搜索

[9365] 2015-09-20_涅槃团队：Xcode幽灵病毒存在恶意下发木马行为

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-17
2015-09-20_涅槃团队：Xcode幽灵病毒存在恶意下发木马行为 涅 槃 团 队 ： X c o d e 幽 灵 病 毒 存 在 恶 意 下 发 木 马 行 为 F r e e B u f   2 0 1 5 - 0 9 - 2 0 我 们 还 原 了 恶 意 i O S 应 用 与 C 2 服 务 器 的 通 信 协 议 ， 从 而 可 以 实 际 测 试 受 感 染 的 i O S 应 用 有 哪 些 恶 意 行 为 。 最 后 ， 我 们 分 析 了 攻 击 的 发 起 点 ： X c o d e ， 分 析 了 其 存 在 的 弱 点 ， 以 及 利 用 过 程 ， 并 验 证 了 该 攻 击 方 法 。 一 、 恶 意 行 为 与 一 、 恶 意 行 为 与 C 2 服 务 器 服 务 器 1 、 通 信 密 钥 分 析 、 通 信 密 钥 分 析 恶 意 程 序 将 其 与 服 务 器 通 信 的 数 据 做 了 加 密 ， 如 下 图 所 示 ： 密 钥 的 计 算 方 法 ： 通 过 分 析 ， 密 钥 为 ： s t r i n g W i ， 生 成 密 钥 的 方 式 比 较 有 迷 惑 性 。 2 、 恶 意 行 为 分 析 、 恶 意 行 为 分 析
恶 意 行 为 一 ： 做 应 用 推 广 ​ 方 法 是 ： 首 先 检 测 用 户 手 机 上 是 否 安 装 了 目 标 应 用 ， 如 果 目 标 应 用 没 有 安 装 ， 则 安 装 相 应 应 用 ， 其 中 目 标 应 用 由 C 2 服 务 器 控 制 。 我 们 逆 向 了 恶 意 代 码 与 C 2 服 务 器 的 通 信 协 议 ， 搭 建 了 一 个 测 试 的 C 2 服 务 器 。 然 后 通 过 C 2 服 务 器 可 以 控 制 客 户 端 安 装 第 三 方 应 用 （ 演 示 应 用 为 测 试 应 用 ， 不 代 表 恶 意 软 件 推 广 该 应 用 ） , 见 视 频 ： 这 是 第 一 个 针 对   X c o d e G h o s t   能 力 的 视 频 演 示 恶 意 行 为 二 ： 伪 造 内 购 页 面 ​ 相 关 代 码 如 下 ： 恶 意 行 为 三 ： 通 过 远 程 控 制 ， 在 用 户 手 机 上 提 示 ​
二 、 二 、 X c o d e   的 弱 点 及 利 用 的 弱 点 及 利 用 1 、 、 X c o d e   的 利 用 过 程 描 述 的 利 用 过 程 描 述 X c o d e   中 存 在 一 个 配 置 文 件 ， 该 配 置 文 件 可 以 用 来 控 制 编 译 器 的 链 接 行 为 ， 在 受 感 染 的 X c o d e 中 ， 该 文 件 被 修 改 ， 从 而 在 链 接 阶 段 使 程 序 链 接 含 有 恶 意 代 码 的 对 象 文 件 ， 实 现 向 正 常 i O S 应 用 中 注 入 恶 意 代 码 的 目 的 。 被 修 改 的 文 件 内 容 如 下 ： 从 上 图 可 以 看 到 ， 程 序 会 链 接 恶 意 对 象 文 件   C o r e S e r v i c e 。
从 链 接 过 程 的 L o g 中 可 以 看 到 其 实 如 何 影 响 链 接 过 程 的 ： 注 ： 实 际 上 可 以 让 C o r e S e r v i c e 从 文 件 系 统 中 消 失 ， 且 在 链 接 L o g 中 没 有 任 何 额 外 信 息 。 通 过 在 配 置 文 件 中 添 加 的 链 接 选 项 ， 在 工 程 的 编 译 设 置 中 无 法 看 到 ， 这 就 增 加 隐 蔽 性 ： 2 、 对 恶 意 代 码 、 对 恶 意 代 码   C o r e S e r v i c e   的 分 析 的 分 析 首 先   C o r e S e r v i c e   的 文 件 类 型 为 ： O b j e c t ， 即 对 象 文 件 。 查 看   C o r e S e r v i c e   中 的 符 号 ， 可 以 看 到 ：
导 入 的 符 号 有 ： 3 、 验 证 概 念 、 验 证 概 念 首 先 编 写 一 个 O b j C 的 类 ， 测 试 如 下 图 ：
制 作 出 对 象 文 件 P r o t e a s I n j e c t o r . o ， 然 后 用 这 个 文 件 替 换 掉 C o r e S e r v i c e 文 件 ， 编 译 程 序 ， 然 后 反 汇 编 ， 结 果 如 下 ： 可 以 看 到 代 码 被 注 入 到 应 用 中 。 本 文 是   3 6 0   N i r v a n   T e a m   团 队 针 对   X c o d e G h o s t   的 第 二 篇 分 析 文 章 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理