搜索

[14747] 2019-10-27_反间谍之旅：针对伊朗的网络之战

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2019-10-27_反间谍之旅：针对伊朗的网络之战 反 间 谍 之 旅 ： 针 对 伊 朗 的 网 络 之 战 暗 影 安 全 实 验 室   F r e e B u f   2 0 1 9 - 1 0 - 2 7 “ 土 耳 其 轰 炸 美 盟 友 土 耳 其 轰 炸 美 盟 友 ” 、 、 “ 伊 朗 游 轮 被 炸 伊 朗 游 轮 被 炸 ” 等 一 系 列 的 重 大 事 件 的 发 生 无 疑 显 示 出 中 东 地 区 紧 张 的 局 势 。 等 一 系 列 的 重 大 事 件 的 发 生 无 疑 显 示 出 中 东 地 区 紧 张 的 局 势 。 此 时 此 刻 此 时 此 刻 的 中 东 犹 如 一 个 桶 ， 一 不 小 心 就 会 出 现 战 争 风 险 。 的 中 东 犹 如 一 个 桶 ， 一 不 小 心 就 会 出 现 战 争 风 险 。 不 过 ， 中 东 局 势 虽 然 很 乱 ， 但 也 主 要 是 两 大 利 益 集 团 控 制 着 不 过 ， 中 东 局 势 虽 然 很 乱 ， 但 也 主 要 是 两 大 利 益 集 团 控 制 着 局 面 ： 局 面 ： 一 个 是 以 美 国 、 以 色 列 、 沙 特 等 为 攻 的 集 团 ， 一 个 是 以 俄 罗 斯 、 伊 朗 和 叙 利 亚 等 为 守 的 集 团 。 一 个 是 以 美 国 、 以 色 列 、 沙 特 等 为 攻 的 集 团 ， 一 个 是 以 俄 罗 斯 、 伊 朗 和 叙 利 亚 等 为 守 的 集 团 。 伊 朗 作 为 伊 朗 作 为 其 中 势 力 强 大 的 国 家 之 一 ， 纵 然 会 成 为 敌 对 国 家 的 攻 击 目 标 。 其 中 势 力 强 大 的 国 家 之 一 ， 纵 然 会 成 为 敌 对 国 家 的 攻 击 目 标 。 近 期 ， 暗 影 移 动 安 全 实 验 室 在 日 常 监 测 中 ， 发 现 了 一 款 中 文 名 叫 “ 费 雷 顿 · 莫 希 里 ” 的 间 谍 木 马 软 件 ， 研 究 人 员 分 析 发 现 ， 该 软 件 是 专 门 针 对 伊 朗 开 发 的 ， 其 主 要 目 的 是 窃 取 情 报 。 样 本 启 动 后 并 没 有 任 何 效 果 ， 但 它 却 默 默 地 在 后 台 远 程 的 监 控 用 户 行 为 ， 比 如 录 视 频 、 对 通 话 过 程 录 音 、 拍 摄 照 片 等 ， 还 会 收 集 用 户 通 讯 录 联 系 人 、 短 信 息 、 精 确 位 置 、 浏 览 器 记 录 、 账 户 等 信 息 ， 并 将 收 集 的 信 息 上 传 到 指 定 的 服 务 器 。 图 1   “ 费 雷 顿 · 莫 希 里 ” 的 安 装 图 标 一 、 基 本 信 息 一 、 基 本 信 息 样 本 M D 5 ： 4 3 B D 1 1 3 A 0 9 5 2 1 7 2 B C B A 5 7 0 5 5 F 5 A 7 0 7 B B 安 装 名 称 ： ﻓ ﺮ ﯾ ﺪ و ﻧ ﻤ ﺸ ﯿ ﺮ ی 中 文 名 ： 费 雷 顿 · 莫 希 里 样 本 包 名 ： a i r . c o m . a r s n e t w o r k s . p o e m s . m o s h i r i 二 、 运 行 原 理 二 、 运 行 原 理 该 样 本 通 过 电 量 变 化 广 播 唤 醒 恶 意 服 务 A M S e r v i c e ， 然 后 在 A M S e r v i c e 服 务 中 监 听 大 量 系 统 广 播 （ 如 ： 网 络 变 化 广 播 、 短 信 广 播 、 电 话 拨 号 广 播 、 电 话 关 机 广 播 、 ） ， 监 听 数 据 库 的 变 化 （ 如 ： 短 信 数 据 库 、 浏 览 器 书 签 数 据 库 ） ， 激 活 各 种 恶 意 行 为 ， 其 运 行 过 程 主 要 分 两 步 ， 第 一 步 是 通 过 各 种 系 统 广 播 ， 监 听 用 户 手 机 动 态 ， 保 证 恶 意 程 序 在 后 台 持 续 运 行 。 并 对 用 户 通 话 记 录 进 行 录 音 、 收 集 用 户 通 讯 录 、 接 收 的 短 信 、 浏 览 器 记 录 、 联 系 人 、 账 号 、 安 装 应 用 等 信 息 ； 然 后 上 传 到 指 定 服 务 器 ， 第 二 步 是 从 远 程 服 务 器 获 取 大 量 的 控 制 指 令 ， 然 后 根 据 控 制 指 令 执 行 收 集 用 户 信 息 ， 通 过 录 制 视 频 以 及 拍 摄 照 片 监 控 用 户 行 为 ， 上 传 持 续 收 集 的 情 报 、 并 删 除 指 定 文 件 等 操 作 。
图 2   样 本 运 行 流 程 图 三 、 代 码 分 析 三 、 代 码 分 析 3 . 1 启 动 恶 意 服 务 ， 监 听 大 量 系 统 广 播 启 动 恶 意 服 务 ， 监 听 大 量 系 统 广 播 启 动 恶 意 服 务 A M S e r v i c e ， 监 听 用 户 手 机 短 信 数 据 库 变 化 、 浏 览 器 书 签 数 据 库 变 化 、 基 站 信 息 变 化 、 注 册 网 络 变 化 广 播 、 接 收 短 信 广 播 、 电 话 拨 号 拦 截 广 播 。 图 3   监 听 系 统 广 播 3 . 2 窃 取 用 户 隐 私 数 据 窃 取 用 户 隐 私 数 据 注 册 接 收 短 信 广 播 ， 监 听 短 信 数 据 库 变 化 ， 不 管 是 接 收 短 信 、 发 送 短 信 、 编 辑 短 信 ， 短 信 数 据 库 都 会 发 生 变 化 ， 当 短 信 数 据 库 发 生 变 化 或 用 户 接 收 到 短 信 时 ， 该 程 序 收 集 用 户 的 短 信 号 码 和 短 信 内 容 ， 并 且 将 内 容 保 存 至 l o g 文 件 。
图 4   监 听 短 信 变 化 ， 收 集 短 信 号 码 和 内 容 图 5   收 集 用 户 接 收 的 短 信 号 码 和 内 容 注 册 电 话 拨 号 广 播 ， 当 电 话 为 来 电 状 态 时 ， 匹 配 来 电 号 码 的 尾 号 ， 如 果 号 码 匹 配 上 ， 且 用 户 已 接 听 （ 从 此 看 出 攻 击 者 是 有 目 的 性 针 对 特 定 号 码 进 行 攻 击 。 ） ， 将 开 始 对 通 话 过 程 进 行 录 音 。 图 6   对 用 户 通 话 过 程 录 音 监 听 浏 览 器 书 签 数 据 库 变 化 ， 获 取 用 户 网 页 浏 览 记 录 。
图 7   获 取 用 户 网 页 浏 览 记 录 监 听 基 站 信 息 变 化 ， 保 存 基 站 经 纬 度 信 息 。 图 8   获 取 基 站 经 纬 度 信 息 获 取 用 户 所 有 短 信 信 息 、 联 系 人 信 息 、 通 话 记 录 信 息 、 账 号 信 息 、 G o o g l e 浏 览 器 书 签 信 息 。 图 9   获 取 短 信 、 通 讯 录 、 通 话 记 录 、 账 号 、 浏 览 器 书 签 等 信 息
将 获 取 的 所 有 信 息 通 过 A E S 算 法 加 密 并 保 存 至 后 缀 名 为 l o g 的 文 件 。 图 1 0   保 存 用 户 信 息 到 指 定 文 件 （ 后 缀 为 . l o g ） 获 取 所 有 后 缀 名 为 . l o g 的 文 件 ， 并 上 传 至 服 务 器 。 h t t p : / / w w w . * . c o m / m m h / u p l o a d - l o g . p h p 。 图 1 1   上 传 保 存 获 取 信 息 的 文 件 图 1 2   截 获 的 数 据 包 3 . 3 远 程 控 制 行 为 远 程 控 制 行 为 该 样 本 从 指 定 服 务 器 获 取 控 制 端 下 发 的 指 令 ， 通 过 一 级 指 令 和 二 级 指 令 ， 双 重 控 制 。 服 务 器 U R L : h t t p : / / w w w . * * / m m h / g e t - f u n c t i o n . p h p ? u u i d = 1 4 7 6 8 a f c d e 8 5 6 5 3 d
图 1 3   加 载 远 程 服 务 器 控 制 指 令 思 维 导 图 ： 图 1 4   控 制 指 令 思 维 导 图 远 控 指 令 详 细 解 析 : 一 级 指 令 ” G e t ” ， 修 改 配 置 文 件 。 图 1 5   修 改 配 置 文 件 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l L o g ” ， 导 出 . l o g 文 件 。
图 1 6   导 出 . l o g 文 件 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l C o n t a c t ” ， 获 取 所 有 联 系 人 信 息 。 图 1 7   获 取 所 有 联 系 人 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l F i l e ” ， 获 取 所 有 文 件 。 图 1 8   获 取 所 有 文 件 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l S m s ” ， 获 取 所 有 短 信 信 息 。
图 1 9   获 取 所 有 短 信 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l C a l l ” ， 获 取 所 有 通 讯 录 信 息 。 图 2 0   获 取 所 有 通 讯 录 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l A p p ” ， 获 取 手 机 已 安 装 应 用 信 息 。 图 2 1   获 取 手 机 已 安 装 应 用 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l B r o w s e r ” ， 获 取 用 户 浏 览 器 记 录 。 图 2 2   获 取 用 户 浏 览 器 记 录
一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l A c c o u n t ” ， 获 取 用 户 所 有 账 号 。 图 2 3   获 取 用 户 所 有 账 号 一 级 指 令 ” G e t ” ， 二 级 指 令 ” A l l S e t t i n g ” ， 获 取 设 置 信 息 。 图 2 4   获 取 设 置 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” L o c a t i o n ” ， 获 取 精 确 位 置 信 息 。 图 2 5   获 取 精 确 位 置 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” H a r d w a r e I n f o ” ， 获 取 设 备 硬 件 信 息 。 图 2 6   获 取 设 备 硬 件 信 息 一 级 指 令 ” G e t ” ， 二 级 指 令 ” F i l e ” ， 更 新 从 控 制 端 获 取 的 指 定 文 件 内 容 ， 并 发 送 到 服 务 器 。
图 2 7   更 新 从 控 制 端 获 取 的 指 定 文 件 内 容 一 级 指 令 ” T a k e ” ， 二 级 指 令 ” A u d i o ” ， 录 音 并 保 存 至 / s d c a r d / / A n d r o i d / d a t a / c o m . a n d r o i d . b r o w s e r / f i l e s 目 录 。 图 2 8   录 音 一 级 指 令 ” T a k e ” ， 二 级 指 令 ” A u d i o ” ， 录 制 视 频 并 保 存 至 / s d c a r d / / A n d r o i d / d a t a / c o m . a n d r o i d . b r o w s e r / f i l e s 目 录 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理