搜索

[13034] 2018-08-07_看我如何回怼手机黑客？黑回去！

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2018-08-07_看我如何回怼手机黑客？黑回去！ 看 我 如 何 回 怼 手 机 黑 客 ？ 黑 回 去 ！ c l o u d s   F r e e B u f   2 0 1 8 - 0 8 - 0 7 本 文 中 ， 以 色 列 研 本 文 中 ， 以 色 列 研 究 者 通 过 反 编 译 恶 意 究 者 通 过 反 编 译 恶 意 A P K 应 用 应 用 G l a n c e L o v e ， 向 攻 击 者 服 务 器 上 传 了 ， 向 攻 击 者 服 务 器 上 传 了 w e b s h e l l ， 实 现 了 ， 实 现 了 H a c k   B a c k （ 黑 回 去 ） 。 （ 黑 回 去 ） 。 某 天 晚 上 ， 我 躺 在 沙 发 上 ， 偶 然 看 到 论 坛 中 有 人 披 露 了 一 个 由 某 黑 客 组 织 专 门 开 发 的 恶 意 安 卓 应 用 A P K ， 这 些 恶 意 A P K 是 如 何 被 发 现 的 呢 ？ 我 看 了 一 下 ， 其 实 也 不 难 ， 黑 客 用 一 些 性 感 女 孩 的 照 片 创 建 了 一 个 假 F a c e b o o k 账 户 ， 然 后 就 用 这 个 账 户 在 网 上 和 一 些 以 色 列 男 孩 （ 受 害 者 ） 聊 天 ， 并 告 诉 这 些 男 孩 必 须 要 去 下 载 安 装 那 个 A P K 才 能 和 她 视 频 聊 天 。 然 而 ， 当 受 害 者 男 孩 们 下 载 安 装 这 个 A P K 之 后 ， 之 前 与 他 们 聊 天 的 辣 妹 就 无 故 消 失 了 。 我 从 某 则 论 坛 中 得 知 这 个 恶 意 A P K 名 叫   -   G l a n c e L o v e 。 世 界 杯 期 间 ， 以 色 列 网 络 安 全 公 司   C l e a r S k y   S e c u r i t y   曾 发 布 报 告 称 ， 伊 斯 兰 恐 怖 组 织 哈 马 斯 试 图 通 过 包 括 G l a n c e L o v e 在 内 的 约 会 类 A P P 诱 骗 以 色 列 国 防 军 安 装 受 恶 意 软 件 感 染 的 间 谍 软 件 。 另 外 ， 以 色 列 国 防 军 也 确 认 哈 马 斯 组 织 在 以 色 列 士 兵 的 智 能 手 机 上 植 入 了 名 为   G l a n c e L o v e   的 间 谍 软 件 进 行 信 息 收 集 ， 而 且 该 A P K 应 用 曾 被 上 传 到 了 G o o g l e   P l a y 商 店 （ 后 已 被 谷 歌 下 架 删 除 ） 。
技 术 分 析 技 术 分 析 找 到 a p k 并 下 载 后 ， 我 使 用 J D A X 对 其 进 行 了 反 编 译 。 我 假 设 它 使 用 H T T P 协 议 来 窃 取 数 据 ， 所 以 我 做 的 第 一 件 事 是 搜 索   “ H T T P ”   字 符 串 。 搜 索 结 果 显 示 ， 该 A P K 使 用 了   “ H t t p U R L C o n n e c t i o n ”   类 ， H t t p U R L c o n n e c t i o n 是 基 于 h t t p 协 议 的 ， 支 持 g e t ， p o s t ， p u t ， d e l e t e 等 各 种 请 求 方 式 。 因 此 我 非 常 确 定 其 使 用 了 一 个 w e b 服 务 器 来 收 集 存 储 数 据 ， 但 我 却 没 看 到 它 请 求 的 这 个 w e b 服 务 器 相 关 的 U R L 字 符 串 ， 所 以 还 需 继 续 分 析 代 码 。 使 用   “ H t t p U R L C o n n e c t i o n ”   类 的 函 数 名 称 为 m 7 6 6 5 a ： 这 个 函 数 调 用 了 两 个 参 数 ， 其 中 s t r 代 表 回 调 请 求 w e b 服 务 器 的 U R L ， b A r r 代 表 发 送 到 w e b 服 务 器 的 数 据 。 还 可 以 看 到 ， 请 求 方 法 定 义 在 了 变 量 f 5 3 8 6 b 中 ， 而 请 求 属 性 则 定 义 在 了 变 量 f 5 3 8 7 c   和   f 5 3 8 8 d 中 ：
攻 击 者 使 用 了 工 具 P r o G u a r d 来 对 字 符 串 和 函 数 名 进 行 了 混 淆 ， 所 以 前 述 的 我 找 不 到 任 何 U R L 字 符 串 的 原 因 就 在 于 此 。 P r o G u a r d 是 一 个 压 缩 、 优 化 和 混 淆 J a v a 字 节 码 文 件 的 免 费 的 工 具 ， 它 可 以 删 除 无 用 的 类 、 字 段 、 方 法 和 属 性 。 解 码 之 后 ， 可 以 看 到 ， 其 中 包 含 了 以 下 信 息 ： 接 着 ， 我 检 查 了 有 哪 些 函 数 间 接 调 用 了   “ H t t p U R L C o n n e c t i o n ”   类 函 数 m 7 6 6 5 a ， 结 果 是 这 样 的 ： 经 过 分 析 ， 我 发 现 ， 函 数 m 7 6 7 2 b 在 函 数 m 7 4 8 9 b 中 定 义 U R L 链 接 时 调 用 了 函 数 m 7 6 6 5 a ， 而 在 m 7 4 8 7 a 函 数 中 ， 在 末 尾 它 返 回 了 包 含 U R L 链 接 的 f 5 2 0 4 o 。 解 码 之 后 ， 该 A P K 请 求 的 远 程 服 务 器 U R L 链 接 为 ： H T T P : / / W W W . G L A N C E L O V E . C O M / A P P S / d / p / O P . P H P 另 外 ， 除 了 解 码 之 后 看 到 的 A P K 内 置 连 接 请 求 U R L 链 接 ， 我 还 发 现 了 很 多 其 它 有 用 的 字 符 串 ：
从 以 上 信 息 中 可 知 ， 我 可 以 利 用 参 数   d e v I d 、 o p 、 f N a m e 和 d a t a 来 构 造 一 个 发 往 攻 击 控 制 服 务 器 W W W . G L A N C E L O V E . C O M 的 P O S T 请 求 ， 其 中 参 数 d e v I d 、 o p 和 f N a m e 的 值 都 比 较 好 猜 ， 但 是 参 数 d a t a 我 就 不 知 道 是 什 么 了 。 所 以 ， 我 又 从 以 下 反 编 译 代 码 中 进 行 了 分 析 ： 在 函 数 m 7 6 7 1 a 中 ， 它 利 用 值 分 别 为   “ C C C ” 、 “ E ”   和   “ D ” 的 三 个 函 数 m 7 6 6 8 a 、 m 7 6 7 2 b   和   m 7 6 7 4 c 来 创 建 了 参 数   o p   的 i d 值 。 虽 然 我 不 知 道 所 有 这 些 参 数 值 代 表 的 确 切 意 义 ， 但 我 还 是 尝 试 着 构 造 了 一 个 发 往 W W W . G L A N C E L O V E . C O M 的 P O S T 请 求 ， 该 请 求 P a y l o a d 为 ： d e v I d = 1 2 3 1 2 3 & o p = C C C & f N a m e = 1 2 3 & d a t a = a b c 该 P O S T 请 求 应 该 已 经 成 功 发 送 了 ， 在 响 应 中 ， 除 返 回 了 p a y l o a d 的 长 度 3 8 这 外 ， 没 有 其 它 有 用 信 息 ， 因 此 ， 我 还 得 找 到 我 具 体 的 上 传 文 件 路 径 ， 这 真 是 难 找 啊 。 经 过 几 次 有 根 据 的 猜 测 ， 我 发 现 了 那 个 上 传 文 件 的 最 终 路 径 是 / a p p s / d / u p l o a d s / d e v / 1 2 3 1 2 3 / 1 2 3 。
由 此 方 法 ， 我 接 着 上 传 了 一 个 w e b s h e l l 过 去 ， 发 现 这 个 恶 意 A P K 竟 然 已 经 控 制 了 5 0 0 多 部 智 能 手 机 ， 并 且 窃 取 超 过 1 0 G 的 数 据 。 * 参 考 来 源 ： 参 考 来 源 ： a s a f   ， ， c l o u d s   编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理