搜索

[28057] 2020-01-14_利用CVE-2019-2215在Google商店上发现，与SideWinderAPT组相关联

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-19
2020-01-14_利用CVE-2019-2215在Google商店上发现，与SideWinderAPT组相关联 利 用 C V E - 2 0 1 9 - 2 2 1 5 在 G o o g l e 商 店 上 发 现 ， 与 S i d e W i n d e r   A P T 组 相 关 联 O t s 安 全   2 0 2 0 - 0 1 - 1 4 我 们 在 G o o g l e   P l a y 商 店 中 发 现 了 三 个 恶 意 应 用 程 序 ， 它 们 可 以 协 同 工 作 以 破 坏 受 害 者 的 设 备 并 收 集 用 户 信 息 。 其 中 一 个 名 为 C a m e r o 的 应 用 利 用 了 C V E - 2 0 1 9 - 2 2 1 5 这 个 漏 洞 ， 该 漏 洞 存 在 于 B i n d e r （ A n d r o i d 中 主 要 的 进 程 间 通 信 系 统 ） 中 。 这 是 使 用 F r e e - A f t e r - F r e e 漏 洞 在 野 外 的 第 一 个 已 知 的 主 动 攻 击 。 有 趣 的 是 ， 在 进 一 步 调 查 中 ， 我 们 还 发 现 这 三 个 应 用 程 序 可 能 是 S i d e W i n d e r 威 胁 参 与 者 小 组 的 武 器 库 的 一 部 分 。 自 2 0 1 2 年 以 来 一 直 活 跃 的 S i d e W i n d e r 小 组 是 一 个 已 知 的 威 胁 ， 据 报 道 已 瞄 准 军 事 实 体 的 W i n d o w s 计 算 机 。 这 三 个 恶 意 应 用 伪 装 成 摄 影 和 文 件 管 理 器 工 具 。 根 据 其 中 一 个 应 用 程 序 的 证 书 信 息 ， 我 们 推 测 这 些 应 用 程 序 自 2 0 1 9 年 3 月 以 来 一 直 处 于 活 动 状 态 。 此 后 ， 这 些 应 用 已 从 G o o g l e   P l a y 中 删 除 。 图 1 . 与 S i d e W i n d e r 组 相 关 的 三 个 应 用 图 2 . 其 中 一 个 应 用 程 序 的 证 书 信 息 安 装 安 装
S i d e W i n d e r 分 两 个 阶 段 安 装 有 效 负 载 应 用 程 序 。 它 首 先 从 其 命 令 和 控 制 （ C ＆ C ） 服 务 器 下 载 一 个 D E X 文 件 （ 一 种 A n d r o i d 文 件 格 式 ） 。 我 们 发 现 该 小 组 使 用 A p p s   C o n v e r s i o n   T r a c k i n g 来 配 置 C ＆ C 服 务 器 地 址 。 该 地 址 由 B a s e 6 4 编 码 ， 然 后 设 置 为 恶 意 软 件 分 发 所 用 U R L 中 的 R e f e r r e r 参 数 。 图 3 . 解 析 的 C ＆ C 服 务 器 地 址 完 成 此 步 骤 后 ， 下 载 的 D E X 文 件 将 下 载 A P K 文 件 ， 并 在 利 用 设 备 或 使 用 辅 助 功 能 后 安 装 该 文 件 。 所 有 这 些 都 是 在 没 有 用 户 意 识 或 干 预 的 情 况 下 完 成 的 。 为 了 逃 避 检 测 ， 它 使 用 了 许 多 技 术 ， 例 如 混 淆 ， 数 据 加 密 和 调 用 动 态 代 码 。 C a m e r o 和 F i l e C r y p t   M a n g e r 应 用 程 序 充 当 滴 管 。 从 C ＆ C 服 务 器 下 载 额 外 的 D E X 文 件 后 ， 第 二 层 放 置 器 会 调 用 额 外 的 代 码 以 在 设 备 上 下 载 ， 安 装 和 启 动 c a l l C a m 应 用 程 序 。
图 4 . 两 阶 段 有 效 负 载 部 署 图 5 . 代 码 展 示 了 d r o p p e r 如 何 调 用 额 外 的 D E X 代 码 要 在 用 户 不 知 情 的 情 况 下 在 设 备 上 部 署 有 效 负 载 应 用 程 序 c a l l C a m ， S i d e W i n d e r 将 执 行 以 下 操 作 ： 1 .   设 备 生 根 设 备 生 根 此 方 法 是 由 滴 管 应 用 程 序 C a m e r o 完 成 的 ， 仅 适 用 于 G o o g l e   P i x e l （ P i x e l   2 ， P i x e l   2   X L ） ， 诺 基 亚 3 （ T A - 1 0 3 2 ） ， L G   V 2 0 （ L G - H 9 9 0 ） ， O p p o   F 9 （ C P H 1 8 8 1 ） ， 和 R e d m i   6 A 设 备 。 该 恶 意 软 件 会 根 据 D r o p p e r 下 载 的 D E X 从 C ＆ C 服 务 器 检 索 特 定 的 漏 洞 利 用 。
图 6 .   C a m e r o 从 E x t r a   D E X 下 载 的 代 码 片 段 在 调 查 期 间 ， 我 们 能 够 从 C ＆ C 服 务 器 下 载 五 个 漏 洞 。 他 们 使 用 漏 洞 C V E - 2 0 1 9 - 2 2 1 5 和 M e d i a T e k - S U 来 获 得 r o o t 特 权 。 图 7 .   C V E - 2 0 1 9 - 2 2 1 5 攻 击
图 8 .   M e d i a T e k - S U 利 用 获 得 r o o t 特 权 后 ， 该 恶 意 软 件 将 安 装 应 用 程 序 c a l l C a m ， 启 用 其 可 访 问 性 权 限 ， 然 后 启 动 它 。 图 9 . 命 令 安 装 应 用 程 序 ， 启 动 应 用 程 序 ， 并 启 用 辅 助 功 能 2 .   使 用 可 访 问 性 权 限 使 用 可 访 问 性 权 限 滴 管 应 用 程 序 F i l e C r y p t   M a n a g e r 使 用 此 方 法 ， 并 且 可 在 高 于 A n d r o i d   1 . 6 的 大 多 数 典 型 A n d r o i d 手 机 上 使 用 。 启 动 后 ， 该 应 用 会 要 求 用 户 启 用 辅 助 功 能 。
图 1 0 . 步 骤 F i l e C r y p t   M a n a g e r 提 示 用 户 要 做 获 得 批 准 后 ， 该 应 用 程 序 将 显 示 一 个 全 屏 窗 口 ， 提 示 您 需 要 进 一 步 的 设 置 步 骤 。 实 际 上 ， 那 只 是 一 个 覆 盖 屏 幕 ， 显 示 在 设 备 上 所 有 活 动 窗 口 的 顶 部 。 覆 盖 窗 口 将 其 属 性 设 置 为 F L A G _ N O T _ F O C U S A B L E 和 F L A G _ N O T _ T O U C H A B L E ， 从 而 使 活 动 窗 口 可 以 通 过 覆 盖 屏 幕 检 测 和 接 收 用 户 的 触 摸 事 件 。
图 1 1 . 覆 盖 屏 幕 同 时 ， 该 应 用 程 序 从 额 外 的 D E X 文 件 中 调 用 代 码 以 启 用 未 知 应 用 程 序 的 安 装 和 有 效 负 载 应 用 程 序 c a l l C a m 的 安 装 。 它 还 启 用 有 效 负 载 应 用 程 序 的 可 访 问 性 权 限 ， 然 后 启 动 有 效 负 载 应 用 程 序 。 所 有 这 些 都 发 生 在 用 户 不 知 道 的 覆 盖 屏 幕 后 面 。 并 且 ， 所 有 这 些 步 骤 都 是 通 过 使 用 辅 助 功 能 来 执 行 的 。
图 1 2 . 启 用 安 装 未 知 应 用 程 序 和 新 A P K 的 代 码 图 1 3 . 新 安 装 的 应 用 程 序 的 代 码 启 用 访 问 权 限 c a l l C a m 的 活 动 的 活 动 启 动 后 ， 应 用 程 序 c a l l C a m 会 在 设 备 上 隐 藏 其 图 标 。 它 收 集 以 下 信 息 ， 并 在 后 台 将 其 发 送 回 C ＆ C 服 务 器 ： 位 置 电 池 状 态 设 备 上 的 文 件 已 安 装 的 应 用 列 表
设 备 信 息 传 感 器 信 息 相 机 资 讯 屏 幕 截 图 帐 户 无 线 网 络 信 息 微 信 ， O u t l o o k ， T w i t t e r ， Y a h o o   M a i l ， F a c e b o o k ， G m a i l 和 C h r o m e 的 数 据 该 应 用 程 序 使 用 R S A 和 A E S 加 密 算 法 对 所 有 被 盗 数 据 进 行 加 密 。 它 使 用 S H A 2 5 6 来 验 证 数 据 完 整 性 并 自 定 义 编 码 例 程 。 加 密 时 ， 它 将 创 建 一 个 名 为 h e a d D a t a 的 数 据 块 。 该 块 包 含 原 始 数 据 的 前 9 个 字 节 ， 原 始 数 据 长 度 ， 随 机 A E S   I V ， R S A 加 密 的 A E S 加 密 密 钥 以 及 A E S 加 密 的 原 始 数 据 的 S H A 2 5 6 值 。 然 后 h e a d D a t a 通 过 定 制 例 程 进 行 编 码 。 编 码 后 ， 将 其 存 储 在 最 终 加 密 文 件 的 开 头 ， 然 后 再 存 储 A E S 加 密 原 始 数 据 的 数 据 。 图 1 4 . 数 据 加 密 过 程
图 1 5 . 完 成 的 定 制 编 码 例 程 与 与 S i d e W i n d e r 的 关 系 的 关 系 这 些 应 用 可 能 归 因 于 S i d e W i n d e r ， 因 为 它 使 用 的 C ＆ C 服 务 器 被 怀 疑 是 S i d e W i n d e r 基 础 架 构 的 一 部 分 。 此 外 ， 在 其 中 一 台 C ＆ C 服 务 器 上 也 找 到 了 链 接 到 应 用 程 序 之 一 G o o g l e   P l a y 页 面 的 U R L 。 图 1 6 . 在 其 中 一 台 C ＆ C 服 务 器 中 找 到 F i l e M a n a g e r 应 用 程 序 的 G o o g l e   P l a y   U R L 。 趋 势 科 技 解 决 方 案 趋 势 科 技 解 决 方 案 趋 势 科 技 解 决 方 案 （ 例 如 用 于 A n d r o i d ™ 的 趋 势 科 技 ™ 移 动 安 全 ） 可 以 检 测 到 这 些 恶 意 应 用 程 序 。 最 终 用 户 还 可 以 从 其 多 层 安 全 功 能 中 受 益 ， 该 功 能 可 保 护 设 备 所 有 者 的 数 据 和 隐 私 并 保 护 其 免 受 勒 索 软 件 ， 欺 诈 性 网 站 和 身 份 盗 用 的 侵 害 。 对 于 组 织 ， 趋 势 科 技 企 业 移 动 安 全 套 件 提 供 设 备 ， 法 规 遵 从 性 和 应 用 程 序 管 理 ， 数 据 保 护 以 及 配 置 设 置 。 它 还 可 以 保 护 设 备 免 受 利 用 漏 洞 的 攻 击 ， 阻 止 对 应 用 程 序 的 未 经 授 权 访 问 以 及 检 测 和 阻 止 恶 意 软 件 和 欺 诈 性 网 站 。 趋 势 科 技 的 移 动 应 用 程 序 信 誉 服 务 （ M A R S ） 使 用 领 先 的 沙 箱 和 机 器 学 习 技 术 来 覆 盖 A n d r o i d 和 i O S 威 胁 ， 以 保 护 用 户 免 受 恶 意 软 件 ， 零 日 漏 洞 和 已 知 漏 洞 ， 隐 私 泄 漏 和 应 用 程 序 漏 洞 的 侵 害 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理