搜索

[11500] 2017-06-26_安卓新型恶意木马Xavier的发展过程和技术分析

文档创建者：s7ckTeam
浏览次数：24
最后更新：2025-01-18
2017-06-26_安卓新型恶意木马Xavier的发展过程和技术分析 安 卓 新 型 恶 意 木 马 X a v i e r 的 发 展 过 程 和 技 术 分 析 e r i d a n u s 9 6   F r e e B u f   2 0 1 7 - 0 6 - 2 6 近 日 ， 一 个 名 为 近 日 ， 一 个 名 为 X a v i e r 的 安 卓 系 统 广 告 库 木 马 被 发 现 ， 它 会 在 用 户 不 知 情 的 情 况 下 窃 取 和 泄 露 用 户 的 信 息 ， 同 的 安 卓 系 统 广 告 库 木 马 被 发 现 ， 它 会 在 用 户 不 知 情 的 情 况 下 窃 取 和 泄 露 用 户 的 信 息 ， 同 时 还 可 以 在 时 还 可 以 在 r o o t 过 的 安 卓 设 备 上 静 默 安 装 任 何 过 的 安 卓 设 备 上 静 默 安 装 任 何 A P K 。 。 据 统 计 ， 目 前 已 有 超 过 8 0 0 个 嵌 入 该 广 告 库 的 应 用 程 序 ， 这 些 应 用 程 序 已 经 被 用 户 下 载 数 百 次 。 下 载 量 最 大 的 是 越 南 、 菲 律 宾 、 印 度 尼 西 亚 这 些 东 南 亚 国 家 ， 美 国 和 欧 洲 的 下 载 量 则 相 对 较 小 。 与 其 他 广 告 库 木 马 不 同 的 是 ， 它 将 从 远 程 服 务 器 下 载 代 码 并 加 载 执 行 的 恶 意 行 为 嵌 入 到 自 身 ， 同 时 使 用 数 据 加 密 和 仿 真 程 序 检 测 等 方 法 来 保 护 自 己 不 被 查 杀 。 由 于 该 木 马 具 备 一 种 能 逃 避 静 态 和 动 态 分 析 的 自 我 保 护 机 制 ， 所 以 它 的 窃 密 行 为 很 难 被 监 测 到 。 此 外 ， X a v i e r 还 可 以 下 载 并 执 行 其 它 恶 意 代 码 ， 这 一 点 意 味 着 它 具 有 更 大 的 风 险 。 X a v i e r 的 具 体 行 为 取 决 于 下 载 的 代 码 和 代 码 中 的 网 址 ， 可 被 指 定 服 务 器 远 程 设 置 。 该 木 马 的 发 展 变 化 过 程 如 下 图 ： 该 木 马 的 发 展 变 化 过 程 如 下 图 ：
X a v i e r 是 A d D o w n 木 马 家 族 的 一 员 ， 该 系 列 木 马 已 经 在 互 联 网 中 存 在 超 过 两 年 。 其 第 一 个 版 本 称 为 j o y m o b i l e ， 于 2 0 1 5 年 年 初 被 发 现 。 此 变 体 已 经 可 以 执 行 远 程 代 码 。
除 了 收 集 和 泄 露 用 户 信 息 之 外 ， 这 一 木 马 还 能 悄 无 声 息 地 在 已 经 r o o t 过 的 安 卓 设 备 中 安 装 其 他 A P K 。 该 木 马 会 以 明 文 形 式 与 命 令 和 控 制 （ C & C ） 服 务 器 进 行 通 信 ， 但 所 有 的 常 量 字 符 串 都 在 代 码 中 被 加 密 过 。 A d D o w n 家 族 出 现 的 第 二 个 变 种 叫 n a t i v e m o b 。 与 j o y m o b i l e 相 比 ， 我 们 可 以 发 现 n a t i v e m o b 的 代 码 结 构 进 行 了 调 整 和 优 化 。 同 时 ， n a t i v e m o b 还 增 加 了 一 些 新 的 功 能 ， 主 要 是 行 为 控 制 和 实 用 工 具 。 虽 然 这 一 变 种 没 有 使 用 静 默 方 式 安 装 应 用 ， 但 提 示 用 户 确 认 的 应 用 安 装 行 为 仍 然 存 在 。
在 将 数 据 发 送 到 C & C 服 务 器 之 前 ， 它 收 集 了 比 j o y m o b i l e 更 多 的 用 户 信 息 ， 并 使 用 b a s e 6 4 的 方 式 对 这 些 信 息 进 行 了 加 密 。 接 下 来 的 一 个 变 种 版 本 出 现 在 2 0 1 6 年 1 月 ， 这 一 变 种 调 整 了 字 符 串 加 密 算 法 ， 对 从 远 程 服 务 器 下 载 的 代 码 进 行 加 密 ， 同 时 还 添 加 了 一 些 反 射 调 用 。
1 6 年 2 月 ， 它 对 设 置 模 块 做 了 若 干 更 新 ， 由 于 某 种 原 因 又 移 除 了 数 据 加 密 的 部 分 。 在 接 下 来 的 几 个 月 中 进 行 了 进 一 步 更 新 ， 然 而 这 些 更 新 都 没 有 太 大 的 变 动 。 X a v i e r 的 技 术 分 析 的 技 术 分 析 2 0 1 6 年 9 月 ， 被 称 为 X a v i e r 的 新 变 种 被 发 现 。 该 变 种 与 此 前 版 本 相 比 ， 具 有 更 精 简 的 代 码 。 X a v i e r 删 除 了 a p k 安 装 和 r o o t 检 查 ， 同 时 增 加 了 数 据 加 密 的 茶 叶 算 法 （ T E A   a l g o r i t h m ） 。 很 快 ， X a v i e r 的 更 新 版 本 增 加 了 一 种 可 以 逃 脱 动 态 检 测 的 机 制 。 X a v i e r 的 结 构 如 下 ： 的 结 构 如 下 ： 一 旦 它 被 加 载 ， X a v i e r 将 从 C & C 服 务 器 h t t p s [ : ] / / a p i - r e s t l e t [ . ] c o m / s e r v i c e s / v 5 / 中 获 取 经 加 密 后 的 初 始 配 置 。
服 务 器 同 样 会 对 响 应 数 据 进 行 加 密 ： 服 务 器 同 样 会 对 响 应 数 据 进 行 加 密 ： 在 解 密 后 ， 我 们 可 以 发 现 其 实 是 一 个 在 解 密 后 ， 我 们 可 以 发 现 其 实 是 一 个 J s o n 文 件 ： 文 件 ： V 代 表 S D K 版 本 ； L 代 表 S D K 地 址 ； G 代 表 S D K 标 识 号 ； S 代 表 S D K 设 置 ； A u 与 其 配 置 有 关 。
X a v i e r 随 后 会 根 据 其 配 置 文 件 ， 从 h t t p [ : ] / / c l o u d [ . ] a p i - r e s t l e t [ . ] c o m / m o d u l e s / l i b [ . ] z i p 下 载 所 谓 的 S D K 文 件 。 然 而 我 们 发 现 ， l i b . z i p 并 非 一 个 完 整 的 z i p 文 件 。 在 获 取 到 l i b . z i p 后 ， X a v i e r 将 “ 0 x 5 0   0 x 4 B ” 添 加 在 l i b . z i p 的 最 前 ， 并 将 其 改 名 为 x a v i e r . z i p 。 此 时 的 文 件 就 变 成 了 完 整 的 z i p 文 件 。 修 改 前 的 修 改 前 的 l i b . z i p 修 改 后 的 修 改 后 的 x a v i e r . z i p X a v i e r . z i p 包 含 一 个 可 供 X a v i e r 加 载 和 调 用 的 c l a s s e s . d e x 文 件 。 这 一 d e x 文 件 会 从 用 户 的 设 备 中 收 集 一 些 信 息 ,   并 加 密 并 传 输 到 远 程 服 务 器   h t t p s [ : ] / / a p i - r e s t l e t [ . ] c o m / s e r v i c e s / v 5 / r D 中 ， 收 集 信 息 内 容 如 下 ： 制 造 商 来 源 S I M 卡 所 属 国 家 产 品 名 称 生 产 商 I D S I M 卡 运 营 商 服 务 I D 系 统 语 言 分 辨 率 型 号 操 作 系 统 版 本 设 备 名 称 设 备 I D 已 安 装 的 A P P 安 卓 I D 邮 箱 地 址
X a v i e r 还 会 通 过 检 测 系 统 中 运 行 的 进 程 ， 使 其 攻 击 行 为 具 有 隐 蔽 性 ， 从 而 逃 脱 动 态 检 测 。 它 检 查 设 备 的 产 品 名 称 、 制 造 商 、 设 备 品 牌 、 设 备 名 称 、 设 备 模 块 、 硬 件 名 称 或 指 纹 是 否 包 含 以 下 字 符 串 ： v b o x 8 6 p G e n y m o t i o n g e n e r i c / g o o g l e _ s d k / g e n e r i c g e n e r i c _ x 8 6 / s d k _ x 8 6 / g e n e r i c _ x 8 6 c o m . g o o g l e . m a r k e t D r o i d 4 X g e n e r i c _ x 8 6 t t V M _ H d r a g o n g e n e r i c / s d k / g e n e r i c g o o g l e _ s d k g e n e r i c v b o x 8 6 t t V M _ x 8 6 M I T A n d y w i n d o w u n k n o w n g o l d f i s h s d k _ x 8 6 g e n e r i c _ x 8 6 _ 6 4 p h o n e T T V M s d k _ g o o g l e
A n d r o i d   S D K   b u i l t   f o r   x 8 6 s d k A n d r o i d   S D K   b u i l t   f o r   x 8 6 _ 6 4 d i r e c t c o m . g o o g l e X a v i e r M o b i l e T i a n t i a n V M a n d r o i d _ i d g e n e r i c / v b o x 8 6 p / v b o x 8 6 p c o m . g o o g l e . v e n d i n g n o x X a v i e r 还 通 过 扫 描 用 户 的 邮 件 地 址 来 隐 藏 其 行 为 ， 会 检 查 用 户 的 电 子 邮 件 地 址 是 否 包 含 下 列 字 符 串 ： p l t e s t @ f a c e b o o k . c o m t e s t e r @ g o o g l e . c o m r e v i e w p l a y l e a d a g o t s c h i n g p t e s t r x w a v e   1 5 r x p l a y a d m o b g p l a y a d s e n s e g t w a v e r x t e s t w e a r . r e v i e w q a p l a y t e s t r x t e s t e r p l a y t e s t w a v e
为 了 进 一 步 避 免 被 发 现 ， 为 了 进 一 步 避 免 被 发 现 ， X a v i e r 具 有 如 下 行 为 ： 具 有 如 下 行 为 ： 1 )   对 所 有 常 量 字 符 串 进 行 加 密 ， 使 静 态 检 测 和 手 动 分 析 更 加 困 难 。 2 )   通 过 h t t p s 进 行 网 络 数 据 传 输 ,   防 止 其 通 信 被 捕 获 ， 同 时 对 数 据 也 进 行 加 密 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理