搜索

[11742] 2017-09-03_特别企划银行业木马黑产报告

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-09-03_特别企划银行业木马黑产报告 特 别 企 划   |   银 行 业 木 马 黑 产 报 告 暗 影 安 全 实 验 室   F r e e B u f   2 0 1 7 - 0 9 - 0 3 1 .   背 景 背 景 随 着 智 能 手 机 和 各 种 数 码 终 端 的 普 及 随 着 智 能 手 机 和 各 种 数 码 终 端 的 普 及 , 移 动 支 付 已 经 融 入 到 了 人 们 的 生 活 中 ， 各 种 扫 码 支 付 、 银 行 转 账 在 手 机 上 移 动 支 付 已 经 融 入 到 了 人 们 的 生 活 中 ， 各 种 扫 码 支 付 、 银 行 转 账 在 手 机 上 都 能 很 简 单 完 成 。 人 们 出 行 基 本 只 需 带 上 手 机 ， 就 能 在 超 市 、 美 食 店 等 消 费 场 所 进 行 消 费 ， 目 前 已 步 入 到 零 现 都 能 很 简 单 完 成 。 人 们 出 行 基 本 只 需 带 上 手 机 ， 就 能 在 超 市 、 美 食 店 等 消 费 场 所 进 行 消 费 ， 目 前 已 步 入 到 零 现 金 支 付 时 代 。 在 移 动 支 付 给 生 活 带 来 巨 大 便 利 的 同 时 ， 移 动 支 付 安 全 也 成 为 目 前 最 热 门 的 话 题 。 金 支 付 时 代 。 在 移 动 支 付 给 生 活 带 来 巨 大 便 利 的 同 时 ， 移 动 支 付 安 全 也 成 为 目 前 最 热 门 的 话 题 。 由 于 利 益 驱 使 ， 各 类 热 门 银 行 a p p 早 已 被 黑 客 作 为 攻 击 目 标 ， 从 2 0 1 4 年 劫 持 银 行 到 目 前 通 过 s o 保 护 自 身 来 劫 持 国 内 银 行 ， 其 防 止 被 反 编 译 技 术 水 平 一 直 在 提 高 。 同 时 伴 随 着 网 络 上 出 现 的 各 种 仿 冒 应 用 ， 使 得 用 户 对 银 行 a p p 真 假 难 辨 ， 为 了 保 证 用 户 自 身 财 产 安 全 ， 下 载 银 行 a p p 应 该 从 银 行 官 方 站 点 或 正 规 站 点 获 取 。 2 .   银 行 类 木 马 概 述 银 行 类 木 马 概 述 目 前 已 知 的 银 行 类 木 马 主 要 分 为 两 大 类 ： 一 类 是 仿 冒 应 用 ， 另 一 类 是 劫 持 类 木 马 。 仿 冒 银 行 应 用 ： 主 要 通 过 伪 装 成 为 热 门 银 行 a p p 进 行 获 取 用 户 银 行 账 号 信 息 ， 对 用 户 的 财 产 安 全 带 来 巨 大 危 害 、 或 者 伪 装 成 为 嵌 入 广 告 的 银 行 a p p 来 赚 取 广 告 费 用 ， 会 对 用 户 造 成 流 量 消 耗 ， 给 用 户 带 来 一 定 损 失 。 劫 持 银 行 类 木 马 ： 主 要 是 通 过 A c t i v i t y 劫 持 某 个 或 某 些 银 行 特 定 窗 口 ， 并 启 动 自 己 伪 装 的 银 行 界 面 覆 盖 原 窗 口 界 面 ， 当 用 户 输 入 个 人 账 户 信 息 时 ， 则 会 被 黑 客 获 取 到 ， 给 用 户 的 财 产 造 成 损 失 。 3 .   银 行 劫 持 类 木 马 银 行 劫 持 类 木 马 3 . 1 .   劫 持 技 术 简 介 劫 持 技 术 简 介 目 前 已 知 的 a p p 劫 持 技 术 主 要 可 以 分 为 A c t i v i t y 劫 持 、 安 装 劫 持 、 函 数 执 行 劫 持 等 ， 下 面 对 上 述 劫 持 技 术 介 绍 如 下 ：   A c t i v i t y 劫 持 是 指 当 启 动 某 个 特 定 窗 口 组 件 时 ， 被 木 马 探 知 ， 若 该 特 定 窗 口 界 面 是 木 马 预 设 的 攻 击 对 象 ， 木 马 将 启 动 自 己 伪 装 的 界 面 覆 盖 原 特 定 窗 口 界 面 ， 在 用 户 毫 无 察 觉 的 情 况 下 收 集 用 户 的 个 人 隐 私 信 息 ， 并 把 数 据 回 传 给 服 务 端 。   安 装 劫 持 是 指 劫 持 木 马 通 过 监 听 a n d r o i d . i n t e n t . a c t i o n . P A C K A G E _ A D D E D 和 a n d r o i d . i n t e n t . a c t i o n . P A C K A G E _ R E P L A C E D   并 实 施 i n t e n t 攻 击 ， 主 要 攻 击 手 段 是 卸 载 删 除 掉 真 正 安 装 的 a p k ， 并 替 换 为 攻 击 者 伪 造 的 应 用 。 通 过 伪 装 的 应 用 来 收 集 用 户 的 个 人 隐 私 信 息 ， 并 把 数 据 回 传 到 服 务 端 。   函 数 执 行 劫 持 是 劫 持 木 马 通 过 h o o k 特 定 函 数 进 行 修 改 此 函 数 功 能 ， 来 实 现 对 修 改 原 a p p 的 返 回 数 据 等 信 息 ， 通 过 劫 持 函 数 执 行 流 程 或 结 果 来 达 到 劫 持 木 马 攻 击 目 的 。 目 前 ， 对 于 热 门 银 行 类 的 劫 持 木 马 大 多 数 采 用 A c t i v i t y 劫 持 ， 实 施 简 单 ， 效 率 高 ， 所 造 成 的 危 害 巨 大 。 对 目 前 已 有 木 马 库 ， 其 A c t i v i t y 劫 持 技 术 发 展 历 史 如 图 3 - 1 所 示 ：
图 3 - 1   A c t i v i t y 劫 持 技 术 发 展 历 史 3 . 2 .   银 行 劫 持 木 马 的 发 展 演 变 银 行 劫 持 木 马 的 发 展 演 变 通 过 对 已 有 的 银 行 劫 持 木 马 进 行 分 类 整 合 ， 发 现 其 从 最 初 期 的 劫 持 银 行 A P P 是 通 过 伪 装 其 对 应 银 行 界 面 来 直 接 获 取 银 行 账 户 相 关 信 息 ， 到 目 前 的 s o 解 密 后 在 进 行 A c t i v i t y 劫 持 来 实 现 钓 鱼 ， 在 技 术 方 面 已 经 有 了 巨 大 的 提 升 ， 具 体 演 变 历 史 以 及 相 关 木 马 如 图 3 - 2 、 表 3 - 1 所 示 ： 图 3 - 2   银 行 劫 持 类 木 马 历 史 演 变 |   发 现 时 间 |   木 马 名 称 |   木 马 描 述 木 马 描 述 | |   — -   |   — -   |   — -   | |   2 0 1 4 年 8 月 |   A . P r i v a c y . f a k e c h i n a w o r l d . a |   该 木 马 启 动 后 隐 藏 图 标 ， 伪 造 建 行 界 面 ， 窃 取 用 户 ( 建 行 卡 号 、 密 码 ) ， 信 用 卡 申 请 信 息 ( 姓 名 、 职 业 、 月 收 入 、 身 份 证 号 、 手 机 号 码 、 申 请 额 度 ) , 在 用 户 不 知 情 的 情 况 下 ， 通 过 频 繁 发 送 短 信 和 联 网 的 方 式 上 传 远 程 控 制 端 ， 同 时 木 马 会 屏 蔽 用 户 短 信 ， 转 发 短 信 ， 给 用 户 手 机 造 成 严 重 危 害 。 | |   2 0 1 4 年 1 0 月 |   A . P r i v a c y . g o o g l e A p p . a |   该 应 用 是 一 款 伪 装 成 “ g o o g l e   a p p s t o r e ” 的 木 马 ， 木 马 的 主 要 行 为 是 开 机 启 动 ， 卸 载 安 全 软 件 ， 在 用 户 未 授 权 的 情 况 下 ， 私 自 获 取 用 户 手 机 号 码 、 收 件 箱 短 信 、 通 讯 录 联 系 人 信 息 、 用 户 手 机 银 行 账 户 信 息 、 用 户 手 机 银 行 证 书 等 信 息 ， 并 联 网 发 送 到 指 定 邮 箱 和 指 定 远 程 服 务 器 ； 私 自 向 用 户 通 信 录 的 联 系 人 发 送 短 信 ， 私 自 拦 截 用 户 手 机 短 信 接 收 ， 解 析 短 信 内 容 执 行 指 定 操 作 ， 例 如 ： 更 换 服 务 器 地 址 和 邮 箱 账 号 ， 屏 蔽 短 信 等 操 作 ， 私 自 拦 截 用 户 来 电 ， 屏 蔽 指 定 号 码 来 电 。   | |   2 0 1 5 年 1 0 月 |   A . P a y m e n t . g o o g l a . c a |   该 程 序 是 一 款 嵌 入 木 马 的 应 用 程 序 ， 嵌 入 程 序 的 木 马 的 主 要 行 为 是 在 用 户 不 知 情 的 情 况 下 发 送 指 定 短 信 到 指 定 的 号 码 ， 并 进 行 自 动 回 复 ， 疑 似 恶 意 扣 费 行 为 ； 私 自 后 台 获 取 用 户 手 机 号 码 、 用 户 通 讯 录 联 系 人 、 用 户 手 机 银 行 账 户 信 息 、 用 户 手 机 银 行 证 书 等 信 息 ， 联 网 上 传 至 指 定 U R L ， 构 成 隐 私 窃 取 行 为 ； 私 自 联 网 获 取 数 据 ， 并 通 过 短 信 发 送 给 用
户 手 机 联 系 人 ， 具 有 恶 意 传 播 属 性 ； 拦 截 用 户 短 信 接 收 ， 屏 蔽 指 定 短 信 ， 构 成 系 统 破 坏 。 | |   2 0 1 6 年 3 月 |   A . P r i v a c y . g o o g l e s e r v i c e . a |   该 程 序 是 一 款 银 行 劫 持 类 木 马 。 该 木 马 的 主 要 在 用 户 未 知 情 的 情 况 下 私 自 上 传 用 户 隐 私 信 息 、 银 行 账 户 信 息 到 指 定 服 务 器 ， 具 有 隐 私 窃 取 属 性 ； 木 马 在 未 经 用 户 允 许 的 情 况 下 私 自 发 送 短 信 ， 具 有 资 费 消 耗 属 性 ； 木 马 在 用 户 不 知 情 的 情 况 下 私 自 拦 截 用 户 短 信 ， 具 有 系 统 破 坏 属 性 ； 木 马 在 用 户 不 知 情 的 情 况 下 有 道 用 户 激 活 设 备 管 理 器 并 私 自 隐 藏 启 动 图 标 以 达 到 不 能 正 常 卸 载 ， 造 成 流 氓 行 为 属 性 。 | |   2 0 1 7 年 6 月 |   A . P r i v a c y . c n b a n k . a |   该 程 序 是 一 款 劫 持 银 行 类 的 木 马 。 该 木 马 主 要 是 在 用 户 未 知 情 的 情 况 下 私 自 上 传 用 户 隐 私 信 息 、 银 行 账 户 信 息 到 指 定 服 务 器 ， 具 有 隐 私 窃 取 属 性 ； 在 用 户 未 授 权 的 情 况 下 ， 私 自 拦 截 用 户 接 收 短 信 ， 根 据 短 信 内 容 执 行 拦 截 短 信 ， 发 送 短 信 等 指 定 操 作 ， 具 有 远 程 控 制 属 性 ； 木 马 在 用 户 不 知 情 的 情 况 下 私 自 删 除 短 信 ， 具 有 系 统 破 坏 属 性 ； 运 行 之 后 会 诱 导 用 户 获 取 设 备 管 理 权 限 ， 具 有 诱 骗 欺 诈 属 性 。 | 表 3 - 1   银 行 劫 持 类 木 马 历 史 演 变 3 . 3 .   银 行 银 行 a p p 劫 持 木 马 分 析 劫 持 木 马 分 析 目 前 在 已 有 木 马 库 中 通 过 对 银 行 类 劫 持 木 马 的 整 合 ， 随 着 不 同 时 期 的 发 展 ， A c t i v i t y 劫 持 类 银 行 木 马 从 未 作 任 何 防 防 止 反 编 译 到 现 在 通 过 类 似 加 固 ( s o 加 密 保 护 ) 来 保 护 自 身 防 止 被 反 编 译 分 析 ； 通 过 s o 库 来 躲 避 杀 毒 软 件 的 查 杀 ， 是 以 前 银 行 劫 持 类 木 马 的 升 级 版 本 。 目 前 劫 持 类 的 技 术 一 直 在 升 级 ， 对 抗 也 越 来 越 强 烈 。 下 面 则 对 A c t i v i t y 劫 持 类 银 行 木 马 进 行 剖 析 ， 主 要 的 对 比 流 程 图 如 图 3 - 3 所 示 ： 图 3 - 3 劫 持 技 术 对 比 3 . 3 . 1 .   木 马 技 术 原 理 木 马 技 术 原 理 此 类 木 马 主 要 是 在 用 户 未 知 情 的 情 况 下 私 自 上 传 用 户 隐 私 信 息 、 银 行 账 户 信 息 到 指 定 服 务 器 ， 具 有 隐 私 窃 取 属 性 ； 在 用 户 未 授 权 的 情 况 下 ， 私 自 拦 截 用 户 接 收 短 信 ， 根 据 短 信 内 容 执 行 拦 截 短 信 ， 发 送 短 信 等 指 定 操 作 ， 具 有 远 程 控 制 属 性 ； 木 马 在 用 户 不 知 情 的 情 况 下 私 自 删 除 短 信 ， 具 有 系 统 破 坏 属 性 ； 运 行 之 后 会 诱 导 用 户 获 取 设 备 管 理 权 限 ， 具 有 诱 骗 欺 诈 属 性 。 3 . 3 . 1 . 1   s o 库 解 密 在 M y A p p l i c a t i o n 类 中 加 载 了 l i b l o a d . s o 库 ， 并 在 a t t a c h B a s e C o n t e x t 方 法 中 调 用 了 l i b l o a d . s o 中 的 函 数   r u n 。 对 d e x 解 密 则 是 在 r u n 中 进 行 完 成 ， 如 图 3 - 4 所 示 。
图 3 - 4 对 d e x 文 件 进 行 解 密 L i b l o a d . s o 库 中 对 应 的 解 密 函 数 r u n ， 主 要 是 通 过 调 用 L i b l o a d . s o 库 中 的 r r r 方 法 来 实 现 解 密 ， 只 需 在 r r r 方 法 中 找 到 解 密 位 置 直 接 下 断 点 ， 则 可 拷 贝 出 解 密 完 成 的 d e x 文 件 ： 图 3 - 5 对 d e x 文 件 进 行 解 密 通 过 动 静 态 调 试 分 析 可 知 ， l i b l o a d . s o 利 用 反 射 机 制 调 用 c r y p t o 模 块 来 实 现 对 m y c o d e . s o 进 行 A E S 解 密 操 作 ， 解 密 后 的 文 件 重 命 名 为 m y c o d e . j a r 。 解 密 完 成 后 利 用 函 数 D e x C l a s s L o a d e r 加 载 执 行 m y c o d e . j a r ， 当 加 载 完 成 后 则 会 直 接 删 除 m y c o d e . j a r 。 故 而 在 删 除 之 前 我 们 直 接 拷 贝 出 解 密 后 的 文 件 m y c o d e . j a r , 后 面 则 可 以 对 解 密 出 来 的 文 件 进 行 静 态 分 析 。 拷 贝 出 来 的 解 密 文 件 如 图 3 - 6 所 示 ： 图 3 - 6 解 密 之 后 的 d e x 文 件 3 . 3 . 1 . 2   防 止 卸 载 激 活 设 备 管 理 器 ， 防 止 被 卸 载 ， 具 体 代 码 如 图 3 - 7 所 示 图 3 - 7 激 活 设 备 管 理 器 3 . 3 . 1 . 3   上 传 用 户 隐 私 木 马 私 自 获 取 用 户 s i m 卡 序 列 号 、 手 机 号 码 、 手 机 型 号 、 系 统 版 本 、 手 机 运 营 商 等 信 息 ， 以 j s o n 格 式 上 传 到 到 服 务 器 ，
如 图 3 - 8 所 示 。 图 3 - 8 上 传 设 备 信 息 木 马 通 过 界 面 诱 骗 用 户 输 入 银 行 信 息 ， 之 后 打 包 用 户 信 息 ， 并 通 过 邮 件 的 方 式 上 传 用 户 输 入 的 信 息 到 指 定 邮 箱 。 获 取 用 户 输 入 信 息 并 拼 装 ， 具 体 代 码 如 图 3 - 9 所 示 ： 图 3 - 9 获 取 用 户 输 入 信 息 将 用 户 银 行 信 息 写 入 到 指 定 文 件 并 压 缩 ， 并 且 通 过 邮 件 的 方 式 发 送 到 指 定 邮 箱 ， 如 图 3 - 1 0 、 图 3 - 1 1 所 示 。 图 3 - 1 0 打 包 信 息 并 发 送 邮 件
S H _ 1 4 0 9 2 9 5 1 1 8 1 3 4 . t x t 内 容 : 图 3 - 1 1 获 取 的 用 户 信 息 针 对 交 通 银 行 、 招 商 的 钓 鱼 行 为 ： 木 马 利 用 伪 装 页 面 私 自 获 取 用 户 的 s i m 卡 序 列 号 、 手 机 号 码 、 登 录 密 码 等 后 ， 以 j s o n 的 格 式 上 传 到 服 务 器 。 招 商 银 行 对 应 的 上 传 服 务 器 ： 3 . 3 . 1 . 4   劫 持 银 行 客 户 端 1 ）   劫 持 韩 国 银 行 木 马 会 劫 持 韩 国 银 行 A P P 的 当 前 活 动 界 面 ， 伪 造 韩 国 银 行 界 面 ， 诱 导 用 户 输 入 银 行 账 号 相 关 的 信 息 ， 例 如 ： 银 行 账 号 、 密 码 等 敏 感 信 息 ， 将 用 户 银 行 信 息 写 入 到 指 定 文 件 S H _ 1 4 0 9 2 9 5 1 1 8 1 3 4 . t x t 并 压 缩 ， 并 且 通 过 邮 件 的 方 式 发 送 到 指 定 邮 箱 ， 具 有 信 息 窃 取 和 诱 骗 欺 诈 行 为 。 韩 国 多 个 手 机 银 行 A P K 包 名 ， 以 及 韩 国 手 机 银 行 对 应 的 缩 写 如 图 3 - 1 2 所 示 、 图 3 - 1 3 所 示 ：
图 3 - 1 2 韩 国 银 行 包 名 列 表 图 3 - 1 3 韩 国 银 行 缩 写 利 用 A c t i v i t y 劫 持 技 术 来 查 找 用 户 手 机 使 用 的 银 行 软 件 ， 设 置 相 应 的 参 数 ， 启 动 伪 造 窗 口 ， 具 体 代 码 如 图 3 - 1 4 、 图 3 - 1 5 所 示 。 图 3 - 1 4 判 断 当 前 运 行 应 用 伪 造 韩 国 银 行 界 面 ， 诱 导 用 户 输 入 银 行 账 号 相 关 的 信 息 :
图 3 - 1 5 伪 造 银 行 界 面 2 ）   劫 持 国 内 银 行 木 马 会 检 测 手 机 当 前 活 动 界 面 是 否 为 中 国 邮 政 储 蓄 银 行 、 交 通 银 行 、 招 商 银 行 ， 如 果 检 测 到 其 中 一 个 ， 则 会 直 接 打 开 其 对 应 的 伪 造 界 面 进 行 钓 鱼 ， 如 图 3 - 1 6 所 示 。 图 3 - 1 6 启 动 钓 鱼 页 面 伪 装 交 通 银 行 、 招 商 银 行 的 劫 持 界 面 ， 如 图 3 - 1 7 所 示 ： 图 3 - 1 7 伪 造 钓 鱼 页 面 3 . 3 . 1 . 5   远 程 控 制 技 术 木 马 拦 截 用 户 短 信 接 收 ， 解 析 短 信 内 容 ， 根 据 短 信 内 容 指 定 操 作 ， 如 表 3 - 2 所 示 。 |   指 令 |   功 能 信 息 | |   — -   |   — -   | |   0 0 0 # |   “ i n t e r ” 的 值 为 1 ， 拦 截 广 播 ， 上 传 手 机 信 息 到 服 务 器 | |   0 #
|   “ i n t e r ” 的 值 为 0 ， 拦 截 广 播 | |   5 5 5 # |   拦 截 广 播 , 上 传 短 信 信 息 到 邮 箱 | 表 3 - 2 远 程 控 制 列 表 当 短 信 内 容 是 “ 0 0 0 # ” ， 设 置 配 置 文 件 “ i n t e r ” 的 值 为 1 ， 拦 截 广 播 ； 当 短 信 内 容 是 “ 0 # ” ， 设 置 配 置 文 件 “ i n t e r ” 的 值 为 0 ， 拦 截 广 播 ； 当 短 信 内 容 是 “ 5 5 5 # ” ， 收 集 用 户 本 机 短 信 ， 并 上 传 到 邮 箱 ， 拦 截 广 播 ， 如 图 3 - 1 8 所 示 。 图 3 - 1 8 远 控 操 作 代 码 短 信 内 容 为 控 制 命 令 “ 0 0 0 # ” 时 设 置 了 “ i n t e r ” 为 “ 1 ” ， 则 以 j s o n 格 式 上 传 用 户 手 机 s i m 卡 序 列 号 、 手 机 号 码 、 短 信 内 容 ， 发 送 者 、 发 送 时 间 到 服 务 器 ， 如 图 3 - 1 9 所 示 。
图 3 - 1 9 远 控 操 作 代 码 3 . 3 . 1 . 6   转 发 并 删 除 短 信 木 马 在 用 户 不 知 情 的 情 况 下 ， 私 自 拦 截 转 发 短 信 ， 并 删 除 短 信 ， 如 图 3 - 2 0 所 示 。 图 3 - 2 0 拦 截 用 户 短 信 3 . 3 . 1 . 7   检 测 并 卸 载 杀 毒 软 件 私 自 扫 描 用 户 当 前 安 装 的 应 用 程 序 ， 并 且 卸 载 手 机 指 定 的 安 全 产 品 ： ” A h n L a b   V 3   M o b i l e   P l u s   2 . 0 ” ( 韩 国 的 一 款 手 机 安 全 产 品 ) ， 如 图 3 - 2 1 所 示 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理