搜索

[9640] 2015-12-13_揭秘：安卓木马是如何盗取用户手机银行的

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-17
2015-12-13_揭秘：安卓木马是如何盗取用户手机银行的 揭 秘 ： 安 卓 木 马 是 如 何 盗 取 用 户 手 机 银 行 的 F i r e F r a n k   F r e e B u f   2 0 1 5 - 1 2 - 1 3 手 机 银 行 是 一 种 非 常 便 捷 的 方 式 让 用 户 可 以 随 时 随 地 的 完 成 交 易 。 手 机 银 行 是 一 种 非 常 便 捷 的 方 式 让 用 户 可 以 随 时 随 地 的 完 成 交 易 。 K P M G 预 测 手 机 银 行 用 户 在 预 测 手 机 银 行 用 户 在 2 0 1 9 年 会 增 长 到 年 会 增 长 到 1 . 8 亿 。 但 是 ， 随 着 手 机 银 行 涉 及 的 金 钱 数 额 越 来 越 大 ， 攻 击 者 要 找 到 更 多 创 造 性 的 方 式 来 窃 取 金 钱 。 亿 。 但 是 ， 随 着 手 机 银 行 涉 及 的 金 钱 数 额 越 来 越 大 ， 攻 击 者 要 找 到 更 多 创 造 性 的 方 式 来 窃 取 金 钱 。 就 在 上 周 ， 新 加 坡 银 行 协 会 （ A B S ） 发 布 了 公 告 称 手 机 银 行 恶 意 软 件 感 染 安 卓 智 能 机 的 数 量 大 幅 上 升 。 我 们 很 有 兴 趣 深 入 研 究 这 种 新 兴 的 威 胁 ， 之 后 我 们 发 现 了 一 个 目 标 是 手 机 银 行 a p p 的 安 卓 恶 意 软 件 ， 于 是 我 们 对 它 展 开 了 进 一 步 研 究 。 安 装 安 装 这 种 移 动 端 恶 意 软 件 通 过 其 他 恶 意 软 件 - 一 个 独 立 的 a p p 或 者 用 户 登 入 恶 意 网 站 时 进 行 他 们 不 了 解 的 下 载 更 新 进 入 到 用 户 的 手 机 中 。 目 前 为 止 ， 我 们 把 所 有 遇 到 的 伪 装 过 的 样 本 归 结 命 名 为 假 冒 的 A d o b e   F l a s h   P l a y e r ， 这 个 名 字 并 不 奇 怪 ， 大 家 都 知 道 " A d o b e F l a s h   P l a y e r " 这 个 梗 （ 这 个 东 西 今 年 被 曝 出 很 多 漏 洞 啊 ， 还 有 0 d a y 什 么 的 ， 大 家 都 懂 的 ） 。 A d o b e   F l a s h   P l a y e r 所 需 的 权 限 要 比 同 类 普 通 应 用 高 的 多 （ 事 实 上 ， 在 某 些 情 况 下 安 卓 并 不 支 持 它 ） 。 P l a y e r 最 引 人 注 目 的 权 限 就 是 被 激 活 为 设 备 管 理 员 ， 也 就 是 需 要 安 卓 的 最 高 权 限 ， 这 点 很 容 易 被 恶 意 软 件 操 纵 。 从 本 质 上 讲 ， 设 备 管 理 员 权 限 赋 予 了 这 款 恶 意 软 件 禁 止 用 户 强 制 停 止 和 卸 载 a p p 的 权 利 ， 它 的 进 程 决 定 了 移 除 它 非 常 困 难 。 图 1 ： 安 装 、 许 可 和 设 备 管 理 员
图 2 ： 恶 意 软 件 要 求 获 取 设 备 管 理 员 权 限 深 入 了 解 恶 意 代 码 深 入 了 解 恶 意 代 码 木 马 病 毒 的 配 置 数 据 木 马 病 毒 的 配 置 数 据 如 下 图 所 示 ， 恶 意 软 件 检 索 和 解 码 它 的 配 置 文 件 ， B a s e 6 4 编 码 ， 使 用 " @ " 解 析 ， 因 此 它 可 以 以 数 组 形 式 储 存 。 图 3 ： 代 码 检 索 配 置 文 件 经 过 解 码 的 B a s e 6 4 配 置 数 据 显 示 了 它 的 C & C 服 务 器 ， 目 标 的 应 用 程 序 ， 银 行 列 表 ， C & C 命 令 等 等 。
图 4 ： B a s e   6 4 解 码 的 配 置 数 据 每 当 恶 意 软 件 需 要 特 定 的 数 据 ， 它 可 以 通 过 对 于 数 组 来 说 作 为 索 引 的 硬 编 码 整 数 值 进 行 检 索 。 如 下 面 的 代 码 所 示 ， 整 数 值 1 4 和 4 6 指 向 带 有 " t y p e " 和 " d e v i c e   i n f o " 值 的 配 置 数 组 的 索 引 。 我 们 还 可 以 看 到 C & C 服 务 器 和 作 为 感 染 设 备 标 志 符 的 代 码 值 来 回 应 。 图 5 ： 配 置 索 引 我 们 再 来 看 下 清 单 文 件 ， 然 后 就 能 很 快 发 现 样 本 想 要 做 什 么 了 。 我 们 很 确 定 这 款 恶 意 软 件 的 目 标 就 像 我 们 之 前 提 到 的 一 样 ， 针 对 手 机 银 行 和 移 动 支 付 用 户 。 下 面 是 清 单 文 件 的 截 图 ：
图 6 ： 安 卓 的 清 单 这 款 恶 意 软 件 可 以 通 过 创 建 伪 造 银 行 窗 口 来 进 行 网 络 钓 鱼 获 取 被 然 后 用 户 的 银 行 信 息 ， 如 信 用 卡 帐 号 、 账 单 地 址 、 银 行 用 户 名 、 P I N 和 密 码 等 等 。 下 图 是 基 于 我 们 样 本 的 被 瞄 准 的 银 行 和 支 付 服 务 的 列 表 ： 图 7 ： 目 标 银 行 和 目 标 支 付 服 务 接 下 来 我 们 再 看 看 恶 意 软 件 的 核 心 功 能 及 主 要 操 作 ， 尤 其 是 执 行 数 据 窃 取 的 一 系 列 活 动 。 钓 鱼 技 巧 钓 鱼 技 巧 当 受 害 人 打 开 合 法 手 机 银 行 或 者 支 付 a p p 时 ， 该 恶 意 软 件 同 时 打 开 了 它 伪 造 的 银 行 窗 口 ， 然 后 把 两 个 窗 口 叠 加 ， 用 户 很 难 通 过 界 面 发 现 一 个 新 的 窗 口 被 打 开 了 。 假 冒 的 窗 口 和 原 生 窗 口 非 常 类 似 。 然 而 ， 当 用 户 点 击 其 他 功 能 ， 比 如 编 辑 或 者 屏 幕 上 的 菜 单 功 能 时 就 能 发 现 他 们 的 区 别 了 。 在 这 里 ， 假 冒 的 界 面 没 有 任 何 反 应 ， 因 为 假 的 用 户 界 面 没 法 实 现 这 些 功 能 。
图 8 ： 伪 造 的 银 行 界 面 点 击 更 多 任 务 查 看 两 种 登 录 页 面 - 第 一 个 是 合 法 的 应 用 程 序 ， 第 二 个 是 伪 造 的 A d o b e   F l a s h   P l a y e r 。 图 9 ： 多 任 务 查 看
另 外 一 些 钓 鱼 窗 口 的 例 子 ， 他 们 简 直 和 合 法 窗 口 太 像 了 ： 图 1 0 ： 银 行 网 络 钓 鱼 窗 口
图 1 1 ： 信 用 卡 钓 鱼 窗 口 收 集 登 录 凭 证 收 集 登 录 凭 证 像 前 面 所 说 的 ， 最 重 要 的 一 部 就 是 劝 说 受 害 者 进 入 他 们 伪 造 的 登 录 界 面 进 行 信 息 验 证 。 因 此 ， 恶 意 软 件 需 要 做 的 第 一 件 事 就 是 决 定 确 定 用 户 使 用 的 是 什 么 公 司 的 银 行 以 及 银 行 界 面 长 什 么 样 。 恶 意 软 件 定 期 检 查 设 备 上 运 行 的 a p p 并 通 过 g e t P a c k a g e N a m e ( )   A P I 调 用 检 索 应 用 程 序 相 关 的 界 面 名 称 然 后 把 这 个 来 自 这 个 A P I 的 返 回 参 数 和 下 面 这 个 目 标 应 用 程 序 名 字 列 表 进 行 比 较 ： 金 融 应 用 程 序 ： c o m . c o m m b a n k . n e t b a n k c o m . c b a . a n d r o i d . n e t b a n k a u . c o m . n a b . m o b i l e o r g . w e s t p a c . b a n k o r g . s t g e o r g e . b a n k c o m . a n z . a n d r o i d . g o m o n e y n z . c o . k i w i b a n k . m o b i l e n z . c o . w e s t p a c n z . c o . b n z . d r o i d b a n k i n g n z . c o . a n z . a n d r o i d . m o b i l e b a n k i n g d e . d k b . p o r t a l a p p d k . b e c . a n d r o i d . m b 1 . b 0 0 0 3 7 . p r o d c o m . h a n g s e n g . s e r v i c e m e n u a p p c o m . s c b . b r e e z e b a n k i n g . h k c o m . c i t i b a n k . m o b i l e . h k a t . b a w a g . m b a n k i n g a t . e r s t e b a n k . g e o r g e a t . s p a r d a t . n e t b a n k i n g c o m . b a n k a u s t r i a . a n d r o i d . o l b c o m . d b s c o m . p o s b c o m . o c b c . m o b i l e c o m . u o b . m o b i l e c o m . p a y p a l . a n d r o i d . p 2 p m o b i l e c o m . i s i s _ p a p y r u s . r a i f f e i s e n _ p a y _ e y e w d g
c o m . b b v a . b b v a c o n t i g o e s . b a n c o s a n t a n d e r . a p p s S o c i a l   a n d   c o m m u n i c a t i o n   a p p l i c a t i o n c o m . a n d r o i d . v e n d i n g c o m . g o o g l e . a n d r o i d . m u s i c c o m . w h a t s a p p c o m . v i b e r . v o i p c o m . i n s t a g r a m . a n d r o i d c o m . s k y p e . r a i d e r c o m . g o o g l e . a n d r o i d . g m 图 1 2 ： 获 取 正 在 运 行 进 程 的 包 的 名 字 如 果 匹 配 的 应 用 程 序 被 发 现 正 在 受 感 染 设 备 上 运 行 ， 负 责 回 应 的 类 会 显 示 上 映 的 伪 造 的 登 录 页 面 。
图 1 3 ： 在 伪 造 的 登 录 页 显 示 的 流 量 下 面 的 视 频 解 释 了 一 个 真 实 的 攻 击 情 形 ， 当 用 户 的 手 机 被 感 染 时 ， 他 们 的 网 上 银 行 凭 据 是 如 何 被 窃 取 的 。 希 望 这 个 关 于 真 实 攻 击 的 视 频 可 以 给 你 启 示 ：
视 频 1 ： D B S 钓 鱼 场 景 你 可 以 从 这 个 视 频 看 出 ， 当 真 实 的 D B S 应 用 被 触 发 时 ， 受 害 者 将 看 到 一 个 假 冒 的 D B S 登 录 画 面 。 之 后 你 可 以 看 到 受 害 者 会 被 要 求 进 入 这 个 登 录 界 面 两 次 。 接 下 来 ， 受 害 者 将 被 重 定 向 到 合 法 的 D B S 应 用 G U I 。 在 假 的 登 录 界 面 截 取 的 登 录 凭 证 就 会 被 恶 意 软 件 发 送 的 C & C 服 务 器 上 ： 图 1 4 ： 发 送 窃 取 的 凭 证 截 取 一 次 性 密 码 （ 截 取 一 次 性 密 码 （ O T P ） ） 银 行 经 常 把 短 信 作 为 一 次 性 密 码 （ O T P ） 发 送 给 用 户 作 为 用 户 I D 和 密 码 之 外 的 登 录 凭 证 。 获 取 这 种 额 外 的 登 录 凭 证 需 要 攻 击 者 进 入 受 害 者 的 设 备 获 取 接 入 O T P 的 权 限 来 获 取 O T P 。 恶 意 软 件 通 过 把 自 己 注 册 成 安 卓 操 作 系 统 的 S M S 广 播 接 收 方 来 完 成 O T P 获 取 工 作 。 在 这 种 理 论 中 ， 只 要 受 害 者 在 安 装 时 授 予 了 软 件 合 适 的 执 行 权 限 ， 恶 意 软 件 就 能 很 轻 松 的 完 成 这 项 工 作 ， 这 种 权 限 在 清 单 文 件 中 被 明 确 的 指 出 了 。 因 此 ， 所 有 接 收 的 S M S 都 可 以 被 很 容 易 的 劫 持 ， S M S 的 内 容 可 以 被 发 送 到 攻 击 者 的 C & C 服 务 器 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理