搜索

[15134] 2020-03-15_RoamingMantis恶意活动分析报告

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-03-15_RoamingMantis恶意活动分析报告 R o a m i n g   M a n t i s 恶 意 活 动 分 析 报 告 K r i s t o n   F r e e B u f   2 0 2 0 - 0 3 - 1 5 卡 巴 斯 基 持 续 关 注 分 析 卡 巴 斯 基 持 续 关 注 分 析 R o a m i n g   M a n t i s 相 关 网 络 活 动 。 该 组 织 的 攻 击 方 法 有 所 改 进 ， 不 断 在 新 的 攻 击 目 标 上 窃 相 关 网 络 活 动 。 该 组 织 的 攻 击 方 法 有 所 改 进 ， 不 断 在 新 的 攻 击 目 标 上 窃 取 资 金 。 攻 击 者 利 用 白 名 单 和 运 行 环 境 检 测 等 技 术 避 免 被 分 析 溯 源 。 此 外 还 检 测 到 新 的 恶 意 软 件 家 族 ： 取 资 金 。 攻 击 者 利 用 白 名 单 和 运 行 环 境 检 测 等 技 术 避 免 被 分 析 溯 源 。 此 外 还 检 测 到 新 的 恶 意 软 件 家 族 ： F a k e c o p 和 和 W r o b a . j 。 。 传 播 方 式 传 播 方 式 2 0 1 8 年 该 组 织 在 原 有 域 名 劫 持 方 法 的 基 础 上 ， 增 加 了 一 种 W r o b a . g 的 传 播 方 法 S M i S h i n g ， 使 用 的 是 一 家 物 流 公 司 的 虚 假 交 货 通 知 。 2 0 1 9 年 确 认 了 另 一 种 新 方 法 ， 利 用 恶 意 A P K 冒 充 快 递 公 司 ， 例 如 日 本 的 S a g a w a   E x p r e s s 、 台 湾 的 Y a m a t o   T r a n s p o r t 和 F e d E x 、 韩 国 的 C J   L o g i s t i c s 和 俄 罗 斯 的 E c o n   E x p r e s s 。 2 0 2 0 年 2 月 ， 攻 击 者 利 用 “ 为 日 方 冠 状 病 毒 问 题 提 供 免 费 口 罩 ” 的 短 信 进 行 攻 击 。 再 次 说 明 犯 罪 分 子 在 活 动 中 总 是 利 用 热 点 话 题 。 白 名 单 功 能 白 名 单 功 能 R o a m i n g   M a n t i s 在 W r o b a . g 登 陆 页 面 （ 目 前 仅 在 朝 鲜 语 页 面 ） 中 采 用 了 白 名 单 功 能 ， 可 逃 避 安 全 研 究 人 员 。   用 户 访 问 登 录 页 面 时 ， 必 须 输 入 电 话 号 码 进 行 确 认 。   如 果 电 话 号 码 在 白 名 单 上 ， 则 登 录 页 面 会 分 发 恶 意 a p p . a p k ：
混 淆 技 术 混 淆 技 术 W r o b a . g 加 载 模 块 中 利 用 了 M u l t i d e x 混 淆 技 术 ， M u l t i d e x 配 置 允 许 应 用 构 建 和 读 取 多 个 索 引 文 件 。 2 0 1 9 年 ， A P K 文 件 中 使 用 M u l t i d e x 隐 藏 恶 意 加 载 模 块 ， 分 析 表 明 它 正 在 被 一 点 一 点 地 修 改 ： 用 红 色 正 方 形 标 记 的 类 $ { n u m } . d e x 是 恶 意 加 载 程 序 模 块 ， 所 有 其 他 的 D E X 文 件 都 是 垃 圾 代 码 。 W r o b a . g 的 加 密 有 效 负 载 仍 然 在 a s s e t s 目 录 下 ， 可 以 通 过 p y t h o n 脚 本 来 解 密 。
目 标 分 析 目 标 分 析 W r o b a . g 的 目 标 是 日 本 的 运 营 商 和 在 线 银 行 ， 攻 击 者 将 受 害 者 重 定 向 到 钓 鱼 网 站 ， 以 窃 取 凭 据 ： 当 恶 意 软 件 在 受 感 染 设 备 上 检 测 到 日 本 在 线 银 行 或 特 定 移 动 运 营 商 时 ， 它 会 在 后 台 连 接 到 p i n t e r e s t . c o m 的 恶 意 帐 户 获 取 钓 鱼 网 站 。 向 受 害 者 推 送 消 息 ， 声 称 已 阻 止 来 自 第 三 方 的 未 经 授 权 的 访 问 ， 并 要 求 用 户 单 击 按 钮 以 确 认 是 否 要 继 续 。 如 果 用 户 单 击 此 按 钮 ， 将 重 定 向 到 假 冒 网 站 ： 针 对 在 线 银 行 和 移 动 运 营 商 的 软 件 包 和 其 对 应 的 帐 户 ： 从 上 表 可 以 看 出 ， 截 至 2 0 1 9 年 1 2 月 ， 所 有 账 户 都 有 相 应 的 钓 鱼 网 站 。 攻 击 者 会 不 断 更 改 这 些 U R L 。 最 新 发 现 最 新 发 现 R o a m i n g   M a n t i s 一 直 使 用 W r o b a . g 和 W r o b a . f 作 为 其 主 要 的 安 卓 恶 意 软 件 。 2 0 1 9 年 4 月 又 发 现 其 他 两 个 恶 意 软 件 家 族 ， W r o b a . j 和 F a k e c o p 。 这 两 个 恶 意 软 件 家 族 在 基 础 设 施 、 传 播 方 式 等 方 面 与 其 他 家 族 有 一 些 相 似 之 处 。 在 ‘ R o a m i n g M a n t i s :   A   m e l t i n g   p o t   o f   A n d r o i d   b o t s   i n   B o t c o n f 2 0 1 9 ’ 中 展 示 了 时 间 表 、 假 冒 品 牌 、 恶 意 软 件 功 能 和 洗 钱 方 法 。
根 据 检 测 数 据 ， 发 现 W r o b a . j 中 垃 圾 短 信 功 能 ： 恶 意 软 件 从 短 信 反 馈 结 果 自 动 创 建 电 话 号 码 列 表 ， 该 恶 意 软 件 还 可 以 检 查 国 际 移 动 用 户 识 别 码 （ I M S I ） ， 以 识 别 移 动 运 营 商 ， 并 将 电 话 号 码 添 加 到 相 关 列 表 中 。 根 据 下 面 显 示 的 硬 编 码 I M S I s 和 字 符 串 ， 攻 击 者 的 目 标 是 D o c o m o 和 软 银 移 动 运 营 商 。 总 结 总 结 R o a m i n g   M a n t i s 以 经 济 利 益 为 目 标 ， 并 且 极 力 避 免 被 安 全 人 员 追 踪 。 它 现 在 正 在 采 用 白 名 单 功 能 来 实 现 这 一 目 标 ， 这 个 新 方 法 目 前 只 适 用 于 韩 语 页 面 ， 但 在 其 他 语 言 中 实 现 只 是 时 间 问 题 。 该 组 织 非 常 积 极 地 在 A n d r o i d 恶 意 软 件 中 使 用 S M i S h i n g ， 这 意 味 着 所 有 受 感 染 的 移 动 设 备 可 能 形 成 一 个 僵 尸 网 络 ， 用 于 恶 意 软 件 的 传 送 、 用 户 信 息 窃 取 等 。
A P K   M D 5 e 6 a e 4 2 7 7 4 1 8 3 2 3 8 1 0 5 0 5 c 2 8 d 2 b 6 b 3 6 4 7   W r o b a . g 9 3 9 7 7 0 e 5 a 1 4 1 2 9 7 4 0 d c 5 7 c 4 4 0 a f b f 5 5 8   W r o b a . f 5 2 1 3 1 2 a 8 b 5 a 7 6 5 1 9 f 9 2 3 7 e c 5 0 0 a f d 5 3 4   W r o b a . j 6 d 2 9 c a a a 8 b 3 0 c c 8 b 4 5 4 e 7 4 a 7 5 d 3 3 c 9 0 2   F a k e c o p * 参 考 来 源 ： 参 考 来 源 ： s e c u r e l i s t ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理