搜索

[14956] 2020-01-08_GooglePlay恶意软件指向SideWinder组织

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-01-08_GooglePlay恶意软件指向SideWinder组织 G o o g l e   P l a y 恶 意 软 件 指 向 S i d e W i n d e r 组 织 K r i s t o n   F r e e B u f   2 0 2 0 - 0 1 - 0 8 在 在 G o o g l e   P l a y 商 店 中 发 现 了 三 款 恶 意 应 用 ， 恶 意 应 用 会 攻 击 目 标 设 备 并 收 集 用 户 信 息 ， 其 中 一 个 名 为 商 店 中 发 现 了 三 款 恶 意 应 用 ， 恶 意 应 用 会 攻 击 目 标 设 备 并 收 集 用 户 信 息 ， 其 中 一 个 名 为 C A M M O ， 利 用 漏 洞 编 号 为 ， 利 用 漏 洞 编 号 为 C V E - 2 0 1 9 - 2 2 1 5 。 这 是 在 野 第 一 个 已 知 的 使 用 。 这 是 在 野 第 一 个 已 知 的 使 用 u s e - a f t e r - f r e e 漏 洞 的 主 动 攻 击 。 经 过 漏 洞 的 主 动 攻 击 。 经 过 进 一 步 调 查 发 现 这 三 款 应 用 可 能 是 进 一 步 调 查 发 现 这 三 款 应 用 可 能 是 S i d e W i n d e r 组 织 武 库 的 一 部 分 。 组 织 武 库 的 一 部 分 。 这 三 个 恶 意 应 用 被 伪 装 成 摄 影 和 文 件 管 理 工 具 。 根 据 其 中 一 款 应 用 的 证 书 信 息 推 测 这 些 应 用 自 2 0 1 9 年 3 月 起 就 一 直 处 于 活 跃 状 态 。 目 前 这 些 应 用 程 序 已 经 从 G o o g l e   P l a y 中 删 除 。 安 装 安 装 S i d e W i n d e r 分 两 个 阶 段 安 装 p a y l o a d 。 它 首 先 从 C & C 服 务 器 下 载 D E X 文 件 （ A n d r o i d 文 件 格 式 ） 。 该 组 使 用 应 用 程 序 转 换 来 配 置 C & C 服 务 器 地 址 。 地 址 由 B a s e 6 4 编 码 ， 然 后 在 恶 意 软 件 分 发 的 U R L 中 设 置 为 r e f e r e r 参 数 。
下 载 的 D E X 文 件 将 下 载 一 个 A P K 文 件 并 安 装 。 所 有 这 些 都 是 在 隐 蔽 情 况 下 完 成 的 。 为 了 逃 避 检 测 ， 它 使 用 如 模 糊 处 理 、 数 据 加 密 和 调 用 动 态 代 码 等 技 术 。 应 用 程 序 C a m e r o 和 F i l e C r y p t   m a n a g e r 从 C & C 服 务 器 下 载 额 外 的 D E X 文 件 后 ， 第 二 层 的 d r o p p e r 调 用 额 外 的 代 码 来 下 载 、 安 装 和 启 动 设 备 上 的 c a l l C a m 应 用 程 序 。
在 用 户 不 知 情 的 情 况 下 在 设 备 上 部 署 负 载 应 用 c a l l C a m ， S i d e W i n d e r 将 执 行 以 下 操 作 ： 一 、 设 备 一 、 设 备 r o o t 由 C a m e r o 应 用 完 成 ， 仅 适 用 于 谷 歌 （ P i x e l   2 ， P i x e l   2   X L ） 、 诺 基 亚 3 （ T A - 1 0 3 2 ） 、 L G   V 2 0 （ L G - H 9 9 0 ） 、 O p p o F 9 （ C P H 1 8 8 1 ） 和 R e d m i   6 A 设 备 。 恶 意 软 件 根 据 d r o p p e r 下 载 的 索 引 从 C & C 服 务 器 检 索 特 定 的 攻 击 。 在 调 查 期 间 从 C & C 服 务 器 下 载 了 5 个 漏 洞 。 攻 击 者 使 用 漏 洞 C V E - 2 0 1 9 - 2 2 1 5 和 M e d i a T e k   S U 获 取 根 权 限 。
获 取 根 权 限 后 ， 恶 意 软 件 将 安 装 应 用 程 序 c a l l C a m ， 授 权 并 启 动 。 二 、 使 用 辅 助 功 能 权 限 二 、 使 用 辅 助 功 能 权 限 F i l e C r y p t   M a n a g e r 使 用 该 方 法 ， 其 适 用 于 A n d r o i d   1 . 6 以 上 的 大 多 数 A n d r o i d 手 机 。 应 用 程 序 启 动 后 ， 会 要 求 用 户 启 用 辅 助 功 能 。
一 旦 获 得 许 可 ， 应 用 程 序 将 显 示 一 个 全 屏 窗 口 ， 显 示 需 要 进 一 步 的 安 装 步 骤 。 但 实 际 上 这 只 是 一 个 覆 盖 屏 幕 ， 显 示 在 设 备 上 所 有 活 动 窗 口 的 顶 部 。
同 时 ， 应 用 程 序 从 额 外 的 D E X 文 件 调 用 代 码 ， 安 装 未 知 应 用 程 序 和 c a l l C a m 。 它 授 予 安 装 程 序 访 问 权 限 并 启 动 程 序 。 所 有 这 些 都 发 生 在 覆 盖 屏 幕 后 面 ， 用 户 不 知 情 。
c a l l C a m 活 动 分 析 a p p 安 装 启 动 后 会 隐 藏 图 标 ， 收 集 一 下 用 户 信 息 并 发 送 回 c & c 服 务 器 ： 位 置 信 息 、 电 池 状 态 、 文 件 、 已 安 装 a p p 列 表 、 设 备 信 息 、 传 感 器 信 息 、 摄 像 头 信 息 、 屏 幕 截 屏 、 账 户 、 w i f i 信 息 以 及 各 类 社 交 软 件 和 浏 览 器 数 据 。 应 用 程 序 使 用 R S A 和 A E S 加 密 算 法 对 所 有 回 传 数 据 进 行 加 密 。 它 使 用 S H A 2 5 6 验 证 数 据 完 整 性 并 自 定 义 编 码 接 口 。 加 密 时 ， 它 会 创 建 一 个 h e a d D a t a 的 数 据 块 。 此 块 包 含 原 始 数 据 的 前 9 个 字 节 、 原 始 数 据 长 度 、 随 机 A E S   I V 、 R S A 加 密 A E S 加 密 密 钥 和 A E S 加 密 原 始 数 据 的 S H A 2 5 6 值 。 然 后 通 过 自 定 义 接 口 对 头 数 据 进 行 编 码 。 编 码 后 存 储 在 最 终 加 密 文 件 的 头 部 ， 然 后 是 A E S 加 密 原 始 数 据 的 数 据 。
S i d e W i n d e r 关 联 分 析 这 些 应 用 使 用 的 C & C 服 务 器 被 怀 疑 是 S i d e W i n d e r 设 施 的 一 部 分 。 在 一 台 C & C 服 务 器 上 还 找 到 一 个 U R L 链 接 到 应 用 程 序 的 G o o g l e   P l a y 页 面 。 I O C s
C & C   S e r v e r s m s - e t h i c s . n e t d e b - c n . n e t a p 1 - a c l . n e t m s - d b . n e t a w s - c h e c k . n e t r e a w k . n e t * 参 考 来 源 ： 参 考 来 源 ： t r e n d m i c r o ， 由 ， 由 K r i s t o n 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理