搜索

[9846] 2016-02-24_ZergHelper：成功绕过AppStore代码审查的风险软件

文档创建者：s7ckTeam
浏览次数：34
最后更新：2025-01-18
2016-02-24_ZergHelper：成功绕过AppStore代码审查的风险软件 Z e r g H e l p e r ： 成 功 绕 过 A p p   S t o r e 代 码 审 查 的 风 险 软 件 F r e e B u f   2 0 1 6 - 0 2 - 2 4 作 者 ： C l a u d   X i a o A p p l e 官 方 的 官 方 的 i O S   A p p   S t o r e 一 直 以 来 都 以 严 格 的 代 码 审 查 著 称 ， 这 项 强 制 性 的 措 施 已 经 成 为 一 直 以 来 都 以 严 格 的 代 码 审 查 著 称 ， 这 项 强 制 性 的 措 施 已 经 成 为 i O S 安 全 生 态 系 统 中 确 保 安 全 生 态 系 统 中 确 保 i O S 用 户 的 隐 私 和 安 全 的 用 户 的 隐 私 和 安 全 的 一 项 重 要 机 制 。 但 是 近 期 有 安 全 人 员 发 现 ， 有 一 款 一 项 重 要 机 制 。 但 是 近 期 有 安 全 人 员 发 现 ， 有 一 款 A P P 成 功 绕 过 了 成 功 绕 过 了 A p p l e 的 代 码 审 查 机 制 。 的 代 码 审 查 机 制 。 这 款 A P P 在 A p p   S t o r e 中 的 名 称 为 “ 开 心 日 常 英 语 （ H a p p y D a i l y   E n g l i s h ） ” ， 目 前 A p p l e 已 经 删 除 了 该 款 A P P 。 这 是 一 个 针 对 中 国 大 陆 i O S 用 户 的 非 常 复 杂 的 、 第 三 方 应 用 商 店 客 户 端 ， 并 且 已 经 发 现 了 企 业 签 名 版 本 。 研 究 人 员 暂 时 还 未 发 现 该 软 件 的 任 何 恶 意 功 能 ， 因 此 将 其 归 为 R i s k w a r e （ 风 险 软 件 ） ， 并 命 名 为 Z e r g H e l p e r 。 图 一   A p p S t o r e 中 的 “ 开 心 日 常 英 语 ” Z e r g H e l p e r 中 存 在 以 下 安 全 风 险 ： 伪 造 A p p   S t o r e ， 提 供 没 有 安 全 保 障 的 i O S 应 用 滥 用 企 业 证 书 和 个 人 证 书 签 名 和 分 发 应 用 ， 其 中 可 能 包 含 未 审 查 的 代 码 ， 或 滥 用 私 有 A P I 要 求 用 户 输 入 A p p l e I D ， 并 为 用 户 提 供 A p p l e   I D ， 可 能 使 用 这 些 I D 登 陆 A p p l e 服 务 器 ， 并 在 后 台 执 行 操 作 创 造 者 试 图 通 过 动 态 更 新 代 码 扩 展 其 功 能 ， 可 能 会 绕 过 i O S 安 全 限 制 使 用 敏 感 并 且 具 有 风 险 的 技 术 ， 这 些 技 术 可 能 会 被 恶 意 软 件 用 于 攻 击 i O S 生 态 系 统 Z e r g H e l p e r 已 经 通 过 了 A p p l e 的 代 码 审 查 ， 它 通 过 在 不 同 的 地 理 位 置 执 行 不 同 的 操 作 来 实 现 这 一 功 能 。 在 中 国 以 外 的 地 区 ， 它 就 是 一 个 英 语 学 习 软 件 ， 然 而 当 在 中 国 使 用 该 软 件 时 ， 它 真 正 的 功 能 就 显 现 出 来 。 2 0 1 5 年 1 0 月 3 0 日 ， Z e r g H e l p e r 在 A p p   S t o r e 上 架 ， 但 是 ， 直 到 2 0 1 6 年 2 月 1 9 日 ， 它 的 隐 藏 功 能 才 被 人 发 现 。 随 后 ， 苹 果 在 其 A p p   S t o r e 中 删 除 了 该 软 件 。 Z e r g H e l p e r 的 主 要 功 能 是 提 供 一 个 包 含 盗 版 和 崩 溃 的 i O S 应 用 和 游 戏 的 A p p   S t o r e 。 它 由 中 国 的 一 家 公 司 开 发 ， 其 主 要 产 品 为 X Y   H e l p e r ， Z e r g H e l p e r 是 X Y   H e l p e r 的 未 越 狱 版 本 和 “ o f f i c i a l   A p p   S t o r e ” 版 本 。 除 了 滥 用 企 业 证 书 ， Z e r g H e l p e r 使 用 了 一 些 新 技 术 在 未 越 狱 的 设 备 上 安 装 软 件 ， 它 实 现 了 A p p l e   i T u n e s 的 基 于 W i n d o w s 的 版 本 ， 用 于 登 录 、 购 买 和 下 载 应 用 。 同 时 还 实 现 了 X c o d e   I D E 的 功 能 ， 可 以 自 动 生 成 免 费 的 开 发 证 书 ， 这 意 味 着 攻 击 者 已 经 可 以 分 析 A p p l e 的 专 有 协 议 和 8 个 月 前 才 公 布 的 开 发 计 划 。 Z e r g H e l p e r 还 会 将 一 些 I D 分 享 给 用 户 。 Z e r g H e l p e r 的 代 码 十 分 复 杂 ， 并 且 目 前 尚 不 清 楚 它 是 否 会 盗 取 账 户 信 息 ， 并 将 其 发 回 服 务 器 。 不 过 ， 可 以 确 定 的 是 ， 它 确 实 会 向 服 务 器 发 送 设 备 信 息 ， 用 于 静 态 追 踪 ， 它 的 作 者 似 乎 尝 试 使 用 L u a 变 成 语 言 使 其 更 加 具 有 扩 展 性 。 根 据 对 Z e r g H e l p e r 使 用 的 框 架 的 分 析 ， 它 的 代 码 可 以 在 不 需 要 A p p l e 进 一 步 审 查 的 情 况 下 进 行 更 新 。 目 前 已 经 确 定 超 过 5 0 个 Z e r g H e l p e r 应 用 使 用 企 业 证 书 ， 并 且 使 用 不 同 的 渠 道 进 行 传 播 。 Z e r g H e l p e r 的 传 播 和 功 能 的 传 播 和 功 能 Z e r g H e l p e r 使 用 以 下 方 式 进 行 安 装 ： 如 果 i O S 用 户 在 中 国 访 问 X Y H e l p e r 的 官 方 网 站 ， 页 面 首 部 的 广 告 标 题 会 提 示 用 户 可 以 去 A p p   S t o r e 安 装 他 们 的 产 品 X Y   A p p l e   H e l p e r ， 如 图 二 左 。 点 击 确 定 按 钮 后 ， 官 方 A p p   S t o r e 会 自 动 打 开 ， 并 且 会 显 示 H a p p y   D a i l y   E n g l i s h 的 安 装 界 面 ， 如 图 二 右 。
图 二   官 网 上 的 引 导 和 A p p   S t o r e 中 的 安 装 界 面 原 始 的 H a p p y   D a i l y E n g l i s h 是 开 源 的 ， 并 且 以 工 程 名 H a p p y E n g l i s h S e n t e n c e s 8 k 托 管 在 O S C h i n a 网 站 。 Z e r g H e l p e r 的 作 者 重 新 编 辑 ， 并 且 嵌 入 了 就 有 风 险 的 代 码 。 项 目 的 内 部 名 称 为 X Y F a c t o r y ， 应 用 的 内 部 名 称 为 A p p S t o r e _ 4 . 0 . 1 。 如 果 用 户 使 用 桌 面 浏 览 器 或 任 何 平 台 的 i T u n e s 客 户 端 浏 览 该 应 用 程 序 ， 它 的 名 称 为 “ 开 心 日 常 英 语 ” ， 但 是 一 旦 在 i P h o n e 或 i P a d 上 安 装 ， 就 会 变 成 “ X Y 助 手 ” ， 就 想 I n f o . p l i s t 配 置 文 件 中 的 C F B u n d l e D i s p l a y N a m e 值 ， 如 图 三 。 分 析 表 明 ， 作 者 在 向 A p p l e 以 W e b 表 单 的 形 式 提 交 应 用 时 ， 输 入 了 不 同 的 名 称 ， 并 且 A p p l e 的 代 码 审 查 并 没 有 发 现 不 一 致 。 图 三   Z e r g H e l p e r 名 称 的 不 一 致 当 应 用 启 动 时 ， 会 立 刻 连 接 到 [ . ] x y z s . c o m ， 并 且 根 据 H T T P 请 求 的 返 回 结 果 提 供 不 同 的 功 能 ， 如 图 四 。 如 果 I P 地 址 位 于 中 国 以 外 的 地 区 ， 网 页 就 会 返 回 4 0 4 - n o t - f o u n d 错 误 。 在 这 种 情 况 下 ， 该 应 用 只 会 显 示 一 个 英 语 学 习 页 面 ， 如 图 五 左 。 图 四   根 据 H T T P 的 返 回 结 果 提 供 不 同 的 功 能
图 五   不 同 地 区 的 使 用 显 示 不 同 的 界 面 如 果 审 查 员 不 在 中 国 ， 这 种 方 法 会 使 他 们 认 为 这 是 一 个 合 法 的 应 用 ， 如 果 在 中 国 也 没 有 关 系 ， 作 者 可 以 在 审 查 期 间 关 闭 网 站 ， 审 查 员 同 样 看 不 到 它 的 实 际 功 能 。 对 于 位 于 中 国 的 用 户 ， 它 会 显 示 不 同 的 用 户 界 面 ， 如 图 五 右 。 它 会 引 导 安 装 两 个 用 于 “ 解 决 稳 定 性 问 题 ” 的 配 置 文 件 。 但 实 际 情 况 下 是 安 装 了 设 备 的 E n r o l l m e n t   c h a l l e n g e （ 用 于 向 相 关 的 M D M 系 统 注 册 设 备 ） 和 w e b   c l i p 如 图 六 。 这 些 配 置 文 件 使 用 x y z s . c o m 的 证 书 签 名 ， 该 证 书 由 G o   D a d d y   S e c u r e C e r t i f i c a t e   A u t h o r i t y 在 2 0 1 5 年 1 2 月 2 日 签 发 。 图 六   安 装 的 两 个 配 置 文 件 该 应 用 可 以 直 接 在 设 备 上 安 装 大 量 应 用 和 游 戏 ， 它 包 含 热 门 应 用 、 热 门 游 戏 、 和 排 名 应 用 等 页 面 ， 类 似 于 A p p   S t o r e ， 如 图 七 。 唯 一 的 区 别 是 ， Z e r g H e l p e r 提 供 的 应 用 都 是 免 费 的 ， 也 就 是 说 ， 这 些 都 是 合 法 应 用 的 盗 版 。 图 七   主 界 面 与 A p p   S t o r e 的 对 比 在 设 置 标 签 中 ， 对 于 使 用 i O S p r e - 9 . 0 版 本 的 用 户 ， 可 以 输 入 A p p l e   I D 和 密 码 ， Z e r g H e l p e r 会 记 住 该 密 码 。 在 界 面 下 方 ， 有 一 个 “ 没 有 A p p l e   I D ， 免 费 领 取 一 个 ” 的 按 钮 ， 如 图 八 。 目 前 研 究 人 员 尚 不 清 楚 这 些 A p p l e   I D 的 来 源 。
图 八   设 置 标 签 在 未 越 狱 的 设 备 上 创 建 第 三 方 应 用 商 店 的 新 方 法 在 未 越 狱 的 设 备 上 创 建 第 三 方 应 用 商 店 的 新 方 法 Z e r g H e l p e r 使 用 一 种 新 方 法 在 未 越 狱 的 设 备 上 创 建 第 三 方 应 用 商 店 ， 他 们 可 以 用 于 传 播 盗 版 的 或 者 有 问 题 的 i O S 应 用 。 其 中 包 含 两 个 通 过 A p p   S t o r e 审 查 的 新 方 法 。 假 冒 i T u n e s 客 户 端 Z e r g H e l p e r 实 现 了 P C 上 的 i T u n e s 客 户 端 与 A p p l e   A p p S t o r e 服 务 器 之 间 的 协 议 ， 应 用 程 序 具 体 可 以 实 现 以 下 功 能 ： 登 录 A p p   S t o r e ， 缓 存 认 证 数 据 ， 注 销 账 户 点 击 服 务 条 款 获 取 其 他 应 用 的 信 息 购 买 应 用 ， 如 图 九 下 载 购 买 的 应 用 当 与 A p p l e 服 务 器 通 信 时 ， Z e r g H e l p e r 使 用 如 下 用 户 代 理 ： i T u n e s / 1 2 . 0 . 1 （ W i n d o w s ;   M i c r o s o f t   W i n d o w s   7   x 6 4   B u s i n e s s   E d i t i o n   i T u n e s / 1 2 . 0 . 1 ） （ W i n d o w s ; M i c r o s o f t   W i n d o w s   7   x 6 4   B u s i n e s s   E d i t i o n ） 因 此 Z e r g H e l p e r 试 图 充 当 W i n d o w s   7 平 台 上 的 i T u n e s 1 2 . 0 . 1 客 户 端 。 图 九   通 过 模 拟 i T u n e s 协 议 购 买 应 用 目 前 还 不 太 清 楚 Z e r g H e l p e r 如 何 使 用 这 些 功 能 ， 它 们 可 能 用 于 用 户 提 供 的 A p p l e   I D ， 也 可 能 是 该 应 用 提 供 的 免 费 A p p l e   I D 。 模 拟 X c o d e 申 请 私 有 开 发 证 书 在 未 越 狱 的 设 备 上 安 装 应 用 时 ， Z e r g H e l p e r 使 用 了 非 常 巧 妙 的 方 法 滥 用 免 费 的 私 有 开 发 证 书 。 以 前 ， A p p l e 只 为 付 年 费 的 注 册 人 员 提 供 i O S 开 发 证 书 。 开 发 人 员 想 要 签 名 应 用 并 保 证 其 在 物 理 设 备 上 正 常 运 行 必 须 使 用 该 证 书 。 从 2 0 1 5 年 6 月 ， A p p l e 提 供 了 一 个 新 机 制 ： 拥 有 A p p l e   I D 的 人 都 可 以 免 费 获 取 证 书 。 该 功 能 嵌 入 了 X c o d e   7 . 0 版 本 中 ， 并 且 目 前 为 止 ， X c o d e 是 使 用 该 方 法 的 唯 一 官 方 平 台 。
然 而 ， Z e r g H e l p e r 可 以 冒 充 X c o d e ， 从 A p p l e 的 认 证 服 务 器 获 取 免 费 的 私 有 开 发 证 书 。 由 于 A p p l e 并 没 有 公 布 X c o d e 实 现 该 过 程 的 原 理 ， 研 究 人 员 分 析 可 能 是 有 人 对 X c o d e 实 施 了 逆 向 工 程 ， 分 析 出 了 这 部 分 代 码 。 图 十   登 录 A p p l e 服 务 器 图 十 一   获 取 开 发 证 书 通 过 使 用 该 开 发 证 书 ， Z e r g H e l p e r 可 以 签 名 i O S 设 备 上 的 应 用 并 安 装 。 在 分 析 Z e r g H e l p e r 时 ， 发 现 有 人 贩 卖 以 下 源 代 码 ： 通 过 互 换 手 机 和 电 脑 上 的 协 议 自 动 注 册 A p p l e   I D 提 供 用 于 “ 辅 助 工 具 ” 的 P C 端 的 应 用 数 字 版 权 管 理 认 证 使 用 A p p l e   I D 自 动 生 成 私 有 的 开 发 证 书 从 从 P C 端 授 权 盗 版 软 件 端 授 权 盗 版 软 件 对 于 从 Z e r g H e l p e r 服 务 器 下 载 的 盗 版 软 件 ， 它 要 求 用 户 借 助 X Y   H e l p e r   W i n d o w s 版 本 将 设 备 与 P C 连 接 ， 研 究 人 员 没 有 对 其 W i n d o w s 版 本 进 行 逆 向 功 能 ， 但 是 猜 想 这 一 操 作 的 目 的 是 使 用 W i n d o w s 版 本 冒 充 i T u n e s ， 使 i O S 设 备 认 为 其 已 经 经 过 P C 端 的 认 证 。 滥 用 企 业 证 书 滥 用 企 业 证 书 Z e r g H e l p e r 使 用 了 一 种 i O S 恶 意 软 件 惯 用 的 技 术 滥 用 企 业 证 书 。 这 类 应 用 使 用 “ i n s t a l l   i n   a   s e c o n d ” 进 行 标 记 ， 并 且 使 用 i t m s - s e r v i c e 协 议 进 行 安 装 。 与 之 前 的 恶 意 软 件 的 不 同 点 在 于 ， Z e r g H e l p e r 不 仅 从 C 2 服 务 器 下 载   i t m s - s e r v i c e   p l i s t 文 件 ， 还 会 打 开 本 地 端 口 在 线 安 装 应 用 。 该 功 能 可 能 是 专 门 用 于 使 用 私 有 证 书 签 名 的 应 用 。 图 十 二   P L I S T 文 件 潜 在 的 安 全 风 险 潜 在 的 安 全 风 险 1 、 A p p l e 代 码 审 查 之 前 就 有 一 些 恶 意 软 件 （ F i n d A n d C a l l ） 或 P O C 应 用 （ J e k y l l ） 成 功 进 入 A p p S t o r e ， 最 近 的 例 子 是 X c o d e G h o s t 和 I n s t a A g e n t 。 与 这 些 相 比 ， Z e r g H e l p e r 中 使 用 更 多 的 用 户 界 面 和 明 显 的 可 疑 代 码 特 征 。 A p p l e 通 常 不 披 露 任 何 审 查 员 如 何 检 查 应 用 程 序 的 技 术 细 节 ， 但 是 Z e r g H e l p e r 仍 然 使 用 了 一 下 方 法 可 以 绕 过 苹 果 审 查 员 审 查 。 2 、 企 业 证 书 从 W i r e L u r k e r 开 始 ， 就 有 许 多 恶 意 软 件 使 用 企 业 证 书 在 i O S 上 进 行 安 装 ， 这 类 问 题 最 大 的 风 险 在 于 企 业 证 书 和 私 有 A P I 的 结 合 。 Y i S p e c t e r 和 Y o u m i 就 是 使 用 私 有 A P I 收 集 私 有 信 息 的 恶 意 软 件 。 Z e r g H e l p e r 甚 至 是 自 动 生 成 免 费 的 私 有 证 书 。 这 类 情 况 十 分 危 险 ， 因 为 这 可 能 成 为 滥 用 证 书 的 未 来 攻 击 的 第 一 步 。 3 、 A p p l e   I D 在 i O S 工 具 的 地 下 市 场 ， A p p l e I D 扮 演 着 越 来 越 重 要 的 角 色 。 最 近 几 个 月 ， 有 研 究 人 员 发 现 窃 取 A p p l e   I D 的 恶 意 软 件 （ K e y R a i d e r ） 、 从 中 获 利 的 恶 意
软 件 （ A p p B u y e r ） 、 共 享 I D 的 恶 意 软 件 （ Y i S p e c t e r ） 。 Z e r g H e l p e r 的 功 能 也 依 赖 于 有 效 的 A p p l e   I D ， 它 可 以 为 用 户 提 供 免 费 的 A p p l e   I D ， 并 且 这 些 I D 的 来 源 未 知 。 4 、 代 码 动 态 加 载 A p p l e 要 求 每 一 个 在 A p p S t o r e 上 更 新 的 应 用 都 接 受 再 次 审 核 。 对 于 Z e r g H e l p e r ， 再 次 审 核 增 加 了 其 暴 露 的 风 险 。 其 作 者 使 用 了 一 种 脚 本 语 言 解 决 该 问 题 。 Z e r g H e l p e r 使 用 名 为 w a x （ 使 用 L u a 脚 本 编 写 原 始 i P h o n e 应 用 的 框 架 ） 的 开 源 项 目 。 在 该 应 用 中 ， 存 在 一 个 只 包 含 两 个 函 数 的 X Y L i b . l u a 文 件 。 当 应 用 首 次 启 动 时 ， 会 加 载 并 执 行 该 L u a 文 件 ， 通 过 w a x 库 ， 该 脚 本 会 在 O b j e c t i v e - C 运 行 时 调 用 多 个 方 法 。 图 十 三   L u a 文 件 A p p l e 不 允 许 i O S 应 用 动 态 加 载 新 代 码 或 动 态 升 级 。 这 是 降 低 一 些 漏 洞 和 恶 意 软 件 风 险 的 十 分 有 效 的 安 全 机 制 。 但 是 w a x 框 架 提 供 了 一 种 绕 过 该 机 制 的 方 法 。 动 态 代 码 加 载 是 恶 意 软 件 隐 藏 真 实 功 能 的 十 分 经 典 的 方 法 。 近 几 年 ， 出 现 了 许 多 可 以 提 供 O b j e c t i v e - C 运 行 时 的 脚 本 （ J a v a S c r i p t ， L u a 等 ） 接 口 的 i O S S D K ， 在 这 类 语 言 中 写 入 代 码 十 分 容 易 ， 但 是 分 析 和 检 测 则 十 分 困 难 。 缓 解 缓 解 A p p l e 已 经 于 2 月 2 0 日 删 除 了 该 应 用 。 对 于 已 经 安 装 的 用 户 ， 建 议 立 即 删 除 ， 并 检 查 i O S 设 备 上 的 配 置 文 件 （ 设 置 - 通 用 - 配 置 文 件 和 设 备 管 理 ） ， 如 果 存 在 x y z s . c o m 网 站 的 任 意 配 置 文 件 ， 请 立 即 删 除 。 原 文 地 址 ： p a l o a l t o n e t w o r k s ， v u l _ w i s h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理