Wie der Android-Trojaner Gustuff die Gewinne (Fiat und Krypto) von Ihren Konten abgreift

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

Im Folgenden bezeichnen wir es als nameGenerator(input).
Somit ist der Name der ersten Datei: nameGenerator(„API_SERVER_LIST“), er enthält Werte mit den folgenden Namen:

Modul zur Verarbeitung von Befehlen vom Server

Die Anwendung speichert die Adressen der CnC-Server als Array kodierter Base85 Strings. Die Liste der CnC kann bei Eingang des entsprechenden Befehls geändert werden, in diesem Fall werden die Adressen in der Präferenzdatei gespeichert. Server Als Antwort auf eine Anfrage sendet der Server einen Befehl an die Anwendung. Es ist zu beachten, dass die Befehle und Parameter im JSON-Format vorliegen. Die Anwendung kann folgende Befehle verarbeiten:

forwardStart

Befehlsformat notification:

{
 "results" : "OK",
 "command":{
 "id": ,
 "command":"notification",
 "timestamp":,
 "params":{
 "openApp":,
 "array":[
 {"title":,
 "desc":,
 "app":}
 ]
 },
 },
}

Die Benachrichtigung, die von der zu untersuchenden Datei erstellt wird, sieht identisch aus mit den Benachrichtigungen, die von der im Feld angegebenen Anwendung erstellt werden. App. Wenn der Wert des Feldes openApp — True, wird bei Öffnen der Benachrichtigung die angegebene Anwendung im Feld gestartet. App. Wenn der Wert des Feldes openApp — False, dann:

• wird ein Phishing-Fenster geöffnet, dessen Inhalt aus dem Verzeichnis geladen wird /hgps/
• wird ein Phishing-Fenster geöffnet, dessen Inhalt vom Server geladen wird ?id=&app=
• wird ein Phishing-Fenster geöffnet, das als Google Play-Karte getarnt ist, mit der Möglichkeit, Kartendaten einzugeben.

Das Ergebnis der Ausführung eines jeden Befehls sendet die Anwendung an set_state.php in Form eines JSON-Objekts im folgenden Format:

{
    "command":
    {
        "command":,
        "id":,
        "state":
    }
    "id":
}

ActionsService
Die Liste der Befehle, die die Anwendung verarbeitet, umfasst Aktion. Bei Eingang eines Befehls greift das Modul zur Verarbeitung von Befehlen auf diesen Dienst zurück, um den erweiterten Befehl auszuführen. Der Dienst akzeptiert ein JSON-Objekt als Parameter. Der Dienst kann folgende Befehle ausführen:

1. PARAMS_ACTION Bei Erhalt eines solchen Befehls erhält der Dienst zunächst den Wert des Schlüssels "Type" aus dem JSON-Parameter. Dieser kann folgendes sein:

• serviceInfo Der Unterbefehl erhält den Wert des Schlüssels aus dem JSON-Parameter includeNotImportant. Wenn das Flag auf True steht, wird das Flag FLAG_ISOLATED_PROCESS für den Dienst gesetzt, der Accessibility Service verwendet. So wird der Dienst in einem separaten Prozess gestartet.
• root Erhalten und senden Sie Informationen über das Fenster, das derzeit im Fokus ist. Die Anwendung erhält Informationen über die Klasse AccessibilityNodeInfo.
• admin Die Berechtigungen des Administrators anfordern.
• delay Halten Sie den ActionsService für die Anzahl von Millisekunden an, die im Parameter mit dem Schlüssel „data“ angegeben ist.
• windows Eine Liste der dem Benutzer sichtbaren Fenster senden.
• install Die Anwendung auf ein infiziertes Gerät installieren. Der Paketname des Archivs wird im Schlüssel „fileName“ angegeben. Das Archiv selbst befindet sich im Verzeichnis Downloads.
• global Der Unterbefehl ist dafür gedacht, den Wechsel vom aktuellen Fenster durchzuführen:
  • zum Menü "Schnelleinstellungen"
  • zurück
  • nach Hause
  • zu den Benachrichtigungen
  • zum Fenster der zuletzt geöffneten Anwendungen

• launch Ein Programm starten. Der Name des Programms wird als Parameter mit dem Schlüssel data.
• sounds den Soundmodus auf Stumm ändern.
• unlock Schaltet die Bildschirm- und Tastaturbeleuchtung auf volle Helligkeit. Die Anwendung führt diese Aktion mit WakeLock aus und gibt den Tag [Application lable]:INFO an.
• permissionOverlay Die Funktion ist nicht implementiert (Antwort auf die Ausführung des Befehls — {„message“:„Not support“} oder {„message“:„low sdk“})
• gesture Die Funktion ist nicht implementiert (Antwort auf die Ausführung des Befehls — {„message“:„Not support“} oder {„message“:„Low API“})
• Berechtigungen Dieser Befehl ist erforderlich, um Berechtigungen für die Anwendung anzufordern. Da die Anforderungsfunktion jedoch nicht implementiert ist, ist der Befehl nicht sinnvoll. Die angeforderten Berechtigungen kommen als JSON-Array mit dem Schlüssel „permissions“. Standardliste:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.SEND_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• öffnen Ein Phishingfenster auf dem Bildschirm anzeigen. Je nach dem vom Server empfangenen Parameter kann die Anwendung folgende Phishingfenster anzeigen:
  • Zeigen Sie das Phishingfenster an, dessen Inhalt in einer Datei im Verzeichnis gespeichert ist /hgps/Das Ergebnis der Interaktion des Benutzers mit dem Fenster wird an die Adresse gesendet /records.php
  • Phishing-Fenster anzeigen, dessen Inhalt vorab von der Adresse geladen wird ?id=&app=Das Ergebnis der Interaktion des Benutzers mit dem Fenster wird an die Adresse gesendet /records.php
  • Phishing-Fenster anzeigen, das als Google Play Card getarnt ist.

• interaktiv – Der Befehl dient der Interaktion mit Elementen von Fenstern anderer Anwendungen über den AccessibilityService. Für die Interaktion wurde ein spezieller Dienst implementiert. Die Zielanwendung kann mit den Fenstern interagieren:
  • Aktiv zur Zeit. In diesem Fall enthält der Parameter die ID oder den Text (Bezeichnung) des Objekts, mit dem interagiert werden soll.
  • Für den Benutzer sichtbaren zum Zeitpunkt der Befehlsausführung. Die Anwendung wählt Fenster nach ID aus.

  Nachdem Objekte erhalten wurden AccessibilityNodeInfo für die interessierenden Elemente des Fensters kann die Anwendung je nach Parameter Aktionen ausführen:

  • focus – den Fokus auf das Objekt setzen.
  • click – auf das Objekt klicken.
  • actionId – Aktion nach ID ausführen.
  • setText – den Text des Objekts ändern. Die Änderung des Textes ist auf zwei Arten möglich: entweder durch das Ausführen der Aktion ACTION_SET_TEXT (wenn die Android-Version des infizierten Geräts älter oder gleich ist LOLLIPOP), oder indem man eine Zeichenfolge in die Zwischenablage einfügt und sie im Objekt einfügt (für neuere Versionen). Dieser Befehl kann zur Änderung von Daten in der Bankanwendung verwendet werden.

2. PARAMS_ACTIONS – dasselbe wie PARAMS_ACTION, es kommt jedoch als JSON-Array von Befehlen.

Es scheint, dass viele neugierig darauf sind, wie die Funktion zur Interaktion mit den Elementen eines Fensters einer anderen Anwendung aussieht. So wurde diese Funktionalität in Gustuff umgesetzt:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

Text ersetzen Funktion:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

So kann der Gustuff-Controller bei richtiger Konfiguration Textfelder in einer Banking-App ausfüllen und die erforderlichen Tasten für Transaktionen drücken. Der Trojaner muss sich nicht einmal im App-Login anmelden – es genügt, einen Befehl zum Anzeigen einer PUSH-Benachrichtigung zu senden, gefolgt vom Öffnen der zuvor installierten Banking-App. Der Benutzer wird sich selbst authentifizieren, wonach Gustuff eine automatische Übertragung durchführen kann.

Modul zur Verarbeitung von SMS-Nachrichten

Die App registriert einen Ereignishandler für den Empfang von SMS-Nachrichten auf dem infizierten Gerät. Die untersuchte App kann Befehle vom Betreiber empfangen, die im Textkörper der SMS-Nachricht ankommen. Die Befehle kommen im Format:

7!5=

Die App sucht in allen eingehenden SMS-Nachrichten nach der Zeichenfolge 7!5=, bei der Erkennung der Zeichenfolge – dekodiert die Base64-Zeichenfolge mit einer Verschiebung von 4 und führt den Befehl aus. Die Befehle sind ähnlich wie bei CnC. Das Ergebnis der Ausführung wird an die gleiche Nummer gesendet, von der der Befehl kam. Das Antwortformat:

7*5=

Optional kann die Anwendung alle empfangenen Nachrichten an die Root-Nummer senden. Dazu muss in der preference-Datei die Root-Nummer angegeben und das Umleitungsflag für Nachrichten gesetzt werden. Die SMS-Nachricht wird an die Nummer des Angreifers im Format gesendet:

—

Die Anwendung kann auch optional Nachrichten an CnC senden. Die SMS-Nachricht wird im JSON-Format an den Server gesendet:

{
    "id":,
    "sms":
    {
        "text":,
        "number":,
        "date":
    }
}

Wenn das Flag gesetzt ist nameGenerator(«DEFAULT_APP_SMS») – stoppt die Anwendung die Verarbeitung der SMS-Nachricht und leert die Liste der eingehenden Nachrichten.

Proxy-Modul

In der untersuchten Anwendung gibt es ein Backconnect Proxy-Modul (im Folgenden Proxy-Modul), das eine separate Klasse mit statischen Feldern zur Konfiguration enthält. Die Konfigurationsdaten werden im Sample im Klartext gespeichert:

Alle Aktionen, die vom Proxy-Modul durchgeführt werden, werden in Dateien protokolliert. Dazu erstellt die Anwendung im External Storage ein Verzeichnis mit dem Namen „logs“ (Feld ProxyConfigClass.logsDir in der Konfigurationsklasse), in dem die Protokolldateien gespeichert werden. Das Protokollieren erfolgt in Dateien mit den Namen:

1. main.txt – in dieser Datei wird die Arbeit der Klasse mit dem Namen CommandServer protokolliert. In Zukunft werden wir das Protokollieren der Zeichenfolge str in dieser Datei als mainLog(str) bezeichnen.
2. session-.txt – in dieser Datei werden die Protokolldaten gespeichert, die mit einer bestimmten Proxy-Sitzung verbunden sind. In Zukunft werden wir das Protokollieren der Zeichenfolge str in dieser Datei als sessionLog(str) bezeichnen.
3. server.txt – in dieser Datei werden alle Daten protokolliert, die in die oben beschriebenen Dateien geschrieben werden.

Format der Protokolldaten:

[Thread[], id[]]: log-string

Die während des Betriebs des Proxy-Moduls aufgetretenen Ausnahmen werden ebenfalls in eine Datei protokolliert. Dazu erstellt die Anwendung ein JSON-Objekt im Format:

{
 "uncaughtException":
 "thread":
 "message":
 "trace": //Stack trace info
 [
 {
 "ClassName":
 "FileName":
 "LineNumber":
 "MethodName":
 },
 {
 "ClassName":
 "FileName":
 "LineNumber":
 "MethodName":
 }
 ]
}

Danach wird es in eine Zeichenfolge umgewandelt und protokolliert.

Der Start des Proxy-Moduls erfolgt nach dem Empfang des entsprechenden Befehls. Bei Erhalt des Befehls zum Start des Proxy-Moduls startet die Anwendung den Dienst mit dem Namen MainService, der für die Verwaltung des Proxy-Moduls verantwortlich ist – seine Aktivierung und Deaktivierung.

Die Schritte zum Starten des Dienstes:

1. Startet einen Timer, der einmal pro Minute ausgelöst wird und die Aktivität des Proxy-Moduls überprüft. Wenn das Modul nicht aktiv ist, wird es gestartet.
Ebenfalls beim Auslösen des Ereignisses android.net.conn.CONNECTIVITY_CHANGE wird das Proxy-Modul gestartet.

2. Die Anwendung erstellt einen Wake-Lock mit dem Parameter PARTIAL_WAKE_LOCK und hält ihn fest. So wird verhindert, dass die CPU des Geräts in den Ruhezustand wechselt.

3. Startet die Klasse zur Verarbeitung von Befehlen des Proxy-Moduls, nachdem sie die Zeile mainLog(„start server“) und

Server::start() host[], commandPort[], proxyPort[]

wo proxy_cnc, command_port und proxy_port sind Parameter, die aus der Konfiguration des Proxy-Servers abgerufen wurden.

Die Klasse zur Verarbeitung von Befehlen trägt den Namen CommandConnection. Direkt nach dem Start führt sie die folgenden Aktionen aus:

4. Stellt eine Verbindung zu ProxyConfigClass.host: ProxyConfigClass.commandPort her und sendet dort Daten über das infizierte Gerät im JSON-Format:

{
    "id":,
    "imei":,
    "imsi":,
    "model":,
    "manufacturer":,
    "androidVersion":,
    "country":,
    "partnerId":,
    "packageName":,
    "networkType":,
    "hasGsmSupport":,
    "simReady":,
    "simCountry":,
    "networkOperator":,
    "simOperator":,
    "version":
}

Wo:

• id – Der Identifikator, versucht den Wert mit dem Feld „id“ aus der Shared Preference-Datei mit dem Namen „x“ abzurufen. Wenn dieser Wert nicht abgerufen werden konnte, wird ein neuer generiert. So hat das Proxy-Modul seine eigene Identifikation, die ähnlich wie die Bot-ID generiert wird.
• imei – IMEI des Geräts. Wenn es bei der Abrufung des Wertes zu einem Fehler kommt, wird anstelle dieses Feldes eine Fehlermeldung gespeichert.
• imsi — Internationale mobile Teilnehmeridentität des Geräts. Wenn beim Abrufen des Wertes ein Fehler aufgetreten ist, wird anstelle dieses Feldes eine Fehlermeldung gespeichert.
• model — Der für den Endbenutzer sichtbare Name des Endprodukts.
• manufacturer — Der Hersteller des Produkts/Härteware (Build.MANUFACTURER).
• androidVersion — Zeichenfolge im Format „ (),“
• country — Aktueller Standort des Geräts.
• partnerId – leere Zeichenfolge.
• packageName – Paketname.
• networkType — Art der aktuellen Netzwerkverbindung (Beispiel: „WIFI“, „MOBILE“). Bei einem Fehler wird null zurückgegeben.
• hasGsmSupport – true – wenn das Telefon GSM unterstützt, andernfalls false.
• simReady – Zustand der SIM-Karte.
• simCountry — ISO-Code des Landes (basierend auf dem Anbieter der SIM-Karte).
• networkOperator — Bezeichnung des Anbieters. Wenn beim Abrufen des Wertes ein Fehler aufgetreten ist, wird anstelle dieses Feldes eine Fehlermeldung gespeichert.
• simOperator — Der Dienstanbietername (SPN). Wenn beim Abrufen des Wertes ein Fehler aufgetreten ist, wird anstelle dieses Feldes eine Fehlermeldung gespeichert.
• version — Dieses Feld wird in der Konfigurationsklasse gespeichert, für die untersuchten Versionen des Bots war es gleich „1.6“.

5. Wechselt in den Wartemodus auf Befehle vom Server. Die Befehle vom Server liegen im Format vor:

• 0 offset – Befehl
• 1 offset – sessionId
• 2 offset – Länge
• 4 offset — Daten

Bei Eingang des Befehls protokolliert die Anwendung:
mainLog("Header { sessionId], type[], length[] }")

Die folgenden Befehle vom Server sind möglich:

Die PONG-Nachricht besteht aus 4 Bytes und sieht folgendermaßen aus: 0x04000000.

Beim Empfang des Befehls connectionId (zum Erstellen einer neuen Verbindung) CommandConnection wird eine Instanz der Klasse erstellt ProxyConnection.

• Beim Proxying sind zwei Klassen beteiligt: ProxyConnection und end. Bei der Erstellung der Klasse ProxyConnection erfolgt die Verbindung zur Adresse ProxyConfigClass.host: ProxyConfigClass.proxyPort und Übertragung des JSON-Objekts:

 {
    "id":
}

Als Antwort sendet der Server eine SOCKS5-Nachricht, die die Adresse des entfernten Servers enthält, mit dem eine Verbindung hergestellt werden muss. Die Interaktion mit diesem Server erfolgt über die Klasse end. Die Verbindung kann schematisch wie folgt dargestellt werden:

Netzwerkinteraktionen

Um die Analyse des Datenverkehrs durch Netz-Sniffer zu verhindern, kann die Interaktion zwischen dem CnC-Server und der Anwendung über das SSL-Protokoll geschützt werden. Alle übermittelten Daten, sowohl vom Server als auch zum Server, werden im JSON-Format bereitgestellt. Die Anwendung führt im Verlauf ihrer Arbeit folgende Anfragen aus:

• http:///api/v1/set_state.php — Ergebnis der Befehlsausführung.
• http:///api/v1/get.php — Befehlserhalt.
• http:///api/v1/load_sms.php — Abruf von SMS-Nachrichten vom infizierten Gerät.
• http:///api/v1/load_ab.php — Abruf der Kontaktliste vom infizierten Gerät.
• http:///api/v1/aevents.php – Anfrage erfolgt bei der Aktualisierung der Parameter, die sich in der Preference-Datei befinden.
• http:///api/v1/set_card.php — Abruf von Daten, die über ein Phishing-Fenster erlangt wurden, das sich als Google Play Market tarnt.
• http:///api/v1/logs.php – Abruf der Log-Daten.
• http:///api/v1/records.php – Abruf von Daten, die über Phishing-Fenster erlangt wurden.
• http:///api/v1/set_error.php – Benachrichtigung über einen aufgetretenen Fehler.

Empfehlungen

Um ihre Kunden vor der Bedrohung durch mobile Trojaner zu schützen, müssen Unternehmen umfassende Lösungen einsetzen, die es ermöglichen, bösartige Aktivitäten ohne Installation zusätzlicher Software auf den Benutzergeräten zu verfolgen und zu verhindern.

Zu diesem Zweck sollten die signaturbasierten Methoden zur Erkennung mobiler Trojaner durch Verhaltensanalysetechniken sowohl des Clients als auch der Anwendung verstärkt werden. Der Schutz sollte auch die Funktion zur Identifizierung von Geräten mit Hilfe von Fingerprint-Technologie umfassen, um zu erkennen, wann ein Konto von einem untypischen Gerät verwendet wird und bereits in die Hände eines Betrügers gefallen ist.

Ein grundlegend wichtiger Punkt ist die Möglichkeit einer kanalübergreifenden Analyse, die es Unternehmen ermöglicht, die Risiken zu kontrollieren, die nicht nur auf der Website, sondern auch im mobilen Bereich auftreten, zum Beispiel in mobilen Banking-Anwendungen, bei Kryptowährungstransaktionen und in allen anderen Anwendungen, in denen finanzielle Transaktionen durchgeführt werden.

Sicherheitsregeln für Benutzer:

• Installieren Sie keine Anwendungen für mobile Geräte mit dem Betriebssystem Android aus irgendwelchen Quellen außer Google Play und achten Sie besonders auf die vom Programm angeforderten Berechtigungen;
• Aktualisieren Sie regelmäßig das Betriebssystem Android;
• auf Dateierweiterungen geachtet werden;
• keine verdächtigen Ressourcen besuchen;
• nicht auf Links klicken, die in SMS-Nachrichten erhalten wurden.

Unter Beteiligung Rogachev-Samen, Junior-Spezialist für Malware-Forschung im Labor für Computerkriminalistik Group-IB.

Quelle: habr.com