搜索

[9766] 2016-01-23_从间谍软件到银行木马，揭秘Asacub进化黑历史

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-01-23_从间谍软件到银行木马，揭秘Asacub进化黑历史 从 间 谍 软 件 到 银 行 木 马 ， 揭 秘 A s a c u b 进 化 黑 历 史 v u l _ w i s h   F r e e B u f   2 0 1 6 - 0 1 - 2 3 近 日 ， 安 全 人 员 对 移 动 端 银 行 木 马 近 日 ， 安 全 人 员 对 移 动 端 银 行 木 马 T r o j a n - B a n k e r . A n d r o i d O S . A s a c u b 进 行 了 深 入 分 析 ， 发 现 其 恶 意 功 能 随 着 版 本 的 改 进 行 了 深 入 分 析 ， 发 现 其 恶 意 功 能 随 着 版 本 的 改 变 不 断 增 加 。 变 不 断 增 加 。 早 期 版 本 早 期 版 本 该 木 马 首 次 发 现 于 2 0 1 5 年 6 月 上 旬 ， 功 能 类 似 于 间 谍 软 件 。 早 期 的 A s a c u b 木 马 会 窃 取 所 有 的 短 信 并 上 传 到 恶 意 服 务 器 ， 接 收 并 执 行 C & C 服 务 器 端 的 以 下 命 令 ： 1 、 g e t _ h i s t o r y ： 向 服 务 器 上 传 浏 览 器 历 史 记 录 2 、 g e t _ c o n t a c t s ： 向 服 务 器 上 传 手 机 通 讯 录 3 、 g e t _ l i s t a p p ： 向 服 务 器 上 传 已 安 装 应 用 列 表 4 、 b l o c k _ p h o n e ： 关 闭 手 机 屏 幕 5 、 s e n d _ s m s ： 向 指 定 号 码 发 送 特 定 文 本 进 化 版 本 进 化 版 本 A s a c u b 新 版 本 在 2 0 1 5 年 7 月 中 旬 被 发 现 ， 该 版 本 在 界 面 中 使 用 欧 洲 银 行 的 l o g o ， 而 早 期 版 本 则 主 要 使 用 美 国 银 行 的 l o g o 。 C & C 服 务 器 的 命 令 也 有 所 增 加 ： 1 、 g e t _ s m s ： 向 服 务 器 上 传 所 有 短 信 2 、 d e l _ s m s ： 删 除 指 定 的 短 信 3 、 s e t _ t i m e ： 为 C & C 链 接 设 置 新 的 时 间 间 隔 4 、 g e t _ t i m e ： 为 C & C 链 接 上 传 时 间 间 隔 5 、 m u t e _ v o l ： 将 手 机 设 置 成 静 音 6 、 s t a r t _ a l a r m ： 开 启 手 机 模 式 ， 当 手 机 处 于 白 屏 状 态 时 处 理 器 仍 能 继 续 工 作 7 、 s t o p _ a l a r m ： 禁 用 手 机 模 式 8 、 b l o c k _ p h o n e ： 关 闭 手 机 屏 幕 9 、 r e v _ s h e l l ： 允 许 攻 击 者 在 设 备 上 远 程 执 行 命 令 1 0 、 i n t e r c e p t _ s t a r t ： 开 启 短 信 拦 截 模 式 1 1 、 i n t e r c e p t _ s t o p ： 禁 用 短 信 拦 截 模 式
其 中 有 一 个 比 较 特 殊 的 命 令 ： r e v _ s h e l l 。 当 接 收 到 该 命 令 时 ， A s a c u b 会 将 远 程 服 务 器 连 接 到 受 感 染 的 设 备 控 制 台 ， 以 方 便 攻 击 者 在 设 备 上 执 行 命 令 ， 并 查 看 这 些 命 令 的 输 出 。 该 功 能 为 后 门 的 典 型 功 能 ， 在 银 行 恶 意 软 件 中 很 少 见 ， 因 为 后 者 的 主 要 目 的 是 获 利 ， 而 不 是 控 制 设 备 。 2 0 1 5 年 9 月 发 现 的 A s a c u b 的 最 新 版 本 的 功 能 则 更 侧 重 于 窃 取 银 行 信 息 。 之 前 的 版 本 只 是 使 用 银 行 的 l o g o ， 但 是 最 近 的 版 本 中 发 现 了 许 多 使 用 银 行 l o g o 的 钓 鱼 界 面 : 图 一   钓 鱼 界 面 截 图 图 一 界 面 所 对 应 的 代 码 名 为 “ A c t i v i t y V T B 2 4 ” ， 与 俄 罗 斯 一 家 大 型 银 行 名 称 相 似 ， 而 该 界 面 所 对 应 的 文 本 则 指 的 是 乌 克 兰 银 行 P r i v a t 2 4 。 众 所 周 知 ， 9 月 以 后 的 版 本 开 始 出 现 钓 鱼 界 面 ， 但 是 也 只 在 银 行 卡 输 入 界 面 使 用 ， 这 意 味 着 ， 攻 击 者 只 是 攻 击 他 们 所 模 仿 银 行 的 用 户 。 软 件 启 动 后 ， 开 始 窃 取 所 有 往 来 短 信 ， 同 时 也 可 以 执 行 以 下 命 令 ： 1 、 g e t _ h i s t o r y ： 向 服 务 器 上 传 浏 览 器 历 史 记 录 2 、 g e t _ c o n t a c t s ： 向 服 务 器 上 传 手 机 通 讯 录 3 、 g e t _ c c ： 显 示 钓 鱼 界 面 ， 用 于 获 取 银 行 卡 信 息 4 、 g e t _ l i s t a p p ： 向 服 务 器 上 传 已 安 装 应 用 列 表 5 、 c h a n g e _ r e d i r ： 启 用 呼 叫 转 移 到 指 定 号 码 6 、 b l o c k _ p h o n e ： 关 闭 手 机 屏 幕 7 、 s e n d _ u s s d ： 运 行 指 定 的 U S S D 请 求 8 、 u p d a t e ： 下 载 指 定 链 接 的 文 件 并 安 装 9 、 s e n d _ s m s ： 向 指 定 号 码 发 送 特 定 文 本
最 新 版 本 最 新 版 本 在 2 0 1 5 年 末 ， 研 究 人 员 发 现 了 A s a c u b 的 新 版 本 ， 它 可 以 执 行 如 下 新 命 令 ： 1 、 G P S _ t r a c k _ c u r r e n t ： 获 取 设 备 的 坐 标 并 发 送 给 攻 击 者 2 、 c a m e r a _ s h o t ： 使 用 相 机 进 行 截 图 3 、 n e t w o r k _ p r o t o c o l ： 目 前 没 有 发 现 该 与 该 命 令 对 应 的 操 作 ， 但 是 将 来 可 能 会 更 改 恶 意 软 件 与 C & C 服 务 器 交 互 的 协 议 该 版 本 没 有 钓 鱼 界 面 的 相 关 更 新 ， 但 是 代 码 中 仍 然 涉 及 到 了 银 行 。 其 中 ， 它 会 尝 试 关 闭 一 家 乌 克 兰 银 行 的 官 方 软 件 : 图 二   关 闭 官 方 软 件 的 代 码 总 结 总 结 尽 管 我 们 还 没 有 受 到 A s a c u b 攻 击 的 波 及 ， 但 是 该 木 马 对 美 国 银 行 l o g o 的 盗 用 就 是 警 告 信 号 ： A s a c u b 木 马 在 迅 速 发 展 ， 新 的 恶 意 功 能 随 时 可 能 被 激 活 。 这 就 意 味 着 所 有 手 机 用 户 都 可 能 成 为 下 一 个 受 害 者 。 建 议 安 全 厂 商 能 够 针 对 此 恶 意 软 件 给 用 户 提 供 一 个 安 全 的 解 决 方 案 。 * 原 文 地 址 ： s e c u r e l i s t ， v u l _ w i s h 编 译 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理