搜索

[15272] 2020-04-19_TrickBot木马将获取交易身份验证码的应用推向德国银行客户

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2020-04-19_TrickBot木马将获取交易身份验证码的应用推向德国银行客户 T r i c k B o t 木 马 将 获 取 交 易 身 份 验 证 码 的 应 用 推 向 德 国 银 行 客 户 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 0 - 0 4 - 1 9 T r i c k B o t 银 行 木 马 最 早 于 银 行 木 马 最 早 于 2 0 1 6 年 首 次 出 现 在 德 国 并 将 德 国 银 行 作 为 攻 击 目 标 ， 主 要 通 过 年 首 次 出 现 在 德 国 并 将 德 国 银 行 作 为 攻 击 目 标 ， 主 要 通 过 W E B 注 入 虚 假 的 银 行 网 注 入 虚 假 的 银 行 网 页 及 重 定 向 功 能 窃 取 用 户 银 行 账 户 信 息 以 盗 取 用 户 钱 财 。 页 及 重 定 向 功 能 窃 取 用 户 银 行 账 户 信 息 以 盗 取 用 户 钱 财 。 最 近 暗 影 实 验 室 获 取 到 一 个 应 用 名 为 A v a s t   S i c h e r h e i t s k o n t r o l l e 的 恶 意 程 序 。 经 研 究 发 现 该 恶 意 程 序 可 能 由 T r i c k B o t 银 行 木 马 推 送 给 受 感 染 的 用 户 。 国 外 研 究 员 C E R T - B u n d 的 推 文 证 实 了 这 一 点 2 0 1 9 年 9 月 ， 国 外 研 究 员 C E R T - B u n d 的 推 文 表 示 当 用 户 的 台 式 机 上 感 染 了 T r i c k B o t 木 马 时 ， T r i c k B o t 会 询 问 用 户 移 动 设 备 操 作 系 统 （ O S ） 的 类 型 和 电 话 号 码 。 然 后 提 示 用 户 安 装 假 冒 的 安 全 应 用 程 序 进 一 步 感 染 受 害 者 的 移 动 设 备 。 由 于 银 行 木 马 的 攻 击 者 可 以 简 单 地 使 用 所 窃 取 的 凭 据 来 访 问 受 害 者 的 在 线 银 行 帐 户 并 进 行 汇 款 。 作 为 对 策 ， 金 融 机 构 引 入 了 各 种 第 二 因 素 认 证 （ 2 F A ） 方 法 。 一 种 在 德 国 流 行 的 第 二 因 素 认 证 方 法 称 为 移 动 T A N （ m T A N ） 。 它 是 通 过 向 客 户 端 的 移 动 设 备 发 送 包 含 一 次 性 密 码 的 S M S 消 息 来 实 现 的 。 仅 在 客 户 在 浏 览 器 中 将 T A N 输 入 到 在 线 银 行 网 站 后 ， 才 能 授 权 交 易 。 所 以 T r i c k B o t 木 马 分 发 移 动 端 恶 意 程 序 的 主 要 目 的 是 为 了 获 取 并 使 用 所 需 的 “ 交 易 身 份 验 证 号 码 （ T A N ） ” 以 登 录 其 在 线 银 行 网 站 。 一 、 样 本 信 息 一 、 样 本 信 息 M D 5 ： 5 c 7 4 9 c 9 f c e 8 c 4 1 b f 6 b c c 9 b d 8 a 6 9 1 6 2 1 b 包 名 ： d 2 . d 2 . d 2 应 用 名 ： A v a s t   S i c h e r h e i t s k o n t r o l l e 图 标 ：
二 、 攻 击 流 程 二 、 攻 击 流 程 T r i c k B o t 银 行 木 马 通 过 注 入 伪 造 的 银 行 页 面 窃 取 用 户 登 录 凭 证 ， 然 后 通 过 诱 导 用 户 安 装 的 移 动 端 恶 意 a p p 获 取 交 易 身 份 验 证 号 码 ， 两 者 结 合 便 可 转 走 用 户 银 行 资 金 。 图 1 - 1   攻 击 流 程 图 三 、 技 术 分 析 三 、 技 术 分 析 3 . 1   自 身 防 护 自 身 防 护 为 了 增 加 研 究 人 员 的 分 析 难 度 以 及 保 证 其 配 置 信 息 的 安 全 。 该 恶 意 程 序 使 用 混 淆 器 来 扰 乱 其 函 数 ， 类 和 变 量 的 名 称 。 并 将 其 配 置 首 选 项 文 件 内 容 利 用 A E S 算 法 全 部 加 密 。 图 2 - 1   加 密 的 配 置 文 件 该 应 用 程 序 利 用 A n d r o i d 的 K e y S t o r e 系 统 存 储 加 密 密 钥 ， 从 而 提 高 从 设 备 中 提 取 密 钥 的 难 度 以 防 止 他 人 轻 易 获 取 密 钥 。 相 比 起 将 密 钥 存 储 在 用 户 的 数 据 空 间 或 者 是 硬 编 码 在 代 码 中 都 更 加 安 全 。 本 地 生 成 密 钥 对 并 保 存 在 K e y S t o r e 文 件 中 ， 随 后 提 取 密 钥 对 。
图 2 - 2   生 成 、 提 取 密 钥 对 使 用 提 取 到 的 公 钥 包 裹 用 随 机 数 生 成 的 A E S 加 密 密 钥 。 A E S 加 密 密 钥 用 于 加 密 配 置 文 件 内 容 。 图 2 - 3   使 用 密 钥 对 包 裹 、 解 包 A E S 密 钥 解 密 首 选 项 配 置 文 件 内 容 如 下 ： 图 2 - 4   解 密 的 配 置 文 件 利 用 对 称 加 密 和 对 称 加 密 算 法 双 重 加 密 算 法 加 密 配 置 文 件 内 容 增 加 了 逆 向 人 员 分 析 代 码 的 难 度 。 为 了 保 证 程 序 的 某 些 操 作 能 够 得 到 有 效 执 行 而 不 需 要 经 过 用 户 同 意 ， 该 程 序 一 启 动 便 会 请 求 用 户 开 启 辅 助 功 能 服 务 。 A n d r o i d 的 辅 助 功 能 服 务 最 初 是 由 G o o g l e 开 发 的 ， 目 的 是 服 务 于 有 残 障 的 用 户 。 应 用 程 序 可 以 通 过 该 项 服 务 监 控 用 户 在 设 备 上 的 任 何 操 作 ， 以 及 模 拟 用 户 与 设 备 的 交 互 如 点 击 按 钮 。 近 年 来 ， 一 些 恶 意 A n d r o i d 应 用 程 序 在 各 种 攻 击 情 形 下 滥
用 了 该 项 可 访 问 性 服 务 。 恶 意 程 序 可 利 用 该 项 服 务 执 行 以 下 操 作 ： 防 止 用 户 卸 载 应 用 程 序 授 予 应 用 敏 感 权 限 设 置 应 用 为 默 认 短 信 应 用 程 序 监 视 当 前 正 在 运 行 的 应 用 程 序 获 取 屏 幕 上 文 字 （ 是 窃 取 用 户 登 录 凭 证 的 一 种 手 段 ） 图 2 - 5   请 求 可 访 问 性 服 务 该 恶 意 程 序 主 要 通 过 可 访 问 性 服 务 执 行 按 钮 点 击 功 能 ， 如 同 意 设 置 该 应 用 为 默 认 的 S M S 应 用 程 序 、 同 意 卸 载 该 应 用 程 序 。 该 应 用 程 序 在 达 到 目 的 后 可 启 动 卸 载 自 身 机 制 。
图 2 - 6   模 拟 点 击 按 钮 3 . 2   远 程 控 制 远 程 控 制 该 应 用 程 序 通 过 不 同 的 a c t i o n 触 发 广 播 来 保 证 服 务 的 正 常 运 行 ， 且 该 应 用 主 要 通 过 加 密 短 信 和 C ＆ C 两 种 方 式 与 服 务 器 建 立 联 系 。 图 2 - 7   注 册 广 播 不 同 的 a c t i o n 对 应 启 动 不 同 的 服 务 ， 以 执 行 不 同 的 任 务 。 图 2 - 8   不 同 a c t i o n 触 发 不 同 服 务 3 . 2 . 1   C ＆ C 控 制 当 程 序 接 收 到 由 网 络 连 接 触 发 的 广 播 时 ， 启 动 远 程 交 互 服 务 。 通 过 未 加 密 的 H T T P 请 求 定 期 连 接 到 其 指 定 的 服 务 器 ， 并 下 发 任 务 。
图 2 - 9   服 务 器 交 互 当 它 与 服 务 器 建 立 通 信 时 ， 将 从 受 害 者 设 备 中 收 集 的 数 据 通 过 一 个 J S O N 对 象 发 送 ， 收 集 到 的 数 据 可 用 于 生 成 机 器 人 的 唯 一 标 识 符 或 用 于 在 暗 网 出 售 。 图 2 - 1 0   获 取 的 设 备 信 息 与 服 务 器 端 交 互 ， 下 发 指 令 。 服 务 器 地 址 ： h t t p : / / m c s * * 6 5 . c o m / 。
图 2 - 1 1   C & C 远 控 结 构 指 令 列 表 ： 指 令 指 令 功 能 功 能 1 更 新 C ＆ C 服 务 器 的 地 址 2 更 新 服 务 唤 醒 间 隔 3 、 7 、 1 0 、 1 4 更 改 配 置 信 息 4 使 用 可 访 问 性 服 务 卸 载 应 用 5 锁 定 屏 幕 6 使 用 可 访 问 性 服 务 成 为 默 认 的 短 信 应 用 8 发 送 指 定 内 容 的 短 信 给 指 定 的 号 码 1 1 加 载 网 页 1 2 窃 取 设 备 上 的 图 片 1 3 上 传 图 片 恶 意 程 序 为 了 保 证 有 充 足 的 时 间 来 窃 取 到 交 易 身 份 验 证 号 码 ， 通 常 在 程 序 启 动 并 请 求 用 户 授 权 后 加 载 一 些 页 面 或 锁 定 屏 幕 来 延 迟 用 户 发 现 其 不 正 常 行 为 的 时 间 。 该 应 用 的 锁 定 屏 幕 包 括 两 个 部 分 ： 从 预 定 义 U R L 加 载 的 背 景 图 片 。 该 背 景 图 像 可 能 包 含 伪 造 的 “ 软 件 正 在 更 新 ” 屏 幕 。 锁 定 活 动 ， 这 是 显 示 在 屏 幕 顶 部 的 透 明 窗 口 ， 其 中 包 含 “ 正 在 加 载 ” 光 标 。 该 屏 幕 持 续 显 示 在 屏 幕 上 ， 并 阻 止
用 户 使 用 导 航 按 钮 。 3 . 2 . 2   短 信 控 制 当 程 序 接 收 到 由 a n d r o i d . p r o v i d e r . T e l e p h o n y . S M S _ R E C E I V E D 动 作 促 发 的 广 播 时 ， 应 用 程 序 通 过 短 信 与 服 务 端 建 立 连 接 。 为 了 窃 取 S M S 消 息 中 的 交 易 身 份 验 证 号 码 ， 应 用 程 序 会 将 自 身 更 改 为 短 信 默 认 程 序 。 这 样 应 用 可 以 随 意 操 作 短 信 、 删 除 短 信 以 保 证 短 信 内 容 只 有 攻 击 者 才 能 看 见 。 获 取 并 解 析 用 户 设 备 接 收 的 短 信 内 容 。 图 2 - 1 2   获 取 用 户 设 备 接 收 的 短 信 信 息 在 下 图 中 ， 我 们 可 以 看 到 一 个 发 送 到 服 务 器 的 数 据 包 ， 其 中 包 含 收 集 的 设 备 信 息 以 及 用 户 的 S M S 数 据 。 图 2 - 1 3   上 传 用 户 设 备 信 息 以 及 短 信 信 息 通 过 短 信 与 服 务 器 建 立 联 系 ， 解 析 短 信 指 令 执 行 相 应 任 务 。 攻 击 者 会 在 自 身 发 送 的 短 信 内 容 中 用 ” F r e i s c h a l t c o d e ” 字 符 串 作 为 标 记 。
图 2 - 1 4   短 信 远 控 结 构 服 务 端 发 送 的 短 信 通 过 R S A 非 对 称 加 密 算 法 加 密 ， 解 密 的 私 钥 硬 编 码 在 代 码 中 。 图 2 - 1 5   解 密 的 私 钥 硬 编 码 在 代 码 中 短 信 指 令 列 表 指 令 指 令 功 能 功 能 h t t p : / / 更 新 服 务 器 地 址 s m s : / / 将 接 收 到 的 S M S 发 回 给 发 件 人 2 更 改 服 务 启 动 间 隔 时 间 3 将 短 信 内 容 插 入 本 地 数 据 库 4 更 改 配 置 信 息 程 序 内 部 会 注 册 默 认 短 信 程 序 监 听 器 ， 当 该 恶 意 软 件 成 功 成 为 默 认 的 S M S 应 用 程 序 ， 它 将 以 俄 语 发 送 “ 应 用 程 序 已 被 替 换 ” 的 S M S 消 息 到 服 务 器 。 如 果 原 始 S M S 应 用 程 序 已 还 原 ， 它 将 发 送 “ 该 应 用 程 序 返 回 其 原 始 位 置 ” 的 S M S 消 息 到 服 务 器 。 且 该 s m s 消 息 电 话 号 码 字 段 被 标 记 标 记 为 “ 内 部 ” 图 2 - 1 6   发 送 俄 语 s m s 消 息 至 C & C 发 送 到 C & C 的 s m s 消 息 。 图   2 - 1 7   发 送 s m s 信 息 数 据 包 3 . 3   恶 意 程 序 变 体 恶 意 程 序 变 体 在 应 对 德 国 的 银 行 停 止 使 用 基 于 S M S 的 身 份 验 证 ， 转 而 使 用 专 用 于 2 F A 方 案 的 p u s h T A N 应 用 程 序 （ 使 用 针 对 用 户 的 推 送 通 知 ， 其 中 包 含 交 易 明 细 和 交 易 身 份 验 证 号 码 ） 情 况 时 。 由 于 A n d r o i d 的 应 用 程 序 沙 箱 阻 止 一 个 应 用 程 序 访 问 其 他 应 用 程 序 的 数 据 。 专 为 德 国 银 行 量 身 定 制 的 较 新 版 本 恶 意 程 序 使 用 了 以 下 两 种 方 式 获 取 交 易 身 份 验 证 号 码 （ T A N ） 。
（ 1 ） 使 用 A n d r o i d M e d i a R e c o r d e r 类 捕 获 屏 幕 视 频 或 截 屏 。 图 3 - 1   录 屏 （ 2 ） 使 用 可 访 问 性 服 务 遍 历 每 个 可 访 问 性 节 点 所 包 含 的 文 本 数 据 ， 其 中 包 含 屏 幕 上 所 有 对 象 的 文 本 数 据 如 文 本 框 里 的 文 字 。 图 3 - 2   遍 历 节 点 四 、 总 结 四 、 总 结 通 过 P C 端 恶 意 程 序 分 发 移 动 端 恶 意 程 序 的 情 况 并 不 是 第 一 次 出 现 。 为 了 获 取 利 益 攻 击 者 会 不 断 更 新 其 攻 击 手 段 。 用 户 应 提 高 应 对 恶 意 程 序 的 警 惕 性 ， 当 一 个 应 用 没 有 任 何 理 由 请 求 开 启 可 访 问 性 服 务 时 就 应 该 立 即 阻 断 卸 载 该 应 用 ， 以 免 设 备 被 恶 意 程 序 感 染 。 * 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 本 文 作 者 ： 暗 影 安 全 实 验 室 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理