伴隨著手機(jī)的全面普及和移動(dòng)互聯(lián)網(wǎng)的發(fā)展，以移動(dòng)終端為平臺(tái)的攻防對(duì)抗也愈演愈烈。針對(duì)日益升級(jí)的惡意代碼檢測(cè)技術(shù)，惡意攻擊者的反查殺手段相應(yīng)也在不斷變化應(yīng)對(duì)。早在2015年，安天移動(dòng)安全就發(fā)現(xiàn)一例利用C#編寫以逃避查殺的惡意代碼，并對(duì)其進(jìn)行了技術(shù)分析。

　　近日，安天移動(dòng)安全聯(lián)合獵豹移動(dòng)安全實(shí)驗(yàn)室又捕獲一例類似的病毒，該病毒使用MonoDroid框架進(jìn)行開發(fā)（MoniDroid是以C#語(yǔ)言和部分.Net基類庫(kù)為核心，使用mono虛擬機(jī)為Android平臺(tái)開發(fā)應(yīng)用的代碼框架），MonoDroid框架開發(fā)的特點(diǎn)是開發(fā)者編寫的邏輯代碼都會(huì)最終編譯在dll文件中，而不是常規(guī)的dex文件中，因而常規(guī)的反病毒檢測(cè)手段對(duì)這類應(yīng)用一般都會(huì)失效。此外，該病毒使用了知名應(yīng)用Telegram的Bot進(jìn)行通信，相較于傳統(tǒng)的C&C域名通信具有極強(qiáng)的隱蔽性。安天移動(dòng)安全團(tuán)隊(duì)聯(lián)合獵豹移動(dòng)安全實(shí)驗(yàn)室對(duì)其進(jìn)行了深入分析并發(fā)布技術(shù)報(bào)告，全文如下。

一、樣本信息

二、靜態(tài)分析

　　首先從AM文件中，可以看到該病毒申請(qǐng)了一系列與竊密行為相關(guān)的權(quán)限：

　　此外，在AM文件中還看到其注冊(cè)了各種receiver用來(lái)監(jiān)聽系統(tǒng)消息。

　　深入查看一個(gè)用來(lái)接收當(dāng)有電話打入時(shí)的receiver，在該類中我們并未發(fā)現(xiàn)一些實(shí)際功能代碼。在onReceiver函數(shù)中，其直接將Context和Intent轉(zhuǎn)交給了一個(gè)native方法n_onReceive，然而尷尬的是在這個(gè)類中，我們并沒有看到有l(wèi)oadLibrary的so文件，而這其實(shí)利用的是Mono框架實(shí)現(xiàn)的。

　　在dex文件中其他的幾個(gè)類也都存在類似的情況：

　　MainActivity也是如此：

　　從以上靜態(tài)分析中，可以了解到該病毒dex文件中基本沒有實(shí)質(zhì)性的代碼，這里的原因主要來(lái)源于MonoDroid框架允許開發(fā)者在.Net平臺(tái)使用C#進(jìn)行開發(fā)，而這意味著我們基本不可能在dex文件中有所得。

三、惡意行為分析

　　該病毒的核心惡意模塊為google.tools.dll文件，通過(guò)對(duì)該文件進(jìn)行反編譯后獲得該病毒的核心惡意行為。該病毒的整體攻擊流程如下圖所示：

Step1：自我隱藏并初始化Telegram Bot

　　當(dāng)用戶安裝應(yīng)用后，該病毒首先通過(guò)MainActivity的onResume()方法，彈出虛假提示框告知用戶該程序無(wú)法運(yùn)行并自動(dòng)卸載，卸載完成后自動(dòng)隱藏圖標(biāo)，為后續(xù)的惡意行為不被發(fā)現(xiàn)做好鋪墊。而這也是當(dāng)前常見的惡意代碼自我隱藏的主要方式。 隱藏完畢后，該病毒啟動(dòng)下述服務(wù)，首先進(jìn)行了語(yǔ)言識(shí)別，針對(duì)非英文語(yǔ)言環(huán)境會(huì)默認(rèn)顯示波斯語(yǔ)。

　　mainservice中包含部分組件設(shè)置、綁定以及Telegram Bot API（后文簡(jiǎn)稱TBA）模塊的初始化相關(guān)的行為：

　　值得一提的是，該病毒設(shè)置了定時(shí)器對(duì)相關(guān)核心惡意服務(wù)是否存活進(jìn)行監(jiān)控，如果掛掉了，就重啟之。

　　此外，該病毒還另外注冊(cè)了兩個(gè)Telegram的消息回調(diào)函數(shù)。在這里再次暴露了其通過(guò)利用知名應(yīng)用Telegram提供的框架實(shí)現(xiàn)某些重要功能的意圖：

Step2：遠(yuǎn)程控制設(shè)備

　　在此之前我們也曾發(fā)現(xiàn)過(guò)一些使用TBA進(jìn)行通信的樣本，本次發(fā)掘的樣本基本采用純TBA進(jìn)行通信，該病毒的遠(yuǎn)控的行為設(shè)計(jì)的十分完備，關(guān)鍵操作（文件增刪、關(guān)鍵服務(wù)的啟閉、關(guān)機(jī)重啟被控端、卸載自身等）都需要主控端二次確認(rèn)操作，分發(fā)起操作和確定操作兩步。在文件管理功能方面基本上做到了PC端的遠(yuǎn)控的水平，集合了文件預(yù)覽、上傳、下載、移動(dòng)、重命名等諸多功能。對(duì)于被控端的短信，來(lái)電等內(nèi)容，在主控端可以做到“消息實(shí)時(shí)推送“級(jí)別的接收響應(yīng)，另外這些功能都可以通過(guò)主控端隨時(shí)進(jìn)行開閉操作。同時(shí)主控端可以控制被控端設(shè)備的關(guān)機(jī)、重啟（該功能需要被控端是已經(jīng)被root的設(shè)備，該病毒自身不擁有提權(quán)功能），主控端可以隨時(shí)發(fā)起被控端卸載該病毒、實(shí)時(shí)開啟攝像頭拍照、實(shí)時(shí)屏幕截圖（需root）、獲取實(shí)時(shí)地理位置信息。

　　總的來(lái)說(shuō)這款病毒在軟控功能上設(shè)計(jì)的十分完善，主控端和被控端的可以進(jìn)行靈活的交互，這點(diǎn)大大區(qū)別于其他普通的Android病毒，這在一定程度上得益于TBA提供的各種完善的網(wǎng)絡(luò)傳輸方法。

　　android.os.CTRLCB類的CTRLMESS()方法中包含了所有控制指令，整理如下。基本上所有上述指令中具體相關(guān)功能都在android.os.DoWork中有所實(shí)現(xiàn)。

Step3：Root模塊檢測(cè)

　　由于遠(yuǎn)控行為中包括的遠(yuǎn)程開機(jī)、重啟、屏幕截圖等功能的實(shí)現(xiàn)需要設(shè)備的Root權(quán)限，因此在相關(guān)功能執(zhí)行前，該病毒會(huì)先進(jìn)行Root模塊的檢測(cè)，確認(rèn)設(shè)備是否已經(jīng)Root。如果已Root，則通過(guò)申請(qǐng)Root權(quán)限進(jìn)行相關(guān)惡意行為的實(shí)施：

Step4：設(shè)置定時(shí)操作

　　該病毒還特別創(chuàng)建了定時(shí)操作線程，按照規(guī)定的時(shí)間間隔進(jìn)行惡意行為的執(zhí)行，定時(shí)操作分別為：每小時(shí)執(zhí)行對(duì)所竊取的隱私信息存放的緩存空間的釋放工作；每五秒執(zhí)行一次，檢查采集地理位置的Service是否還在工作：

　　而上述定時(shí)執(zhí)行的線程還負(fù)責(zé)對(duì)獲取到的隱私信息的定時(shí)上傳：

Step5：監(jiān)控亮屏行為激活守護(hù)主惡意服務(wù)

　　亮屏動(dòng)作的捕獲主要是為了實(shí)現(xiàn)對(duì)主惡意服務(wù)mainservice的存活守護(hù)，結(jié)合上述的定時(shí)執(zhí)行線程以及定時(shí)服務(wù)探活和激活的邏輯，都足以看出該病毒開發(fā)者對(duì)保護(hù)自我服務(wù)的“用心”：

Step6：其他隱私信息竊取

　　（1）竊取手機(jī)圖片

　　通過(guò)onStartComand方法，啟動(dòng)一個(gè)服務(wù)去定時(shí)獲取手機(jī)存儲(chǔ)中的所有圖片類型的文件：

　　該病毒專門對(duì)此服務(wù)設(shè)置了定時(shí)器去進(jìn)行“服務(wù)守護(hù)”，如果服務(wù)掛掉，重啟之。

　　**（2）監(jiān)聽短信模塊 **

　　從+98編碼可以看出，該病毒的活動(dòng)范圍為某中東地區(qū)。此外，該病毒還會(huì)監(jiān)聽短信發(fā)送行為：

　　**（3）竊取通話錄音記錄 **

　　**（4）利用相機(jī)拍照 **

　　**（5）獲取通訊錄 **

　　**（6）竊取來(lái)電記錄 **

　　監(jiān)視網(wǎng)絡(luò)變化，上傳通話記錄，守護(hù)惡意服務(wù)：

　　**（7）獲取地理位置 **

四、事件分析

　　從我們捕獲到的樣本上來(lái)看，該病毒基本上都是偽造的工具類應(yīng)用，包名google.tools、System.OS也非常普遍，我們很難從這些地方發(fā)掘出可能的攻擊對(duì)象和目標(biāo)群體屬性。 但是根據(jù)在應(yīng)用中出現(xiàn)的波斯語(yǔ)設(shè)置以及在短信監(jiān)聽中出現(xiàn)的+98國(guó)際區(qū)號(hào)的線索，我們推測(cè)出，該病毒的活躍地區(qū)應(yīng)該是某中東國(guó)家。此外，在分析的過(guò)程中我們發(fā)現(xiàn)了一個(gè)疑似主控端Telegram的賬號(hào)主頁(yè)：https://telegram.me/Qhack。該主頁(yè)賬號(hào)指向的是Telegram的某位用戶賬號(hào)“Qhack”。我們?cè)赥elegram上搜索這個(gè)用戶，結(jié)果如下：

　　從第二張圖片中，我們可以發(fā)現(xiàn)這個(gè)賬號(hào)在1小時(shí)前還在線，但是個(gè)人信息中并沒有什么內(nèi)容，因此推測(cè)這可能只是一個(gè)用來(lái)作為主控端的僵尸賬號(hào)。 通過(guò)樣本關(guān)聯(lián)，我們?cè)谶@批樣本的其中一個(gè)簽名下關(guān)聯(lián)到一種不同的樣本，但是都是使用MonoDroid框架編寫，類名、方法名命名極為相似，都有偽裝卸載后臺(tái)隱藏圖標(biāo)啟動(dòng)惡意服務(wù)的行為，但是編寫較為粗糙，雖然也進(jìn)行了部分隱私信息的竊取，但并未如前面所分析的使用Telegram進(jìn)行通信，而只是簡(jiǎn)單的使用http的方式進(jìn)行通信，通信的IP為148.251.203.5、148.251.32.113，其中一個(gè)樣本名為“電報(bào)技巧”（Telegram的譯名就叫“電報(bào)”），同樣也是活躍在阿拉伯語(yǔ)的使用地區(qū)，推測(cè)這類樣本可能是早期的產(chǎn)物。

　　一代樣本：

　　二代樣本：

　　從技術(shù)手法上來(lái)看，使用C#開發(fā)Android應(yīng)用不多見，推測(cè)攻擊者可能是精于Windows開發(fā)的技術(shù)人員，當(dāng)然也不排除是故意為了混淆視聽或是規(guī)避殺軟檢測(cè)而為之。從代碼結(jié)構(gòu)上來(lái)看，其模塊劃分比較明確，組織結(jié)構(gòu)安排的也較為合理，同時(shí)其通信過(guò)程完全使用TBA，與TBA配合的遠(yuǎn)控行為邏輯和功能設(shè)計(jì)也頗有特色，從這些角度看來(lái)該攻擊組織具備相當(dāng)不錯(cuò)的技術(shù)水平。

五、總結(jié)

　　該病毒采用C#編寫，通過(guò)將邏輯代碼編譯在dll文件中而不是常規(guī)的dex文件中來(lái)規(guī)避常規(guī)的惡意代碼檢測(cè)機(jī)制。此外，該病毒使用了知名應(yīng)用Telegram的Bot進(jìn)行通信，進(jìn)一步增強(qiáng)了其隱蔽性。這說(shuō)明惡意開發(fā)者有一定的反查殺意識(shí)和能力。在此基礎(chǔ)上，該病毒建立起了一套完整的遠(yuǎn)程控制體系，涵蓋了各種遠(yuǎn)程控制惡意行為，包括對(duì)各種設(shè)備硬件信息采集、文件管理（文件和文件夾預(yù)覽、移動(dòng)、刪除、重命名、上傳、下載）、短信實(shí)時(shí)監(jiān)控、通話記錄實(shí)時(shí)監(jiān)控，以及截屏、通話錄音、圖片、賬戶、和地理位置實(shí)時(shí)獲取、遠(yuǎn)控?cái)z像頭拍照等等，極大程度上侵犯了用戶的個(gè)人隱私信息安全，具有非常強(qiáng)的危害性。

　　對(duì)此，安天移動(dòng)安全聯(lián)合獵豹移動(dòng)安全實(shí)驗(yàn)室已實(shí)現(xiàn)對(duì)該病毒的檢測(cè)查殺，建議用戶安裝獵豹安全大師等集成安天移動(dòng)反病毒引擎的安全產(chǎn)品，定期進(jìn)行病毒檢測(cè)，保護(hù)個(gè)人信息安全。

原文出處：　http://blog.avlsec.com/2017/12/5020/tba/

總結(jié)

以上是生活随笔為你收集整理的移动端C#病毒“东山再起”，利用知名应用通信实现远控隐私窃取的全部?jī)?nèi)容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網(wǎng)站內(nèi)容還不錯(cuò)，歡迎將生活随笔推薦給好友。