搜索

[11854] 2017-10-03_沉睡一年的“脏牛”又被攻击者利用，Android用户你们还好吗？

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-18
2017-10-03_沉睡一年的“脏牛”又被攻击者利用，Android用户你们还好吗？ 沉 睡 一 年 的 “ 脏 牛 ” 又 被 攻 击 者 利 用 ， A n d r o i d 用 户 你 们 还 好 吗 ？ A n g e l a Y   F r e e B u f   2 0 1 7 - 1 0 - 0 3 还 记 得   2 0 1 6   年 那 个 著 名 的   L i n u x   内 核 级 漏 洞   D i r t y   C o w （ 脏 牛 ） 吗 ？ 2 0 1 6   年   1 0   月 ， 研 究 人 员 发 现   L i n u x   内 核 的 内 存 子 系 统 在 处 理 写 时 拷 贝 （ C o p y - o n - W r i t e ) 时 存 在 条 件 竞 争 漏 洞 ， 导 致 可 以 破 坏 私 有 只 读 内 存 映 射 。 一 个 低 权 限 的 本 地 用 户 能 够 利 用 此 漏 洞 获 取 其 他 只 读 内 存 映 射 的 写 权 限 ， 有 可 能 进 一 步 导 致 提 权 漏 洞 ， 因 此 将 这 个 漏 洞 命 名 为 “ 脏 牛 ” 。 “ 脏 牛 ” 漏 洞 自   2 0 0 7   年 开 始 就 存 在 于   L i n u x   的 内 核 中 ， 直 到   2 0 1 6   年 才 被 发 现 ， 漏 洞 爆 出 后 很 快 就 有 了 修 复 补 丁 。 后 来 ， 研 究 人 员 还 发 现 这 个 漏 洞 可 以 用 于 获 取   A n d r o i d   设 备 的   r o o t   权 限 ， 因 为   A n d r o i d   系 统 是 基 于 早 期 的   L i n u x   内 核 ， 所 以 也 可 能 遭 到 “ 脏 牛 ” 的 攻 击 。 由 于 修 复 迅 速 且 利 用 难 度 较 大 ， 当 时 并 没 有 太 多 利 用 “ 脏 牛 ” 进 行 攻 击 的 案 例 。 然 而 ， 时 隔 近 一 年 ， 来 自 趋 势 科 技 的 研 究 人 员 又 发 现 了 然 而 ， 时 隔 近 一 年 ， 来 自 趋 势 科 技 的 研 究 人 员 又 发 现 了 “ 脏 牛 脏 牛 ” 的 踪 迹 ： 一 个 名 为 的 踪 迹 ： 一 个 名 为   Z N I U   的 恶 意 程 序 使 用 的 恶 意 程 序 使 用 “ 脏 脏 牛 牛 ” 漏 洞 获 取 漏 洞 获 取   A n d r o i d   设 备 的 设 备 的   r o o t   权 限 并 植 入 后 门 ， 攻 击 者 可 以 利 用 植 入 的 后 门 收 集 设 备 中 的 信 息 。 权 限 并 植 入 后 门 ， 攻 击 者 可 以 利 用 植 入 的 后 门 收 集 设 备 中 的 信 息 。 看 不 到 视 频 ， 点 这 里 此 外 ， 如 果 受 害 者 订 阅 了 中 国 通 信 运 营 商 的 服 务 ， 攻 击 者 就 会 展 开 第 二 阶 段 的 攻 击 ： 利 用 后 门 赋 予 的 设 备 此 外 ， 如 果 受 害 者 订 阅 了 中 国 通 信 运 营 商 的 服 务 ， 攻 击 者 就 会 展 开 第 二 阶 段 的 攻 击 ： 利 用 后 门 赋 予 的 设 备   r o o t 权 限 ， 通 过 运 营 商 的 短 信 支 付 服 务 敛 财 。 权 限 ， 通 过 运 营 商 的 短 信 支 付 服 务 敛 财 。 而 且 为 了 避 免 被 注 意 到 ， 每 次 短 信 支 付 都 设 置 了 很 小 的 金 额 （ 2 0   人 民 币 或 者 仅 仅   3   美 元 ） 。 在 安 卓 系 统 上 ， 如 果 有   A P P   要 获 取 短 信 支 付 ， 需 要 经 过 人 机 交 互 ， 手 动 授 予 权 限 ， 而 由 于   Z N I U 有   r o o t   权 限 ， 所 以 可 以 直 接 设 置 ， 无 需 通 过 交 互 就 可 完 成 短 信 支 付 。 支 付 完 成 后 ， Z N I U   还 会 删 除 短 信 提 醒 ， 藏 匿 行 迹 。
Z N I U   的 实 现 机 制 的 实 现 机 制 从 技 术 层 面 来 看 ， Z N I U   实 际 使 用 的 “ 脏 牛 ”   e x p l o i t   其 实 与 去 年 研 究 人 员 公 布 的   P O C   代 码 并 不 相 同 。 目 前   Z N I U   使 用 “ 脏 牛 ”   e x p l o i t   只 在   6 4 位   A R M / X 8 6   架 构 的   A n d r o i d   版 本 上 生 效 。 如 果   Z N I U   感 染 的 是   3 2   位   A R M   C P U   架 构 的 安 卓 手 机 ， 则 会 利 用   K i n g o R o o t   A P P   和 I o v y r o o t   e x p l o i t （ C V E - 2 0 1 5 - 1 8 0 5 ） 获 取   r o o t   权 限 。 Z N I U   的   r o o t k i t   实 际 上 是 通 过 独 立 的 广 播 接 收 器 整 合 入 恶 意   A P P   中 的 。 其 代 码 如 下 ： 恶 意 软 件 无 需 更 改 其 他 组 件 ， 可 以 轻 易 将   r o o t k i t   注 入 第 三 方 应 用 程 序 ， 这 有 助 于 其 大 规 模 分 发 。 攻 击 者 可 以 加 密 并 打 包   Z N I U   的 恶 意   D E X   代 码 进 行 自 我 保 护 ， 防 范 静 态 逆 向 。   经 过 进 一 步 调 查 ， 研 究 人 员 发 现 ， 一 旦 用 户 将 设 备 接 入 网 络 或 只 是 简 单 地 接 入 电 源 ， Z N I U   就 会 使 用 广 播 接 收 器 激 活   e x p l o i t   代 码 ， 随 后 直 接 传 输 并 执 行 恶 意 的 本 机 代 码 。 Z N I U 的 本 机 代 码 的 主 要 逻 辑 如 下 ：
1 .   收 集 设 备 的 型 号 信 息 ； 2 .   从 远 程 服 务 器 获 取 相 应 的   r o o t k i t ； 3 .   解 密   e x p l o i t ； 4 .   逐 个 触 发   e x p l o i t ， 检 查 结 果 ， 并 删 除   e x p l o i t   文 件 ； 5   . 报 告   e x p l o i t   的 结 果 此 外 ， 远 程 攻 击 服 务 器 的   U R L   以 及 客 户 端 和 服 务 器 之 间 的 通 信 都 被 攻 击 者 加 密 了 。 研 究 人 员 使 用 字 符 串 解 密 ， 并 进 一 步 研 究 恶 意   e x p l o i t   服 务 器 ， 发 现 其 域 名 和 服 务 器 主 机 都 位 于 中 国 。   恶 意 攻 击 服 务 器 的 链 接 为 ： h x x p : / / r e g [ . ] o o z c l i m b [ . ] c o m : 5 1 0 1 下 载 之 后 ， ‘ e x p . z i u ’   r o o t k i t   会 解 压 为   ‘ e x p . i n f ’   ：
r o o t k i t   所 需 的 全 部 文 件 都 打 包 存 储 在 同 一 个   . i n f   文 件 中 ， 该 文 件 以   ‘ u l n z ’   开 头 ， 包 含   E L F   和   s c r i p t   文 件 。 Z N I U   r o o t k i t 可 以 任 意 写 入   v D S O （ 虚 拟 动 态 链 接 共 享 对 象 ） ， 该 对 象 将 一 组 内 核 空 间 函 数 导 出 到 用 户 空 间 ， 便 于 应 用 程 序 更 好 地 执 行 。   v D S O   代 码 可 在 以 没 有   S E L i n u x   限 制 的 内 核 环 境 中 运 行 。 Z N I U   使 用 公 开 的   e x p l o i t   代 码 将   s h e l l c o d e   写 入   v D S O   并 创 建 反 向   s h e l l 。   随 后 修 补   S E L i n u x   策 略 以 解 除 限 制 ， 并 植
入 后 门   r o o t   s h e l l 。 1 2 0 0   多 个 安 卓 多 个 安 卓   A P P   受 感 染 受 感 染 目 前 ， 研 究 人 员 已 经 在 各 个 网 站 中 检 测 到 目 前 ， 研 究 人 员 已 经 在 各 个 网 站 中 检 测 到   1 2 0 0   多 个 携 带 多 个 携 带   Z N I U   的 恶 意 的 恶 意   A P P   或 ， 大 多 是 游 戏 和 色 情 应 用 。 此 或 ， 大 多 是 游 戏 和 色 情 应 用 。 此 外 ， 趋 势 科 技 以 公 司 客 户 为 对 象 进 行 检 测 ， 发 现 外 ， 趋 势 科 技 以 公 司 客 户 为 对 象 进 行 检 测 ， 发 现   5 0 0 0   名 感 染 了 名 感 染 了   Z N I U   恶 意 程 序 的 用 户 ， 而 全 球 范 围 的 实 际 感 恶 意 程 序 的 用 户 ， 而 全 球 范 围 的 实 际 感 染 数 量 可 能 更 大 。 染 数 量 可 能 更 大 。 Z N I U   感 染 的 用 户 遍 布 感 染 的 用 户 遍 布   4 0   个 国 家 ， 其 中 大 多 数 人 位 于 中 国 和 印 度 ， 还 有 一 部 分 位 于 美 国 、 日 个 国 家 ， 其 中 大 多 数 人 位 于 中 国 和 印 度 ， 还 有 一 部 分 位 于 美 国 、 日 本 、 加 拿 大 、 德 国 和 印 度 尼 西 亚 等 。 本 、 加 拿 大 、 德 国 和 印 度 尼 西 亚 等 。 谷 歌 目 前 已 经 发 布 了 修 复 补 丁 ， 并 在 官 方   P l a y   S t o r e   中 进 行 了 检 测 。 可 以 确 认 的 是 ， 感 染 了   Z N I U   的   A P P   不 会 出 现 在 谷 歌   P l a y   S t o r e 中 . 因 此 ， 为 了 避 免 感 染 ， 用 户 只 能 从 G o o g l e   P l a y   S t o r e   或 受 信 任 的 第 三 方 应 用 商 店 下 载 应 用 程 序 ， 并 使 用 合 适 的 安 全 解 决 方 案 。 用 户 还 可 以 与 设 备 制 造 商 和 / 或 电 话 运 营 商 联 系 ， 获 取 漏 洞 的 补 丁 。
以 下 是 检 测 到 的 包 含 哈 希 值 、 包 名 和   A P P   标 签 的 入 侵 指 标 列 表 ， 可 以 查 看 到 所 有 受 感 染 的   A P P   类 型 ：
* 参 考 来 源 ： T h e H a c k e r N e w s ，   趋 势 科 技 博 客 ， A n g e l a Y   编 译 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理