SpyNote间谍软件利用“新冠肺炎”传播恶意程序 – 作者:暗影安全实验室

PaloaltoNetworks团队最早于2016年发现了一款新的AndroidRAT（远程管理工具）-SpyNote，该间谍软件允许恶意软件所有者获得对Android设备的远程管理控制。

随着COVID-19的传播，人们时刻关注着该病毒的准确信息以及迫切寻求政府提供的有关该病毒物资、工具等方面的帮助。威胁行为者利用围绕该主题的一切可利用信息传播大量恶意程序。

SpyNote间谍木马最早于今年2月份就开始利用“新冠肺炎”传播应用名为“Corona1”的恶意软件。而最近暗影安全实验室再次发现SpyNote在一个仿冒世界卫生组织的网站上分发间谍软件，该网站打着世界卫生组织的名号诱导用户下载自我检测新冠状病毒的程序。

图1-1 分发恶意软件

一、样本信息

MD5：F83D7F4D5A6BFF93F2E39CC0064DEEB8

包名：com.android.tester

应用名：COVID19

图标：

二、技术分析

该应用安装后将会从受害者的设备中删除该应用程序的图标。这是恶意软件开发人员常用的技巧，使用户认为该应用程序可能已被删除，在后台，该恶意软件尚未删除。相反，它开始准备对其进行攻击

该应用程序targetsdk为22，低版本的系统默认全部授权，无需用户主动授权。以下程序获取了用户设备大量敏感权限。

图2-1 应用权限列表

该应用程序通过注册开机启动、电源连接等广播启动主服务来保证主服务的安全运行，且会在服务、广播、活动等组件执行结束时通过判断主服务是否正在运行来决定是否启动主服务。

图2-2 注册广播用于启动主

应用程序启动后在主服务中通过Socket连接服务器进行通信，每次执行完获取用户数据的操作后会将获取的用户数据写入到输出流中传送到服务端。且该应用程序还可通过下发指令远程控制手机端。IP:144.76.30.213，端口：443。

图2-3 与服务器通信

指令列表：

指令	功能
10254	停止录音
10255	获取壁纸信息
10256	开始录音
10257	获取照相机配置信息
10258	启动设置照相机配置服务
10259	停止设置照相机配置服务
10260	设置照相机配置
10261	遍历文件获取文件名、路径、长度等信息
10262	捕获了设备的屏幕活动
10263	捕获了设备的音频
10264	设置参数
10265	获取指定文件路径
10266	获取指定文件内容
10267	读取文件每行内容
10268	对文件进行写操作
10269	获取位置信息
10270	监控位置变化
10271	获取通话记录
10272	获取用户账户信息
10273	获取联系人信息
10274	获取通讯录列表中其它信息如邮件、地址
10275	获取已安装应用信息
10276	启动其它应用
10278	传递配置信息到服务器
10279	拨打指定号码电话
10281	重新连接服务器
10282	停止连接服务器
10283	对指定文件写入指定内容
10284	执行cmd命令
10285	判断指定文件是否存在，不存在就创建
10286	重命名文件
10287	删除文件
10288	执行cmd命令删除文件
10289	设置壁纸
10290	将一个文件内容写入另一文件
10291	开启播放媒体文件
10292	停止播放媒体文件
10293	压缩文件
10295	获取设备详细信息
10296	获取手机、wifi、音频等设置信息
10297	获取外部存储指定文件名称、长度信息
10298	读取外部存储指定文件内容
10299	删除外部存储指定文件
10303	对通话记录数据库做删除操作
10304	对联系人数据库做删除操作
10305	对联系人数据库做插入操作
10306	锁定屏幕重设密码
10307	打开网页
10308	获取已安装应用activity信息
10311	删除振动设置
10312	设置振动模式

（1）该应用程序可在远程执行命令行操作：

图2-4 远程执行命令行

（2）监听用户短信：

图2-5 监听用户短信

（3）获取联系人信息：包括联系人电话、姓名、住址、email等信息。

图2-6 获取用户联系人信息

联系人数据库操作：

图2-7 对联系人数据库执行插入操作

（4）获取用户通讯录信息。

图2-8 获取通讯录信息

（5）监听用户电话状态：

图2-9 监听用户电话

（6）使用麦克风、摄像头麦克风、语音识别、语音通信等设备录音。

图2-10 使用麦克风录音

（7）监听用户位置变化：

图2-11 监听用户位置变化

（8）该应用还具有开启设备管理器、重设锁屏密码功能。

图2-12 重设用户锁屏密码

三、SpyNote平台

经由SpyNote生成的APK都有类似的配置文件，指定了服务端ip、端口、App名称等信息：

图3-1 SpyNote 样本配置

我们也通过V5.0版本的SpyNote平台打包了一个APK应用，通过文件以及代码对比我们发现该应用程序也是通过SpyNote平台打包的间谍软件。由于打包应用的SpyNote平台版本不同，所以结构和代码会有点差异，但他们的代码运行逻辑却相同。

图3-2 程序文件结构对比

图3-3 程序代码结构

SpyNote平台的官网上显示该平台已更新到V6.5版本，且用户需要购买才可以使用。

图3-4 SpyNote官网

（1）SpyNote平台集成了大量监控用户手机设备的功能，其中包括以下功能：

短信管理：可进行SMS短信收发和查看功能

联系人管理：联系人数据库插入、删除操作

通话记录管理：通话记录数据库删除操作

位置监听：GPS定位

文件管理：文件的浏览、传输、删除等操作

查看手机系统信息、更改手机设置。

麦克风监听、屏幕捕获

APP管理

远程执行cmd命令

图3-5 SpyNote控制面板

（2）利用SpyNote平台创建APK应用。创建应用时可设置服务器IP、端口、以及应用图标、包名等信息。将apk文件安装到手机端，便可对手机实施监控。

图3-6 创建被控端应用

（3）以下显示我们通过SpyNote平台打包的应用已与控制端连接成功。

图3-7 服务端与控制端连接成功

（4）SpyNote间谍软件具有强大的命令行执行功能。

图3-8 执行命令行操作

（5）以及管理用户设备文件、应用、查看用户通话记录、联系人列表等功能。

图3-9 文件、应用、通讯录、联系人管理

SpyNote间谍软件具有强大的监控手机设备功能。安装该应用可能会带来个人隐私信息泄露、个人日常行为被监控、手机系统被破坏、个人财产被盗取等危害。

四、扩展分析

通过关联分析在恒安嘉新App全景平台态势平台上，我们发现多款SpyNote平台打包的恶意应用。这些恶意程序都是通过早期SpyNote平台打包的应用。

五、总结

“新型冠状病毒肺炎”的爆发掀起了威胁行为者传播移动恶意程序的热潮。Anubis、Cerberus、Joker等臭名远昭木马利用该热点大量分发恶意程序。“新型冠状病毒肺炎”相关的广告木马、短信蠕虫、勒索病毒也相继出现。

威胁行为者利用“新型冠状病毒肺炎”传播SpyNote间谍软件目的在于窃取用户隐私数据、监控用户行为并达到完全控制受害者手机的目的。SpyNote工具使用门槛极低，经过简单配置即可生成一款间谍软件，不管该间谍软件是针对哪类人群又或者是带有什么样的个人目的、政治目的，用户手机一旦被感染，将完全受他人监控。用户应提高自身网络安全意识，保护设备安全，留意手机上的异常行为和未知软件。

关注”暗影安全实验室”，我们将会持续关注移动安全事件，为用户提供更多移动安全知识。

*本文作者：暗影安全实验室，转载请注明来自FreeBuf.COM

来源：freebuf.com 2020-05-17 09:00:06 by: 暗影安全实验室