搜索

[8665] 2015-02-06_未越狱的iPhoneiPad也中招：走近强大的间谍软件XAgent与MadCap

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2015-02-06_未越狱的iPhoneiPad也中招：走近强大的间谍软件XAgent与MadCap 未 越 狱 的 i P h o n e / i P a d 也 中 招 ： 走 近 强 大 的 间 谍 软 件 X A g e n t 与 M a d C a p F r e e B u f   2 0 1 5 - 0 2 - 0 6 趋 势 科 技 的 安 全 专 家 在 调 查 一 起 网 络 间 谍 活 动 时 ， 发 现 了 一 款 特 别 的 趋 势 科 技 的 安 全 专 家 在 调 查 一 起 网 络 间 谍 活 动 时 ， 发 现 了 一 款 特 别 的 i O S 设 备 间 谍 程 序 。 它 可 以 窃 取 未 越 狱 设 备 间 谍 程 序 。 它 可 以 窃 取 未 越 狱 i O S 用 户 用 户 的 照 片 、 短 信 、 联 系 人 列 表 和 其 他 数 据 。 但 值 得 注 意 的 是 ， 这 种 恶 意 软 件 仍 然 无 法 在 未 经 用 户 允 许 的 情 况 下 安 装 。 的 照 片 、 短 信 、 联 系 人 列 表 和 其 他 数 据 。 但 值 得 注 意 的 是 ， 这 种 恶 意 软 件 仍 然 无 法 在 未 经 用 户 允 许 的 情 况 下 安 装 。 间 谍 活 动 背 景 间 谍 活 动 背 景 O p e r a t i o n   P a w n   S t o r m 是 一 起 有 关 经 济 、 政 治 的 网 络 间 谍 活 动 ， 主 要 目 标 是 各 国 的 军 事 、 政 府 和 媒 体 。 这 一 活 动 从 是 一 起 有 关 经 济 、 政 治 的 网 络 间 谍 活 动 ， 主 要 目 标 是 各 国 的 军 事 、 政 府 和 媒 体 。 这 一 活 动 从 2 0 0 7 年 就 开 始 ， 一 直 活 跃 至 今 。 年 就 开 始 ， 一 直 活 跃 至 今 。 安 全 研 究 人 员 发 现 ， 该 间 谍 活 动 主 要 使 用 了 两 款 恶 意 程 序 ： 一 个 叫 做 X A g e n t ， 另 一 个 叫 做 M a d C a p （ 与 一 款 i O S 游 戏 重 名 ） 。 这 些 恶 意 间 谍 软 件 主 要 用 于 窃 取 i O S 用 户 的 私 人 数 据 、 音 频 、 截 图 等 ， 然 后 将 窃 取 到 的 数 据 传 输 到 远 程 C & C （ 命 令 与 控 制 ） 服 务 器 上 。 全 面 剖 析 全 面 剖 析 X A g e n t X A g e n t 是 一 个 功 能 强 大 的 间 谍 程 序 。 成 功 安 装 在 i O S   7 上 之 后 ， 就 会 隐 藏 了 图 标 ， 然 后 默 默 的 在 后 台 运 行 。 当 我 们 试 图 阻 止 其 进 程 时 ， 它 会 立 即 重 新 启 动 。 但 奇 怪 的 是 ， X A g e n t 在 i O S   8   上 却 不 会 隐 藏 图 标 ， 也 不 会 自 动 的 重 新 启 动 。 难 道 是 X A g e n t 的 开 发 时 间 早 于 i O S   8 ？ 数 据 窃 取 能 力 数 据 窃 取 能 力 攻 击 者 开 发 该 程 序 的 目 的 是 搜 集 i O S 移 动 设 备 上 的 所 有 信 息 ， 包 括 ： 1 .   文 本 信 息 2 .   联 系 人 列 表 3 .   图 片 4 .   地 理 位 置 数 据 5 .   音 频 数 据 6 .   安 装 的 应 用 程 序 列 表 7 .   进 程 列 表 8 .   W i - F i 状 态
图 1 C & C 通 信 通 信 除 了 搜 集 信 息 外 ， 它 还 会 通 过 H T T P 向 外 发 送 信 息 。 格 式 化 的 日 志 信 息 格 式 化 的 日 志 信 息 该 恶 意 程 序 的 日 志 以 H T M L 形 式 书 写 ， 并 且 还 有 颜 色 标 识 。 错 误 的 信 息 会 显 示 红 色 ， 正 确 的 信 息 会 显 示 绿 色 。 图 2 设 计 良 好 的 代 码 结 构 设 计 良 好 的 代 码 结 构 代 码 结 构 也 是 经 过 精 心 设 计 的 ， 黑 客 们 小 心 翼 翼 的 维 护 着 ， 并 不 断 的 更 新 。 如 下 图 ： 图 3 X A g e n t 经 常 使 用 w a t c h ,   s e a r c h ,   f i n d ,   r e s u l t s ,   o p e n ,   c l o s e 命 令 。 图 4 随 机 生 成 随 机 生 成 U R I X A g e n t 会 根 据 C & C 服 务 器 模 板 随 机 生 成 U R I （ 统 一 资 源 标 识 符 ） 。 基 本 的 U R I 如 图 4 ， 程 序 会 从 图 5 所 示 的 列 表 中 选 择 参 数 拼 接 到 基 本 U R I 中 。
图 5 下 面 是 实 现 结 果 ： 图 6 图 7 令 牌 （ 令 牌 （ t o k e n ） 格 式 与 编 码 ） 格 式 与 编 码 X A g e n t 间 谍 程 序 会 使 用 特 定 的 令 牌 识 别 哪 一 个 模 块 正 在 进 行 通 信 。 该 令 牌 使 用 B a s e 6 4 编 码 数 据 ， 但 是 要 随 意 添 加 一 个 5 字 节 的 前 缀 ， 这 样 才 看 着 像 是 一 个 有 效 的 B a s e 6 4 数 据 。 详 见 下 图 中 第 一 行 代 码 的 “ a i = ” 部 分 。 图 8 通 过 逆 向 工 程 的 话 ， 我 们 还 会 发 现 X A g e n t 的 一 些 其 他 的 通 信 功 能 。 图 1 0 F T P 通 信 通 信 该 应 用 程 序 还 可 通 过 F T P 协 议 上 传 文 件 。
图 1 1 剖 析 剖 析 M a d C a p M a d C a p 和 X A g e n t 很 相 似 ， 但 是 M a d C a p 只 能 安 装 在 越 狱 后 的 苹 果 设 备 上 ， 对 非 越 狱 设 备 不 起 任 何 作 用 。 图 1 2 感 染 方 式 感 染 方 式 目 前 为 止 ， 我 们 可 以 确 定 的 目 前 为 止 ， 我 们 可 以 确 定 的 i O S 设 备 无 须 越 狱 也 会 感 染 恶 意 程 序 设 备 无 须 越 狱 也 会 感 染 恶 意 程 序 X A g e n t 。 。 我 们 已 经 发 现 了 一 个 真 实 案 例 ： 用 户 设 备 上 会 出 现 一 个 “ 点 击 此 处 安 装 应 用 程 序 ” 的 诱 惑 链 接 ， 地 址 为 ： h t t p s : / / w w w . { B L O C K E D } / a d h o c / X A g e n t . p l i s t 。 受 害 者 只 需 简 单 的 点 击 图 片 中 的 链 接 就 中 招 了 ， 恶 意 程 序 程 序 通 过 苹 果 的 “ 特 别 通 道 ” 传 播 — — 该 通 道 原 本 是 便 于 企 业 和 开 发 者 部 署 应 用 而 设 置 的 ， 它 允 许 软 件 安 装 绕 过 A p p S t o r e 。 图 1 3 安 全 建 议 安 全 建 议 即 使 你 使 用 的 是 未 越 狱 的 即 使 你 使 用 的 是 未 越 狱 的 i P h o n e 或 或 i P a d ， 现 在 ， 你 也 要 多 留 个 心 眼 了 ， 现 在 ， 你 也 要 多 留 个 心 眼 了 — — 不 要 点 击 任 何 可 疑 链 接 。 不 要 点 击 任 何 可 疑 链 接 。 [ 参 考 来 源 参 考 来 源 b l o g . t r e n d m i c r o ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理