新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu

Lookout Threat Lab 的安全研究人员发现了一种新的root恶意软件,该恶意软件分布在 Google Play 和著名的第三方商店,如亚马逊应用商店和三星 Galaxy 商店。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu

我们将恶意软件命名为“AbstractEmu”,因为它使用了代码抽象和反仿真检查,以避免在分析时运行共发现 19 个相关应用程序,其中 7 个包含root功能,其中一个在 Play 上的下载量超过 10,000。为了保护 Android 用户,谷歌在我们通知他们恶意软件后立即删除了该应用程序。

这是一个重大发现,因为在过去五年中,具有 root 权限的广泛分布的恶意软件变得很少见。随着 Android 生态系统的成熟,影响大量设备的漏洞利用越来越少,从而使它们对威胁行为者的用处越来越小。 

虽然很少见,但root恶意软件非常危险。通过使用root过程获得对 Android 操作系统的特权访问,威胁行为者可以默默地授予自己危险的权限或安装其他恶意软件——这些步骤通常需要用户交互。提升的权限还允许恶意软件访问其他应用程序的敏感数据,这在正常情况下是不可能的。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
“Lite Launcher”是应用程序启动器的替代品,是出现在 Google Play 上的 AbstractEmu 应用程序之一。
它有超过 10,000 次下载。

谁是威胁参与者,他们想要什么?

虽然我们不知道究竟是谁在 AbstractEmu 背后,但我们认为威胁参与者是一个资源丰富且有经济动机的团体。他们的代码库和规避技术——例如使用刻录机电子邮件、姓名、电话号码和假名——非常复杂。我们还发现了恶意软件和银行木马之间的相似之处,例如他们的应用程序的无针对性分发和他们寻求的权限。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
AbstractEmu 将自己伪装成许多不同的应用程序:包括实用程序应用程序,例如密码管理器,以及应用程序启动器或数据保护程序等系统工具。
从左到右:反广告浏览器、数据保护程序、Lite Launcher、我的手机、夜灯、所有密码、Phone Plus。

不分青红皂白的瞄准

关于 AbstractEmu 背后的威胁行为者的主要线索之一是基于应用程序的广泛、无针对性的分发。在我们发现的 19 个与恶意软件相关的应用程序中,大多数都伪装成实用应用程序,例如密码或资金管理器,以及文件管理器和应用程序启动器等系统工具。所有这些对用户来说似乎都是实用的。这包括“Lite Launcher”,它在从 Play 下架之前下载量超过 10,000 次。 

AbstractEmu 利用的漏洞类型也指向尽可能多的用户的目标,因为利用了 2019 年和 2020 年非常现代的漏洞。其中一个漏洞利用 CVE-2020-0041,这是一个以前从未被 Android 应用程序在野外利用的漏洞。另一项漏洞利用针对 CVE-2020-0069这是在联发科芯片中发现的漏洞,数十家智能手机制造商使用的芯片已累计销售数百万台设备。作为对威胁参与者技术能力的暗示,他们还修改了 CVE-2019-2215 和 CVE-2020-0041 的公开可用漏洞利用代码,以增加对更多目标的支持。 

AbstractEmu 威胁参与者分发这些应用程序的方式也是不分青红皂白的。除了 Google Play、Amazon Appstore 和 Samsung Galaxy Store,我们还在 Aptoide、APKPure 和其他鲜为人知的应用商店和市场上找到了它们。在促销方面,我们在社交媒体和 Android 相关论坛上发现了广告。虽然大多数是用英语编写的,但我们确实发现了一个用越南语宣传恶意软件的实例。尽管我们的遥测显示美国人民受到的影响最大,但共有 17 个国家/地区的人受到 AbstractEmu 的影响。

与银行木马相似

除了应用程序的无针对性分发之外,通过 root 访问授予的广泛权限与我们之前观察到的其他出于经济动机的威胁一致。这包括银行木马请求的常见权限,使他们能够接收通过 SMS 发送的任何双因素身份验证代码,或在后台运行并发起网络钓鱼攻击。还有一些权限允许与设备进行远程交互,例如捕获屏幕上的内容和访问辅助服务,这使威胁行为者能够与设备上的其他应用程序交互,包括金融应用程序。这两者都类似于 Anatsa 和 Vultur 恶意软件家族请求的权限。

除此之外,Mandrake 是另一个出于经济动机的威胁,它具有广泛的间谍软件功能,类似于在 AbstractEmu 中看到的那些。通过全面了解设备及其活动,攻击者可以针对特定目标定制攻击并增加成功的可能性。

多层恶意流

AbstractEmu 背后的威胁行为者不遗余力地确保他们逃避检测——从最初的感染到感染的第三阶段。每一种技术都不是独一无二的,但当作为活动的一部分部署时,它们表明威胁参与者的资源有多么充足。

AbstractEmu 没有用于高级 APT 式威胁的任何复杂的零点击远程攻击功能,它只需由用户打开应用程序即可激活。由于恶意软件伪装成功能性应用程序,大多数用户可能会在下载后不久与它们进行交互。

初始感染:反仿真和设备检查

除了木马应用程序的合法功能之外,还采取了一系列步骤来确保不会检测到 AbstractEmu,用户打开应用程序后就会立即激活这些步骤。第一步是检查受感染的设备是真实设备还是模拟设备。类似于在开源库EmulatorDetector 中看到的检查,恶意软件将查看设备的系统属性、已安装应用程序和文件系统的列表。

一旦设备通过初始分析,应用程序将开始通过 HTTP 与其命令和控制 (C2) 服务器通信,期望接收一系列 JSON 命令以执行。每个应用程序都包含它支持的硬编码命令。为了决定执行哪个命令,应用程序会向 C2 服务器发送大量数据,包括它支持的命令,以及设备数据,例如设备的制造商、型号、版本和序列号、电话号码和 IP地址。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
为了决定采取什么进一步的行动,AbstractEmu 应用程序向 C2 服务器发送大量数据。

AbstractEmu 的 C2 服务器检查的其他信息包括该应用程序是否具有 root 访问权限、用于安装恶意应用程序的应用程序以及请求的权限和功能是否已被授予。

总的来说,我们发现这些应用程序中嵌入了四个受支持的命令,尽管并非所有应用程序都提供相同的功能。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
我们看到了从 AbstractEmu 的 C2 服务器发送的总共四种不同类型的 JSON 命令,它们在上面列出。

root过程:恶意流的核心

AbstractEmu 感染流程的核心是获得对 Android 设备的 root 访问权限。通过root设备,恶意软件能够以需要用户交互和访问设备上其他应用程序数据的方式静默修改设备。

为确保该过程顺利进行,应用程序嵌入了在root过程中和之后使用的隐藏编码文件——包括针对不同漏洞的漏洞利用二进制文件。默认情况下,这些二进制文件按特定顺序执行,尽管 C2 服务器可以根据设备的配置方式更改该顺序。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
默认情况下,AbstractEmu 恶意软件尝试按照它们在此表中显示的顺序执行这些漏洞。
C2 服务器可以根据设备的配置更改该顺序。 

除了这些二进制文件之外,这些应用程序还包含三个编码的 shell 脚本和两个从 Magisk 复制的编码二进制文件,它们在root过程中和之后使用。Magisk 是一种允许 Android 用户在其设备上获取 root 访问权限的工具。 

其中两个 shell 脚本用于执行漏洞利用二进制文件,获得 root 权限,然后使用提升的权限安装 Magisk 组件以进一步获得 root 权限。新安装的 Magisk 组件用于执行最终的 shell 脚本,该脚本首先将嵌入在二进制文件中的 APK 提取到设备。

然后包管理器用于静默安装新应用程序并授予它许多侵入性权限,例如访问联系人、通话记录、SMS 消息、位置、摄像头和麦克风。此外,该应用程序将修改设置以授予自身风险能力或降低设备的安全性。凭借这些功能,该应用程序可用于进行网络钓鱼攻击,并为攻击者提供非法访问用户帐户所需的所有信息。

新的安卓恶意软件可获取智能手机的Root权限|AbstractEmu
恶意软件会更改设备的设置并授予自身风险权限,这两者都使设备更容易被攻击。

“设置存储”应用程序

静默安装的应用程序伪装成 Android 设备上的“设置存储”。如果用户尝试运行该应用程序,它将退出并打开合法的设置应用程序。该应用程序本身不包含任何恶意功能,这使得它更难被检测到。相反,它完全取决于其 C2 服务器在执行期间提供的文件。

在发现时,AbstractEmu 背后的威胁参与者已经禁用了从 C2 检索此额外负载所需的端点,这使我们无法了解攻击者的最终目标。

无论是否罕见,始终让您的操作系统保持最新状态

虽然我们无法发现 AbstractEmu 的目的,但我们获得了对现代、大规模分布式root恶意软件活动的宝贵见解,随着 Android 平台的成熟,这种活动已变得罕见。 

root Android 或越狱 iOS 设备仍然是完全破坏移动设备的最具侵入性的方式。我们需要牢记——无论您是 IT 专业人士还是消费者——移动设备都是网络犯罪分子利用的完美工具,因为它们具有无数功能并保存着大量敏感数据。

为确保您或您的组织保持安全,我们建议您努力使您的操作系统保持最新。此外,我们建议仅从官方商店下载应用程序,因为从这些商店中删除的恶意软件可能仍可在其他地方使用。无论您使用哪个商店,在安装未知应用程序时始终要小心。

当然,您还应该拥有专用的移动安全软件来抵御所有移动威胁,包括网络钓鱼、操作系统和应用程序漏洞、恶意软件和网络威胁。

侵害指标(IOC)

AbstractEmu APKs

在此处下载 CSV 文件)

App 名称app包名称SHA-1
All Passwordscom.mobilesoft.security.password311e4c2b1d4b90664c56d8caa0d32035dde68cc6
All Passwordscom.mobilesoft.security.password8716359ca3b4b7ed707e94b280e6e1e4c106035a
All Passwordscom.mobilesoft.security.password0dddea2fc5d4d9e819d3f45b2673347a927e7cef
All Passwordscom.mobilesoft.security.password60b9655d98d9dd697184e9b7d4026ef9ebc0bf05
All Passwordscom.mobilesoft.security.passwordb3320a3b34fea23f7d402dc451667fb66214fb9f
Anti-ads Browsercom.zooitlab.antiadsbrowser7e4c93c228d63f175b8b7232ab826b97dfbbd6b5
Anti-ads Browsercom.zooitlab.antiadsbrowser7e263ba23e997ce5f4420f1e7de87305dc5eca6d
Anti-ads Browsercom.zooitlab.antiadsbrowser84bef7fba1562df4aefcd552fd2b53b47c544427
Anti-ads Browsercom.zooitlab.antiadsbrowser844e1de8d50cce29285d7a661141f8d93368702b
Anti-ads Browsercom.zooitlab.antiadsbrowser935c7ee3dd5a0927352fde3cb91a2f1bf69719e3
Anti-ads Browsercom.zooitlab.antiadsbrowser9caee5c9078cbcdcc2f5dcceb3cc60f8f57b94db
Data Savercom.smarttool.backup.smscontacts78820fdf4d81ecd2ac869be50211446257e17b66
Lite Launchercom.st.launcher.lite663f9102ce0e7b6d041efc9010a3afa70d8c1aaa
Lite Launchercom.st.launcher.lite99b7edc2af4e1c8dae3ee6f505ee771218e638fc
Lite Launchercom.st.launcher.lite96a207e41bdaac5fd5e74298a357f33fe343d93d
Lite Launchercom.st.launcher.litec7d5b2cac0c9f65d40a7f8ed3f12b891fe21c5ed
Lite Launchercom.st.launcher.lite0afa18ff39419db788d0d6290f490e66513cf139
Lite Launchercom.st.launcher.lited9eae350eb07f7f43e69f3c6c6dddc5d952e9de8
Lite Launchercom.st.launcher.lite2e074fa0c6de7092181c7b9284aa92c8c732d32a
Lite Launchercom.st.launcher.lite72b127983d70f79e366a2a1bc0b2d95af9e58d3f
Lite Launchercom.st.launcher.lite3e3eb8d0dfc57374e689fa7d24a0490be0aab3d1
My Phonecom.dentonix.myphone43a910c44909583f0c0d690f3a24cba302e03432
Night Lightcom.nightlight.app8108bcda08173ff6ee82a7b1ea1cd781364493d8
Night Lightcom.nightlight.app50c98698c1af133a49eb7b2482246519913051ba
Night Lightcom.nightlight.app44f705ac7f360671ba80232420dac81299c00394
Night Lightcom.nightlight.appe8e0905f98782027800e6ead9c0c6130d8822dac
Phone Pluscom.phoneplusapp0ec2af45649b49a1bb807ae11d1db4b551a93d82

文件哈希 -Exploit

在此处下载 CSV 文件)

SHA-1Exploit
97f1b024317e6055817fec18e6435838ddda70cbiovyroot 32bit (CVE-2015-1805)
1eb7195b150b04e8629a2798654f2f3bdfb93309iovyroot 32bit (CVE-2015-1805)
a7d7d1e9fc0eabb575f6fd704c1e183e3268c7f8iovyroot 32bit (CVE-2015-1805)
1bb0336f37efcc78334dac5544d20839445c524biovyroot 64bit (CVE-2015-1805)
aa1aa6cfbe8d6ea5e63ea8c2ed8fdbe917bab5c7iovyroot 64bit (CVE-2015-1805)
5eacf19bec89625fb6d2ceb1759a82bd36a06b1aiovyroot 64bit (CVE-2015-1805)
41bb8825197878154c885ac8360edecbd6f9962ePingPongRoot (CVE-2015-3636)
3f2fd895b16a82916c7632128d469db12f73b8a2PingPongRoot (CVE-2015-3636)
a5a844a6fa0e5fcedbe98220caedef8ffc5dab07PingPongRoot (CVE-2015-3636)
afd49c170fe2bfa9fb1c99cf63e5c15861472e13Qu1ckr00t (CVE-2019-2215)
f60c4fc3c6f07b4810aae0c7c6ad17bbea8cccadQu1ckr00t (CVE-2019-2215)
4ee775e43c200c87da05086607e64576daa0ae1aQu1ckr00t (CVE-2019-2215)
fb96f4bfcc758baf270081effcb6640fb680f602CVE-2020-0041
9c3b3282ac4a19fa7ff51cdc03a18c3499f6ce67CVE-2020-0041
3dbd3d933968b7626f2f8979a48807c75d370521CVE-2020-0041
5e6b96ebc741ed41952c4c9e202d31951fe64240CVE-2020-0069
c389e57890c9486ec532e0b295b4e0e52ac68677CVE-2020-0069
fd965fb57da2ba6722e6ddce9c8be668bd14a903CVE-2020-0069

文件哈希 – root工具

在此处下载 CSV 文件)

SHA-1名字
e5685281501b5376fbaf7be5a9143e56c3069390magiskinit binary
9d1c997b9e59c71d0f481f03f3f1cd23cc387e48magiskinit binary
bbaa0f0de247775db6fec005ce7b67ccff768c15magiskinit binary
c930202c28dcf8efca7dc8b9fd37af3c7c2e3f90magiskinit binary
fa3a330b19d6a8dd36df1f5136a7acf276aa3e8amagiskinit binary
ca69bfd4619aa37b67fadffe05024dffda345795“run” shell script
6ed71d247520745801e4c59158641f784ca4bf2d“root” shell script
4cd5b1fe064223a913977e09c71f645b57edc1bafinal post-root shell script

网络 IOC

在此处下载 CSV 文件)

域名
jobs[.]illaewinstralinc[.]com
outline[.]abunddhighett[.]com
tags[.]illaryboucnc[.]com
cloud[.]nathompsstra[.]com
store[.]dianmpsoathom[.]com
fluency[.]ryboucoathom[.]com
csa[.]naaronegya[.]com
tips[.]ghetaldhighe[.]com
color[.]joarteauxelb[.]com

from

Leave a Reply

您的电子邮箱地址不会被公开。 必填项已用*标注