新型间谍木马来袭 – 作者:暗影安全实验室

背景:近些年,地下黑产组织针对全世界各国大型银行进行持续性的APT攻击,尤其是针对韩国、西班牙、葡萄牙等大型银行,采用仿冒、间谍软件、钓鱼劫持、勒索等技术手段,窃取用户个人信息,非法入侵用户的互联网账户系统。

近期,恒安嘉新暗影安全实验室在日常监测中,发现一批针对韩国银行用户的新型间谍软件。这批木马样本仿冒成“智能快递”、“罗森快递”、“CJ韩国快递”、“现代快递”、“交货查询”、“韩进快递”、“SJEMS”等12种知名快递公司名称,采用加固代码隐藏,免杀,任意更换远程控制地址、任意替换新型木马等手段,配置非常灵活,根据C&C端下发的指令进行远程控制,窃取用户手机号码、通信录、通话录音、短信等个人隐私信息,最终盗取用户互联网账户的资金,其中,“智能快递”间谍木马的安装图标如图1所示。

图1 “스마트택배”(智能快递)图标

一、基本信息

样本名称:스마트택배(智能快递)

样本MD5:d891a72721a8f2b31c5e0759afb0d4a9

样本包名:com.mix.kr

签名信息:CN=AndroidDebug,O=Android,C=US

二、运行原理

该程序是一款通过仿冒成“스마트택배”(智能快递)名称的间谍木马软件,开机时自启动,隐藏安装图标,激活设备管理器,屏蔽拦截短信、屏蔽挂断指定电话、上传通话录音文件、删除通话记录,上传用户手机号和固件信息到指定服务器,根据C&C服务端下发的指令执行远程控制行为:

设置配置文件信息

上传通信录列表

上传应用列表

上传短信列表

发送任意短信

更新间谍软件程序

更新服务器地址

木马运行流程示意图:

图2 木马运行流程示意图

三、代码分析

新型间谍木马采用伪加固将其核心代码隐藏,避开杀软检测,同时,通过C&C服务端任意更新间谍木马变种版本,任意更新服务器地址,主要分为基础功能和远控功能两大部分,所谓基础功能就是样本自身所具有的恶意行为,远控功能就是与C&C服务端交互的恶意行为。

图3 代码框架

通过C&C服务端任意更新间谍木马变种版本,任意更新服务器地址后续说明。

(1)基础功能

开机时自启动,隐藏安装图标,激活设备管理器,屏蔽拦截短信、屏蔽挂断指定电话、上传通话录音文件、删除通话记录。

隐藏安装图标:

图4 隐藏安装图标

激活设备管理器:

图5 激活设备管理器

屏蔽拦截短信:

图6 屏蔽拦截短信

屏蔽挂断指定电话:

图7 屏蔽挂断指定电话

删除通话记录:

图8 删除指定通话记录

后台开启服务将通话录音发送到指定邮箱:

图9 将通话录音发送到指定邮箱

(2)远控功能

上传手机号、固件信息,并请求远控指令,根据C&C服务端下发的指令执行远程控制行为。

上传手机号、固件信息,并请求远控指令:

图10 获取手机号

图11 请求远控指令

根据C&C服务端下发的指令执行远程控制行为:

C&C服务端 指令 指令详解
http://113.***.137.171 /kbs.php sendsms 发送任意短信
issms 设置短信相关配置文件
iscall 设置电话相关配置文件
contact 上传通讯录联系人
apps 上传应用程序列表
changeapp 更新木马
move 更新服务器地址

接收到指令“sendsms”,发送任意短信:

图12 发送短信并反馈

接收到指令“issms/iscall”,设置短信/电话相关的配置参数:

图13 设置短信/电话相关的配置参数

接收到指令“contact”,上传通讯录联系人:

图14 上传通讯录联系人

接收到指令“apps”,上传应用程序列表:

图15 上传应用程序列表

接收到指令“changeapp”,卸载并更新木马版本(指定的仿冒银行木马):

图16 卸载并更新木马版本

涉及韩国的NH智能银行、新韩银行、韩亚银行、友利银行、KB国民银行等5家银行,针对性非常强。

图17 目标银行列表

接收到指令“move”,更新C&C服务器地址:

图18 更新C&C服务器地址

四、溯源分析

从上文技术分析我们得到了C&C服务器地址,远控邮箱账户。

(1)溯源IP地址

从这批木马C&C服务器所在位置的角度,我们发现8个不同IP地址(IP地址去重),其中,中国香港占4个,日本占3个,美国占1个。

样本MD5 服务器地址 IP地理位置
DD0ACE0363BA60A96753ED21D4DDEB07 http://103.***.237.30/kbs.php 中国香港
C72F2B6DC3D8F3BBF506E7CB7F35B79F http://113.***.136.143/kbs.php 中国香港
F36AA75CFE9EEC1D8E755C34AC50A**5 http://113.***.137.171/kbs.php 中国香港
3C326883FEB95ABB049A010EFD738A83 http://113.***.137.236/kbs.php 中国香港
3DA715A5191065D596AEE0AEDF27C7EB http://60.***.97.36/kbs.php 日本东京都
5A678A32CA866F13FF99A0ECB1FB**57 http://122.***.100.128/kbs.php 日本兵库县
97966D65B2976B06CCE09E6**299A713 http://126.***.162.113/kbs.php 日本东京都
DDCB9D034A01B014173BA80DC1ACB5BD http://45.***.80.109/kbs.php 美国加利福尼亚州洛杉矶

其中,103.251.237.30地址反查,我们发现其曾经绑定过的58个域名(二级域名去重),经常用于僵尸网络和垃圾邮件。

IP地址曾经绑定过的部分域名列表如下:

序号 域名
1 111xxx.cn www.111xxx.cn
2 ahzxxx.cn www.ahzxxx.cn
3 aitan***zers.cn mail.aita***zers.cn
4 www.ait***yzers.cn ch***ol.cn
5 www.ch***col.cn aitana***ers.com.cn
6 www.aitan***ers.com.cn www.anv***larm.com.cn
7 bj***f.com.cn www.b***f.com.cn
8 delta-tec***ik.com.cn www.delta-te***ik.com.cn
9 j***x.com.cn www.j***x.com.cn
10 www.t***ts.com.cn won***odels.com.cn

(2)溯源邮箱

从接收/发送邮件账户的角度,发送邮件和接收邮件的邮箱账户是同一个:qq18***[email protected],密码是rk***014。

邮箱中还包含大量PC端木马程序,DNS配置SP,DNS批量域名生成器,跳转劫持代码等,说明该邮箱常用来接收其他木马文件:

图19 邮箱内有大量恶意软件

(3)样本扩展

在恒安嘉新 App全景态势与案件情报溯源挖掘平台上,通过应用名称、包名等特征关联搜索相关样本,发现平台上存在大量新型间谍木马类恶意应用,其中,该类恶意程序代码结构、包名及其类似,极有可能是同一批人开发。

五、总结

新型间谍木马具有代码结构相似,变种快的特点,窃取用户手机号码、通信录、通话录音、短信等个人隐私信息,最终盗取用户互联网账户的资金,危害极大,同时可能是某地下灰黑产组织针对韩国银行持续性攻击,不轻易相信陌生人,不轻易点击陌生人发送的链接,不轻易下载不安全应用。

(1)安全从自身做起,建议用户在下载软件时,到针对的应用商店进行下载正版软件,避免从论坛等下载软件,可以有效的减少该类病毒的侵害;

(2)很多用户受骗正是因为钓鱼短信的发件人显示为10086、95588等正常号码而放松安全警惕导致中招,运营商需要加强对***的监控打击力度,减少遭受***干扰的几率;

(3)各大银行、各支付平台需要加强对各自支付转账渠道的监管,完善对用户资金转移等敏感操作的风控机制,防止被不法分子利用窃取用户网银财产;

(4)警惕各种借贷软件的套路,不要轻易使用借贷类App。

*本文作者:暗影安全实验室,转载请注明来自FreeBuf.COM

来源:freebuf.com 2020-05-27 10:00:36 by: 暗影安全实验室

© 版权声明
THE END
喜欢就支持一下吧
点赞0
分享
评论 抢沙发

请登录后发表评论