搜索

[9500] 2015-11-03_百度系应用WormHole漏洞细节分析

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-17
2015-11-03_百度系应用WormHole漏洞细节分析 百 度 系 应 用 W o r m H o l e 漏 洞 细 节 分 析 F r e e B u f   2 0 1 5 - 1 1 - 0 3 报 告 来 源 ： 趋 势 科 技 百 度 百 度 m o p l u s   S D K 的 一 个 被 称 为 虫 洞 （ 的 一 个 被 称 为 虫 洞 （ W o r m h o l e ） 的 漏 洞 被 报 导 后 ） 的 漏 洞 被 报 导 后 “ 一 石 激 起 千 层 浪 一 石 激 起 千 层 浪 ” ， 它 被 植 入 到 ， 它 被 植 入 到 1 4 0 0 0 款 款 a p p 当 中 ， 当 中 ， 这 些 这 些 a p p 有 接 近 有 接 近 4 0 0 0 个 都 是 由 百 度 出 品 的 。 该 漏 洞 被 中 国 的 一 个 漏 洞 报 告 平 台 个 都 是 由 百 度 出 品 的 。 该 漏 洞 被 中 国 的 一 个 漏 洞 报 告 平 台 w o o y u n . o r g 所 发 现 。 所 发 现 。 然 而 ， 根 据 我 们 对 这 个 安 全 漏 洞 的 研 究 ， 发 现 M o p l u s   S D K 具 有 后 门 功 能 ， 这 不 一 定 是 由 于 漏 洞 或 跟 漏 洞 相 关 。 目 前 ， 人 们 之 所 以 称 之 为 漏 洞 是 基 于 M o p l u s   S D K 的 访 问 权 限 控 制 以 及 应 该 如 何 限 制 这 种 访 问 的 角 度 。 因 此 ， 它 虽 然 具 有 漏 洞 相 关 的 概 念 而 实 际 上 是 一 个 后 门 程 序 ， 如 推 送 钓 鱼 网 页 ， 插 入 任 意 联 系 人 ， 发 送 伪 造 短 信 ， 上 传 本 地 文 件 到 远 程 服 务 器 ， 未 经 用 户 授 权 安 装 任 意 应 用 到 A n d r o i d 设 备 。 而 执 行 这 些 行 为 唯 一 的 要 求 是 该 设 备 首 先 需 要 连 接 互 联 网 。 由 于 M o p l u s   S D K 已 经 被 集 成 到 众 多 的 A n d r o i d 应 用 程 序 中 ， 这 就 意 味 着 有 上 亿 的 A n d r o i d 用 户 受 到 了 影 响 。 我 们 的 研 究 结 果 还 表 明 ， 已 经 有 恶 意 软 件 在 利 用 M o p l u s   S D K 的 漏 洞 了 。 在 这 篇 文 章 中 ， 我 们 揭 示 了 M o p l u s   S D K 的 恶 意 代 码 和 对 A n d r o i d 设 备 造 成 的 风 险 。
图 1 . 恶 意 软 件 使 用 的 M o p l u s   S D K 来 进 行 静 默 安 装 通 过 通 过 M o p l u s   S D K 挖 掘 挖 掘 M o p l u s   S D K 是 由 中 国 的 搜 索 引 擎 巨 头 百 度 开 发 的 。 在 我 们 的 研 究 中 ， 我 们 研 究 了 两 个 不 同 的 应 用 程 序 ， 百 度 地 图 （ c o m . b a i d u . B a i d u M a p ， 8 . 7 . 0 ） 和 “ 奇 闻 异 录 ” （ c o m . u f o . d c b . l i n g y i ， 1 . 3 ） 。 他 们 使 用 的 M o +   S D K 的 版 本 虽 不 同 ， 但 大 部 分 代 码 是 相 同 的 图 2   c o m . u f o . d c b . l i n g y i 使 用 的 M o p l u s   S D K
图 3   c o m . b a i d u . B a i d u M a p 使 用 的 M o p l u s   S D K 它 是 如 何 集 成 到 应 用 程 序 ？ 它 是 如 何 集 成 到 应 用 程 序 ？ 从 应 用 程 序 的 M a n i f e s t 文 件 中 可 知 M o p l u s   S D K 被 包 含 在 一 个 独 立 的 进 程 中 。 其 m a i n   s e r v i c e 叫 做 c o m . b a i d u . a n d r o i d . m o p l u s . M o P l u s S e r v i c e ， 可 以 通 过 不 同 的 广 播 事 件 触 发 ， 其 中 包 括 系 统 启 动 的 广 播 。 图 4 .   M o p l u s 被 集 成 到 一 个 独 立 的 背 景 。 实 际 上 ， 该 恶 意 程 序 会 自 动 启 动 M o p l u s   S D K 的 后 门 功 能 的 后 门 功 能 当 用 户 启 动 一 个 应 用 程 序 ， M o p l u s   S D K 会 偷 偷 地 在 设 备 上 自 动 设 置 一 个 本 地 H T T P 服 务 器 ， 用 来 监 控 通 过 s o c k e t 的 消 息 。 为 了 实 现 这 一 点 ， 它 在 代 码 中 集 成 并 修 改 了 用 J a v a 编 写 的 一 个 简 单 的 开 源 H T T P 服 务 器 N a n o H t t p d 。 图 5 .   M o p l u s   S D K 在 代 码 中 集 成 并 修 改 了 N a n o H t t p d 绑 定 到 这 个 H T T P 服 务 器 的 T C P 端 口 并 不 总 是 一 样 的 。 在 我 们 的 例 子 中 ， 我 们 发 现 c o m . u f o . d c b . l i n g y i 绑 定 的 端 口 是 6 2 5 9 ， 而 c o m . b a i d u . B a i d u M a p 绑 定 的 端 口 是 4 0 3 1 0 。
图 6 . 绑 定 到 本 地 的 H T T P 服 务 器 的 T C P 端 口 并 不 总 是 一 样 的 H T T P 服 务 器 保 持 监 听 T C P 端 口 。 它 将 接 收 和 解 析 从 远 程 客 户 端 发 送 的 消 息 。 一 旦 有 新 的 H T T P 请 求 时 ， 它 会 获 取 和 解 析 消 息 头 和 消 息 体 ， 并 通 过 覆 盖 N a n o H t t p d 文 档 中 指 定 的 “ s e r v e r ” 功 能 开 始 执 行 自 己 的 恶 意 功 能 。 图 7 . 从 s o c k e t 连 接 中 监 控 H T T P 请 求
图 8 . 调 用 自 己 的 恶 意 行 为 覆 盖 “ s e r v e r ” 功 能 这 是 一 个 典 型 的 命 令 与 控 制 （ C ＆ C ） 攻 击 模 式 。 与 传 统 的 C ＆ C 攻 击 比 较 ， 唯 一 不 同 的 是 在 这 种 情 况 下 ， 服 务 器 在 用 户 端 ， 而 攻 击 客 户 端 可 以 在 任 何 地 方 。 有 很 多 恶 意 功 能 包 含 在 S D K 中 ， 如 下 载 和 上 传 文 件 等 。 每 个 行 为 都 是 单 独 的 一 个 类 文 件 。 图 9 .   M o p l u s   S D K 支 持 的 恶 意 功 能
图 1 0 . 恶 意 命 令 及 源 代 码 类 之 间 的 对 应 关 系 从 上 述 截 图 可 以 看 出 ， 攻 击 者 可 以 从 用 户 设 备 远 程 获 取 位 置 信 息 ， 搜 索 框 信 息 ， 包 信 息 和 其 它 敏 感 数 据 。 它 可 以 在 用 户 设 备 上 远 程 添 加 联 系 人 ， 扫 描 下 载 文 件 ， 上 传 特 定 文 件 。 所 有 这 些 行 为 只 需 简 单 的 通 过 发 送 H T T P 请 求 便 可 以 完 成 。 图 1 1 . 批 量 插 入 任 意 联 系 人   “ s e n d i n t e n t ” 是 一 个 特 殊 的 命 令 ， 可 以 用 来 在 设 备 上 发 送 本 地 意 图 。 攻 击 者 可 以 利 用 它 来 远 程 拨 打 电 话 ， 发 送 虚 假 消 息 ， 并 在 未 经 用 户 同 意 的 情 况 下 安 装 任 意 应 用 。
图 1 2 .   “ s e n d i n t e n t ” 命 令 可 以 被 攻 击 者 用 于 在 用 户 设 备 上 执 行 恶 意 控 制 行 为 该 S D K 还 可 以 检 测 设 备 是 否 r o o t 并 且 静 默 安 装 A P K 图 1 3 . 支 持 静 默 安 装 应 用 图 1 4 . 区 分 r o o t 用 户 以 便 进 行 更 多 的 恶 意 攻 击 这 些 细 节 清 楚 地 证 明 了 这 是 一 个 后 门 恶 意 软 件 。 一 个 攻 击 者 可 以 攻 击 已 经 被 M o p l u s   S D K 感 染 的 任 意 设 备 。 我 们 在 N e x u s   6 最 新 的 A n d r o i d   6 . 0 系 统 上 有 一 个 简 短 的 演 示 （ 见 图 1 6 - 1 8 ） 。 当 百 度 地 图 启 动 后 ， 我 们 可 以 发 现 恶 意 服 务 （ b d s e r v i c e _ v 1 ） 总 是 在 后 台 运 行 。 图 1 5 . 恶 意 服 务 b d s e r v i c e _ v 1 一 直 在 后 台 运 行
图 1 6 - 1 8 在 这 一 组 图 中 ， 我 们 展 示 了 如 何 自 动 添 加 联 系 人 到 移 动 设 备 上 的 因 为 在 本 地 H T T P 服 务 （ 由 M o p l u s   S D K 建 立 的 ） 中 没 有 进 行 身 份 认 证 ， 使 得 攻 击 行 为 不 仅 可 以 通 过 a p p 开 发 者 ， 也 可 以 由 任 何 其 它 人 来 触 发 。 只 需 一 个 命 令 ， 攻 击 者 或 者 网 络 罪 犯 就 可 以 远 程 控 制 感 染 的 设 备 。 此 外 ， 他 们 只 需 要 使 用 n m a p 进 行 全 网 段 扫 描 ， 测 试 T C P 端 口 6 2 5 9 或 4 0 3 1 0 的 状 态 ， 端 口 状 态 为 O P E N 的 所 有 A n d r o i d 设 备 都 可 能 被 远 程 控 制 。 需 要 注 意 的 是 在 同 一 个 局 域 网 内 ， 以 及 在 同 一 个 的 3 G   /   4 G 网 络 的 所 有 设 备 都 可 以 被 攻 击 。
这 是 一 个 严 重 的 漏 洞 ， 也 许 甚 至 比 需 要 包 含 有 钓 鱼 链 接 的 w e b 网 页 或 用 于 发 送 恶 意 彩 信 的 电 话 号 码 才 能 利 用 的 S t a g e f r i g h t 漏 洞 更 糟 糕 。 对 于 这 个 安 全 漏 洞 ， 攻 击 者 只 需 简 单 地 扫 描 网 络 I P ， 不 需 要 用 户 终 端 的 任 何 行 为 或 任 何 社 会 工 程 学 攻 击 。 其 它 的 发 现 其 它 的 发 现 我 们 已 经 检 测 到 恶 意 软 件 （ A N D R O I D O S _ W O R M H O L E . H R X A ） 在 使 用 M o p l u s   S D K 来 自 动 和 定 期 下 载 用 户 不 需 要 的 应 用 。 当 这 些 应 用 被 下 载 到 用 户 设 备 后 ， 如 果 用 户 设 备 已 经 r o o t 了 ， 则 应 用 程 序 将 被 自 动 安 装 。 S H A 1 ： 2 F A 4 0 A 5 3 0 2 D 9 2 F B 0 C 5 C 6 4 C F 6 1 9 7 F 2 D 6 7 1 B A 7 C 3 0 D 集 成 集 成 M o p l u s   S D K 的 应 用 程 序 有 哪 些 ？ 的 应 用 程 序 有 哪 些 ？ M o p l u s   S D K 是 一 个 开 放 的 S D K ， 根 据 我 们 的 数 据 ， 总 共 有 1 4 1 1 2 个 应 用 程 序 集 成 了 这 个 S D K ， 其 中 4 0 1 4 个 是 百 度 官 方 的 应 用 程 序 。 在 受 影 响 的 应 用 中 排 名 前 2 0 位 的 应 用 如 下 ： c o m . q i y i . v i d e o c o m . b a i d u . v i d e o c o m . b a i d u . B a i d u M a p c o m . b a i d u . b r o w s e r . a p p s c o m . b a i d u . a p p s e a r c h c o m . n d . a n d r o i d . p a n d a h o m e 2 c o m . h i a p k . m a r k e t p h o c o m . b a i d u . h a o 1 2 3 c o m . b a i d u . s e a r c h b o x t v . p p s . m o b i l e c o m . m f w . r o a d b o o k c o m . t u n i u . a p p . u i c o m . i f e n g . n e w v i d e o c o m . b a i d u . n e t d i s k c o m . q u a n l e i m u . a c t i v i t y c o m . d r a g o n . a n d r o i d . p a n d a s p a c e c o m . y u e d o n g . s p o r t c o m . d o n g q i u d i . n e w s a i r . f y z b 3 c o m . m a n a g e r s h a r e 百 度 在 最 新 的 更 新 中 已 经 移 除 了 M o p l u s   S D K 中 的 恶 意 代 码 ， 并 在 其 最 新 的 产 品 中 解 决 了 该 问 题 。 经 审 查 ， 百 度 地 图 最 新 的 代 码 ， 我 们 发 现 ， 他 们 仍 然 在 用 户 设 备 中 开 启 了 绑 定 4 0 3 1 0 开 放 端 口 的 N a n o H t t p d 服 务 。
图 1 9 . 在 最 新 M o p l u s 更 新 中 本 地 H T T P 服 务 仍 保 留 与 原 来 相 同 的 T C P 端 口 虽 然 删 除 了 部 分 恶 意 命 令 及 相 应 的 代 码 ， 包 括 在 r o o t 手 机 中 自 动 静 默 安 装 应 用 的 恶 意 代 码 部 分 。 然 而 ， 如 图 2 1 所 示 ， 并 非 所 有 的 恶 意 功 能 都 已 经 被 删 除 ， 用 户 设 备 仍 处 于 危 险 之 中 。 图 2 0 . 部 分 恶 意 命 令 仍 保 留 在 最 新 M o p l u s   S D K 图 2 1 . 只 有 红 色 部 分 的 恶 意 代 码 在 最 新 的 M o p l u s   S D K 中 被 删 除 从 外 媒 的 观 点 中 ， 我 们 可 以 看 出 ： 从 外 媒 的 观 点 中 ， 我 们 可 以 看 出 ： 1 . 虫 洞 的 各 种 可 怕 的 功 能 在 r o o t 的 手 机 上 会 翻 倍 ： 各 种 静 默 安 装 ， 加 载 u r l ， 消 耗 话 费 流 量 。 2 . 在 非 r o o t 的 手 机 上 可 能 会 出 现 确 认 信 息 （ 这 样 就 可 以 发 现 后 门 正 在 运 行 ） 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理