搜索

[16147] 2020-11-29_KONNIAPT组织伪装安全功能应用的攻击活动剖析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-29_KONNIAPT组织伪装安全功能应用的攻击活动剖析 K O N N I   A P T 组 织 伪 装 安 全 功 能 应 用 的 攻 击 活 动 剖 析 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 0 - 1 1 - 2 9 概 述 ： 概 述 ： K O N N I 是 一 类 远 控 木 马 病 毒 ， 很 早 之 前 就 由 思 科 T a l o s 团 队 披 露 过 。 在 2 0 1 4 年 的 时 候 就 开 始 活 跃 起 来 了 。 针 对 的 主 要 攻 击 对 象 有 俄 罗 斯 、 韩 国 等 地 区 。 在 P a l o A l t o 团 队 的 研 究 中 发 现 此 类 木 马 病 毒 家 族 与 N o k k i 有 很 多 相 似 之 处 ， 疑 似 这 个 与 东 亚 的 A P T 组 织 存 在 关 联 性 。 此 后 K o n n i 被 当 做 疑 似 具 有 东 亚 背 景 的 A P T 组 织 。 暗 影 实 验 室 根 据 捕 获 的 样 本 发 现 ， 此 样 本 仿 冒 安 全 软 件 ， 以 检 测 用 户 设 备 安 全 情 况 为 诱 饵 ， 诱 导 用 户 使 用 此 软 件 。 用 户 安 装 应 用 之 后 向 主 控 地 址 请 求 远 控 命 令 ， 获 取 用 户 联 系 人 、 短 信 、 应 用 安 装 列 表 等 信 息 ， 将 获 取 的 隐 私 信 息 上 传 到 服 务 器 。 1 .   样 本 信 息 样 本 信 息 M D 5 ： 0 c e 1 6 4 8 f f 7 5 5 3 1 8 9 e 5 b 5 d b 2 2 5 2 e 2 7 f d 5 包 名 ： 包 名 ： c o m . j s o n 应 用 名 ： 应 用 名 ： A o n e S m m i t z 安 装 图 标 ： 安 装 图 标 ： 2 .   恶 意 行 为 综 述 恶 意 行 为 综 述 该 程 序 一 款 仿 冒 检 测 手 机 漏 洞 的 安 全 软 件 。 用 户 运 行 后 提 示 用 户 这 个 工 具 是 检 测 设 备 漏 洞 的 工 具 ， 当 用 户 点 击 检 测 选 项 ， 提 示 用 户 此 设 备 安 全 。 其 实 际 行 为 是 向 指 定 远 控 发 送 请 求 ， 获 取 一 个 t x t 远 控 文 件 ， t x t 远 控 文 件 当 中 包 含 远 控 指 令 ， 根 据 远 控 指 令 获 取 用 户 包 括 短 信 、 联 系 人 、 应 用 安 装 列 表 等 用 户 隐 私 数 据 ， 将 获 取 的 用 户 隐 私 数 据 上 传 到 指 定 服 务 器 。 3 .   运 行 流 程 图 运 行 流 程 图 仿 冒 安 全 软 件 ， 诱 导 用 户 下 载 安 装 ， 用 户 安 装 后 ， 仿 冒 安 全 功 能 诱 导 用 户 使 用 ， 开 启 电 源 锁 常 驻 后 台 运 行 ， 向 服 务 器 请 求 远 控 指 令 ， 执 行 远 控 指 令 ， 获 取 用 户 短 信 、 联 系 人 、 应 用 安 装 列 表 、 s d 卡 文 件 名 称 等 信 息 ， 将 获 取 的 隐 私 信 息 上 传 到 服 务 器 。
图 3 - 1   程 序 运 行 流 程 图 4 .   技 术 原 理 分 析 技 术 原 理 分 析 4 . 1   仿 冒 安 全 应 用 仿 冒 安 全 应 用 仿 冒 安 全 软 件 A o n e S m m i t z 诱 导 用 户 安 装 ， 当 用 户 打 开 软 件 ， 提 示 用 户 这 个 工 具 是 检 测 用 户 设 备 有 没 有 漏 洞 的 工 具 ， 当 用 户 点 击 开 始 检 测 ， 返 回 用 户 的 是 您 的 设 备 无 安 全 漏 洞 。 从 功 能 上 仿 冒 安 全 软 件 ， 让 用 户 放 松 警 惕 。 仿 冒 A o n e S m m i t z 应 用 ：
图 4 - 1   仿 冒 A o n e S m m i t z 软 件 提 示 用 此 工 具 为 检 测 设 备 漏 洞 工 具 ：
图 4 - 2 提 示 检 测 漏 洞 向 用 户 反 馈 经 检 测 结 果 ， 设 备 无 漏 洞 ：
图 4 - 3   反 馈 设 备 无 漏 洞 信 息 4 . 2   程 序 加 载 运 行 程 序 加 载 运 行 恶 意 程 序 在 诱 导 用 户 安 装 完 成 之 后 ， 向 主 控 地 址 请 求 远 控 文 本 。 获 取 用 户 I M E I 、 系 统 版 本 信 息 ， 用 来 区 别 用 户 的 唯 一 性 。 设 置 电 源 锁 ， 当 屏 幕 处 于 关 闭 状 态 时 ， 保 障 恶 意 程 序 的 监 听 服 务 处 于 监 听 状 态 ， 确 保 对 用 户 处 于 一 直 监 听 状 态 。 1 ） 向 主 控 地 址 请 求 远 控 文 本 ， 请 求 之 后 向 用 户 反 馈 远 控 文 件 。 主 控 地 址 是 ： h t t p : / / c l o u d s e c * s e r v i c e . n e t / 。 初 始 化 地 址 ： 图 4 - 4   初 始 化 地 址
向 主 控 地 址 发 送 t x t 文 本 请 求 ： 图 4 - 5   向 主 控 发 送 远 控 文 本 请 求 获 取 用 户 I M E I 、 设 备 系 统 版 本 等 信 息 ， 用 来 区 别 用 户 的 唯 一 性 ： 图 4 - 6   获 取 用 户 I M E I 等 信 息 2 ） 设 置 电 源 锁 ， 当 屏 幕 处 于 关 闭 状 态 时 ， 保 障 恶 意 程 序 的 监 听 服 务 处 于 监 听 状 态 ， 确 保 对 用 户 处 于 一 直 监 听 状 态 。 图 4 - 7   开 启 电 源 锁 4 . 3   远 程 控 制 远 程 控 制 恶 意 程 序 向 服 务 器 请 求 远 控 文 件 之 后 获 取 远 控 文 件 ， 恶 意 程 序 根 据 远 控 文 件 当 中 的 内 容 来 区 分 远 控 指 令 。 获 取 用 户 通 讯 录 、 获 取 用 户 短 信 、 获 取 外 部 存 储 器 文 件 目 录 、 获 取 已 安 装 应 用 列 表 数 据 等 隐 私 数 据 。 将 获 取 的 用 户 隐 私 信 息 上 传 到 指 定 服 务 器 。 4 . 3 . 1   获 取 信 息 获 取 信 息 1 ） 请 求 的 远 控 文 件 ， 解 析 远 控 指 令 。
请 求 的 远 控 文 件 ： h t t p : / / c l o u d s e c u r * e r v i c e . n e t / j s o n / f i l e s / T o _ 5 0 6 3 9 6 7 6 4 0 7 4 4 2 0 6 . t x t 图 4 - 8   请 求 远 控 文 件 读 取 远 控 文 件 ， 解 析 远 控 指 令 ： 图 4 - 9   解 析 远 控 指 令 2 ） 恶 意 程 序 的 远 控 指 令 。 指 令 列 表 ： 远 控 指 令 远 控 指 令 远 控 指 令 的 意 义 远 控 指 令 的 意 义 d e l _ f i l e 删 除 指 定 文 件 d e l _ s m s 删 除 指 定 短 信 d o w n l o a d 下 载 文 件 g e t _ a c c o u n t 获 取 用 户 账 户 信 息 g e t _ a p p 采 集 用 户 安 装 的 所 有 A P P 信 息 g e t _ c o n t a c t 获 取 联 系 人 数 据 g e t _ k e y l o g 获 取 键 盘 记 录 数 据 g e t _ s d c a r d 获 得 s d 卡 的 文 件 目 录 g e t _ s m s 获 取 短 信 内 容 g e t _ t i m e 获 取 时 间
g e t _ u s e r 获 取 手 机 基 本 系 信 息 如 I M E I 、 用 户 手 机 号 、 O S T y p e 、 O S A P I o p e n _ a p p 打 开 A P P o p e n _ d l g 弹 框 o p e n _ w e b 打 开 网 页 s c r e e n 截 屏 s e n d _ s m s 发 送 短 信 u n i n s t a l l _ a p p 卸 载 A P P u p l o a d 上 传 文 件 v o l u m e 获 取 文 件 系 统 主 目 录 3 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 g e t _ c o n t a c t ， 将 b G e t C o n t r a c t 的 值 设 置 为 t r u e ， 当 b G e t C o n t r a c t 的 值 为 t r u e 时 ， 获 取 用 户 联 系 人 数 据 。 设 置 b G e t C o n t r a c t 的 值 为 t r u e ： 图 4 - 1 1   设 置 b G e t C o n t r a c t 的 值 获 取 用 户 联 系 人 数 据 。 图 4 - 1 2   获 取 用 户 联 系 人 数 据 4 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 b G e t S m s ， 将 b G e t S m s 的 值 设 置 为 t r u e ， 当 b G e t S m s 的 值 为 t r u e 时 ， 获 取 用 户 短 信 。 设 置 b G e t S m s 的 值 为 t r u e ：
图 4 - 1 3   设 置 b G e t S m s 的 值 为 t r u e 获 取 用 户 短 信 。 图 4 - 1 4   获 取 用 户 短 信 5 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 g e t _ a p p ， 将 b G e t A p p 的 值 设 置 为 t r u e ， 当 b G e t A p p 的 值 为 t r u e 时 ， 获 取 用 户 安 装 的 应 用 程 序 信 息 。 设 置 b G e t A p p 的 值 为 t r u e ： 图 4 - 1 5   设 置 设 置 b G e t A p p 的 值 为 t r u e 获 取 用 户 安 装 的 应 用 程 序 信 息 。 图 4 - 1 6   获 取 用 户 安 装 的 应 用 程 序 信 息 6 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 g e t _ s d c a r d ， 将 g e t _ s d c a r d 的 值 设 置 为 t r u e ， 当 g e t _ s d c a r d 的 值 为 t r u e 时 ， 获 取 用 户 s d 卡 目 录 。 设 置 g e t _ s d c a r d 的 值 为 t r u e : 图 4 - 1 7   设 置 g e t _ s d c a r d 的 值 为 t r u e 获 取 用 户 s d 卡 目 录 。 图 4 - 1 8   获 取 用 户 s d 目 录 7 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 g e t _ a c c o u n t ， 将 g e t _ a c c o u n t 的 值 设 置 为 t r u e ， 当 g e t _ a c c o u n t 的 值 为 t r u e
时 ， 获 取 用 户 账 户 信 息 。 设 置 g e t _ a c c o u n t 的 值 为 t r u e ： 图 4 - 1 9   设 置 g e t _ a c c o u n t 的 值 为 t r u e 获 取 用 户 账 号 信 息 。 图 4 - 2 0   获 取 用 户 账 号 信 息 4 . 3 . 2   上 传 信 息 上 传 信 息 1 ） 解 析 远 控 文 件 当 中 的 远 控 指 令 ， 当 指 令 是 u p l o a d ， 将 b U p l o a d 的 值 设 置 为 t r u e ， 当 b U p l o a d 的 值 为 t r u e 时 ， 获 取 用 户 隐 私 信 息 。 设 置 b U p l o a d 的 值 为 t r u e ： 图 4 - 2 1   设 置 b U p l o a d 的 值 为 t r u e 获 取 用 户 隐 私 信 息 ： 图 4 - 2 2   获 取 用 户 隐 私 信 息 2 ） 上 传 用 户 隐 私 信 息 ， 上 传 地 址 是 h t t p : / / c l o u d s e c * * s e r v i c e . n e t / j s o n / u p . p h p 。 上 传 用 户 I M E I 等 信 息 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理