2 . 1 . 1   恶 意 样 本 基 本 信 息 分 析 恶 意 样 本 基 本 信 息 分 析 从 我 们 收 集 的 样 本 数 据 分 析 可 知 ， 此 类 恶 意 应 用 从 4 月 份 就 开 始 出 现 ， 主 要 以 色 情 小 游 戏 为 主 ， 并 一 直 保 持 着 版 本   变 化 与 更 新 。 2 . 1 . 2   恶 意 样 本 执 行 流 程 恶 意 样 本 执 行 流 程 恶 意 样 本 伪 装 成 色 情 应 用 和 小 游 戏 ， 运 行 时 界 面 如 下 ：
一 旦 应 用 运 行 ， 恶 意 样 本 将 与 其 C ＆ C 服 务 器 进 行 通 信 ， 从 C ＆ C 服 务 器 检 索 可 用 的 恶 意 代 码 并 将 其 加 载 到 应 用 中 。 同 时 ， 利 用 r o o t e x p l o i t 如 K i n g o R o o t 、 I o v y r o o t 的 d i r t y   c o w （ 脏 牛 ） 等 来 进 行 提 权 ， 并 为 未 来 的 潜 在 攻 击 留 下 后 门 。 应 用 运 行 起 来 ， 恶 意 软 件 将 收 集 用 户 的 载 体 信 息 ， 当 用 户 为 中 国 境 内 用 户   时 ， 恶 意   应 用 通 过   发 送 s p 订 阅 短 信 来   消 耗 用 户 的 话 费 ，   并 且 应 用 不 停 的 去 查 询 短 信 发 送 箱 ， 当 s p 扣 费 短 信 发 送 成 功 后 ， 应 用 会 将 短 信 发 送   箱 最 近   的 发 送 短 信 删 除 掉 ， 避 免 被 用 户 感 知 。 发 送 恶 意 s p 订 阅 短 信 如 下 ：
恶 意 应 用 的 r o o t k i t 通 过 独 立 的 广 播 接 收 器 集 成 到 恶 意 应 用 程 序 中 ， 通 过 这 种 方 式 恶 意 软 件 可 以 轻 松 地 将 r o o t k i t 集 成 进 来   ， 而 无 需 更 改 其 他 组 件 ， 有 利 于   r o o t k i t 大   范 围 植 入 。 r o o t k i t 注 册 的 广 播 接 收 器 一 旦 被 激 活 ， 恶 意 软 件   加 载 相 应 的 s o 文 件 并 执 行 本 地 代 码 。
本 地 s o 文 件 ： N a t i v e 代 码 主 要 实 现 以 下 功 能 ： 1 . 收 集 设 备 的 型 号 信 息 。 2 . 从 远 程 服 务 器 获 取 相 应 的 r o o t k i t 。 3 . 解 密 漏 洞 p o c ， 触 发 器 逐 个 利 用 ， 检 查 结 果 ， 并 删 除 漏 洞 利 用 文 件 。 4 . 报 告 漏 洞 是 成 功 还 是 失 败 。
恶 意 样 本 联 网 下 载 的 e x p l o i t 利 用 文 件 . z i u 文 件 ， 通 过 解 压 缩 为 . i n f 文 件 ， 文 件 名 以 “ u l n z ” 开 头 ， 并 包 含 多 个 E L F 或 脚 本 文 件 。 其 中 包 含 d i r t y   c o w （ 脏 牛 ） 漏 洞 的 利 用 。 该 e x p l o i t 可 以 任 意 写 入 v D S O （ 虚 拟 动 态 链 接 共 享 对 象 ） ， 为 了 使 应 用 程 序 更 好 的 执 行 ， 该 对 象 将 一 组 内 核 空 间 函 数 导 出 到 用 户 空 间   ， v D S O 代 码 在 没 有 S E L i n u x 限 制 的 内 核 上 下 文 中 运 行   。   e x p l o i t 使 用 漏 洞 利 用 代 码 将 s h e l l c o d e 写 入 v D S O 并 创 建 反 弹 s h e l l 。 然 后 ， 它 修   改 S E L i n u x 策 略 以 解 除 限 制 并 植 入 一 个 后 门 r o o t   s h e l l 。
2 . 1 . 3   恶 意 样 本 推 广 的 恶 意 子 包 恶 意 样 本 推 广 的 恶 意 子 包 恶 意 样 本 通 过 留 下 的 后 门 ， 将 恶 意 推 广 子 包 推 送 安 装 到 用 户 手 机 ， 执 行 恶 意 推 广 行 为 ， 疯 狂 的 弹 出 广 告 ， 引 诱   用 户 点 击 下 载 安 装 应 用   ，   获 取 推 广 费 用 。 恶 意 子 包 ：
恶 意 子 包 和 推 广 行 为 如 下 图 所 示 ： 2 . 2   恶 意 样 本 发 展 趋 势 恶 意 样 本 发 展 趋 势 恶 意 样 本 从 2 0 1 7 年 4 月 份 开 始 出 现 ， 并 且   版 本 一 直 保 持 着 更 新 ， 推 测 恶 意   软 件 作 者 是 一 个 组 织 分 工 明 确 的 团 伙 ， 并 且 有 较 高 的 开 发 能 力 。   恶 意   样 本 的 发 展 趋 势 如 下 图 所 示 。
2 . 3   恶 意 样 本 影 响 范 围 恶 意 样 本 影 响 范 围 恶 意 样 本 影 响 A n d r o i d 系 统 版 本 和   主 要 机 型 分 布 情 况 如 下   所 示 ： 2 . 4   安 全 建 议 安 全 建 议 （ 1 ） 不 要 从 非 正 规 的 应 用 市 场 和 网 页 上 下 载 安 装 应 用 ，   减 少 恶 意 软 件 的 入 侵 风 险 ；
（ 2 ） 安 装 腾 讯 手 机 管 家 之 类 的 安 全 软 件 ， 可 以 及 时 发 现 恶 意 软 件 并 帮 助 清 除 ； （ 3 ） 腾 讯 手 机 管 家 已 经 对 上 述 恶 意 软 件 进 行   了 查 杀 ， 用 户 可 以 放 心 使 用 ； 三 、 关 于 腾 讯 安 全 实 验 室 三 、 关 于 腾 讯 安 全 实 验 室 腾 讯 移 动 安 全 实 验 室 ： 基 于 腾 讯 手 机 管 家 产 品 服 务 ， 通 过 终 端 安 全 平 台 、 网 络 安 全 平 台 和 硬 件 安 全 平 台 为 移 动 产 业 打 造 云 管 端 全 方 位 的 安 全 解 决 方 案 。 其 中 腾 讯 御 安 全 专 注 于 为 个 人 和 企 业 移 动 应 用 开 发 者 ， 提 供 全 面 的 应 用 安 全 服 务 。 腾 讯 安 全 反 诈 骗 实 验 室 ： 汇 聚 国 际 最 顶 尖 白 帽 黑 客 和 多 位 腾 讯 专 家 级 大 数 据 人 才 ， 专 注 反 诈 骗 技 术 和 安 全 攻 防 体 系 研 究 。 反 诈 骗 实 验 室 拥 有 全 球 最 大 安 全 云 数 据 库 并 服 务 9 9 % 中 国 网 民 。 * 本 文 作 者 ： 腾 讯 手 机 管 家 ， 转 载 请 注 明 来 自 本 文 作 者 ： 腾 讯 手 机 管 家 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理