- Регистрация
- 27 Июн 2016
- Сообщения
- 107
- Реакции
- 4
- Баллы
- 0
Привет, хабр. Если вы состоите в более‑менее крупных ТГ сообществах, то наверняка замечали, как время от времени в чатах мелькают боты с предложением установить сомнительный APK. Обычно их мгновенно банит антиспам или админ, и на этом всё заканчивается. Правда, пока сообщение ещё висит, взгляд успевает за него зацепиться, и в голове проскакивает «это очевидно скам, но как оно работает?». У меня эта мысль проскочила в дождливый вечер прошлой пятницы, и вот, неделю спустя, я всё ещё смотрю на четыре домена, куда уходят перехваченные банковские коды, и ожидаю хоть каких‑то действий от уполномоченных компаний, которые были уведомлены об атаке почти неделю назад.
В этой статье я хочу пробежаться по инциденту: как вирус распространяется, что у него под капотом, и как различные компании и организации реагируют на сообщения о том, что их инфраструктура используется для взлома.
Часть 1: Механизм работы
Началась атака вечером прошлой пятницы — 22-го августа. Тогда, практически одномоментно, в кучу бесед стали сыпаться сообщения одинаковой формы, предлагающие установить бесплатный супер VPN
Качаем его, запускаем jadx, иии... Видим, что это лишь первый слой, в котором куча мусорных классов чтобы обойти антивирус, packageInstaller для настоящего вируса, а также обрывки base64, которые разбросаны по всему проекту
А также обнаруживаем класс, который поднимает VPN туннель, заворачивает туда соединения определенных приложений, и ставит будильник на ~4 минуты, после чего отключается
Декодируем Base64, и получаем следующие значения:
То есть троян отключает сеть всем антивирусам на устройстве, заворачивая их трафик внутрь туннеля, который ведет в никуда.
Помимо прочего, в коде и ресурсах можно найти обрывки html, и одну большую WebView. Разобрав, получаем ряд экранов:
Декодированные HTML
Из них следует, что приложение «обновляется», просит дать ему доступ к специальным возможностям, затем говорит «Приложение несовместимо с устройством», и якобы удаляется с устройства.
Осталось только понять, что именно оно устанавливает. Натравливаем LLM, чтобы она расковыряла обфусцированные ресурсы, и она возвращается с таким скриптом:
Отсюда понимаем, ресурсы в assets зашифрованы AES-256 и носят безобидные имена вроде.db,.idx,.cache,.bin, а ключи лежат в.dex файлах, и, по классике, в base64. Открываем config.json, и находим ссылку
Это и есть основной payload трояна. Можно заметить, что у файла расширение.bin, чтобы вызвать меньше подозрения у компании‑владельца бакета. По‑сути это просто наивно переименованный.apk. В дальнейших вариациях вирус начнет лучше мимикрировать — под.mp4 файл с реальными байтами mp4-бокса в начале файла.
Приводим этот файл к.apk формату, запускаем jadx, иии... Снова куча обфусцированного кода. Однако злоумышленник допустил ошибку, и зачем‑то зашил дебажную сборку в ассеты самого первого приложения, и благодаря этому у нас появилась возможность взглянуть на кишки вируса:
Из этого мы можем узнать список возможностей:
Кража SMS и звонков банка
Слежка за экраном и вводом
Прослушка и съёмка
Чтение устройства
Уведомления
Скрытность и удержание
Общается вирус по сокету через свой бинарный протокол, и по возможности может загрузить для себя дополнительные модули:
Итак, имея всю эту информацию, осталась последняя часть загадки: куда стекаются украденные данные?
Часть 2: Сетевая инфраструктура
Рецепт тот же — берем LLM, даем вилку, и просим почистить обфусцированные исходники и зашифрованные ассеты. На выходе получаем такой скрипт:
Что ведет нас к очередному конфигу с адресами злоумышленника
Отсюда мы получаем эндпоинт
И список доменов
Дергаем whois на каждый из доменов, и получаем
Затем дергаем dig +short A, и получаем адрес VPS, куда утекают данные.
Итого, в атаке задействованы 3 независимых звена:
Часть 3: Обращения и реакции
Я попытался связаться со всеми тремя звеньями, чтобы остановить атаку. У американских и европейских компаний, чьи хранилища и сервера были задействованы, в среднем занимало несколько часов на расследование, обнуление роутингов и удаление аккаунтов.
В отдельных случаях от письма до удаления проходили буквально минуты:
Однако злоумышленник поднимал новые хранилища и VPS за считанные часы, и по‑сути все это превратилось в кошки‑мышки: делается новая сборка смотрящая на новую инфраструктуру, запускается очередная рассылка ботами, атака продолжается.
За это время я разобрал уже 4 разных apk, у которых одна и та же подпись, и которые смотрят на одни и те же домены. И эту атаку не остановить, пока домены, принадлежащие reg.ru активны. Инфраструктура просто пересобирается, а данные новых и ранее зараженных пользователей продолжают утекать. Даже команда телеги, известная свой медлительностью, успела снести канал за несколько дней.
Прошла почти неделя с тех пор, как были отправлены письма в abuse@reg.ru, response@f6.ru, cert@kaspersky.com и incident@cert.gov.ru. Но ответ пришел только от reg.ru:
Никто, конечно же, ничего в итоге не сделал.
И сюда напрашивается довольно закономерное заключение: европейским и американским компаниям есть дело до утекающих данных россиян, а российским компаниям — нет.
［ТГК автора］
Источник: habr.com
В этой статье я хочу пробежаться по инциденту: как вирус распространяется, что у него под капотом, и как различные компании и организации реагируют на сообщения о том, что их инфраструктура используется для взлома.
Часть 1: Механизм работы
Началась атака вечером прошлой пятницы — 22-го августа. Тогда, практически одномоментно, в кучу бесед стали сыпаться сообщения одинаковой формы, предлагающие установить бесплатный супер VPN
Качаем его, запускаем jadx, иии... Видим, что это лишь первый слой, в котором куча мусорных классов чтобы обойти антивирус, packageInstaller для настоящего вируса, а также обрывки base64, которые разбросаны по всему проекту
А также обнаруживаем класс, который поднимает VPN туннель, заворачивает туда соединения определенных приложений, и ставит будильник на ~4 минуты, после чего отключается
Декодируем Base64, и получаем следующие значения:
То есть троян отключает сеть всем антивирусам на устройстве, заворачивая их трафик внутрь туннеля, который ведет в никуда.
Помимо прочего, в коде и ресурсах можно найти обрывки html, и одну большую WebView. Разобрав, получаем ряд экранов:
Декодированные HTML
Из них следует, что приложение «обновляется», просит дать ему доступ к специальным возможностям, затем говорит «Приложение несовместимо с устройством», и якобы удаляется с устройства.
Осталось только понять, что именно оно устанавливает. Натравливаем LLM, чтобы она расковыряла обфусцированные ресурсы, и она возвращается с таким скриптом:
Отсюда понимаем, ресурсы в assets зашифрованы AES-256 и носят безобидные имена вроде.db,.idx,.cache,.bin, а ключи лежат в.dex файлах, и, по классике, в base64. Открываем config.json, и находим ссылку
Это и есть основной payload трояна. Можно заметить, что у файла расширение.bin, чтобы вызвать меньше подозрения у компании‑владельца бакета. По‑сути это просто наивно переименованный.apk. В дальнейших вариациях вирус начнет лучше мимикрировать — под.mp4 файл с реальными байтами mp4-бокса в начале файла.
Приводим этот файл к.apk формату, запускаем jadx, иии... Снова куча обфусцированного кода. Однако злоумышленник допустил ошибку, и зачем‑то зашил дебажную сборку в ассеты самого первого приложения, и благодаря этому у нас появилась возможность взглянуть на кишки вируса:
Из этого мы можем узнать список возможностей:
Кража SMS и звонков банка
- становится приложением по умолчанию для SMS (DefaultSmsActivity), читает и отправляет сообщения незаметно (HeadlessSmsSendService, SmsReceiver, MmsReceiver)
- команды MSG_SMS_*: список переписок, чтение, отправка, массовая рассылка
- перехват одноразовых кодов из банковских SMS
Слежка за экраном и вводом
- трансляция экрана в реальном времени: через MediaProjection и через спецвозможности (MSG_VNC_*, MediaProjectionService)
- удалённое управление вводом (MSG_VNC_INPUT)
- кейлоггер (KeylogService, MSG_KEYLOG_EVENT)
- перехват PIN и графического ключа (MSG_SET_PRIORITY_PIN)
Прослушка и съёмка
- микрофон (MSG_MIC_*)
- камера (MSG_CAMERA_*)
Чтение устройства
- контакты (MSG_CONTACTS_*)
- файлы: список, скачивание, удаление, превью (MSG_FILE_*)
- список и запуск приложений, удаление (MSG_APP_*)
- сведения об устройстве (DeviceInfo)
Уведомления
- чтение всех уведомлений (NotificationCaptureService)
- фейковые уведомления и пуш‑события (MSG_FAKE_NOTIFICATION, MSG_PUSH_EVENT)
Скрытность и удержание
- прячется из меню приложений, скрытный режим (MSG_STEALTH_MODE_*)
- сопротивление удалению (anti_uninstall)
- сам выдаёт себе разрешения через спецвозможности (AutoPermissionService)
- управление экраном: разблокировка, сон, пробуждение (MSG_SCREEN_UNLOCK/SLEEP/WAKE), чтобы работать, пока жертва не видит
Общается вирус по сокету через свой бинарный протокол, и по возможности может загрузить для себя дополнительные модули:
Итак, имея всю эту информацию, осталась последняя часть загадки: куда стекаются украденные данные?
Часть 2: Сетевая инфраструктура
Рецепт тот же — берем LLM, даем вилку, и просим почистить обфусцированные исходники и зашифрованные ассеты. На выходе получаем такой скрипт:
Что ведет нас к очередному конфигу с адресами злоумышленника
Отсюда мы получаем эндпоинт
И список доменов
Дергаем whois на каждый из доменов, и получаем
Затем дергаем dig +short A, и получаем адрес VPS, куда утекают данные.
Итого, в атаке задействованы 3 независимых звена:
- s3 с основным вирусом
- домены, куда отправляются запросы
- VPS
Часть 3: Обращения и реакции
Я попытался связаться со всеми тремя звеньями, чтобы остановить атаку. У американских и европейских компаний, чьи хранилища и сервера были задействованы, в среднем занимало несколько часов на расследование, обнуление роутингов и удаление аккаунтов.
В отдельных случаях от письма до удаления проходили буквально минуты:
Однако злоумышленник поднимал новые хранилища и VPS за считанные часы, и по‑сути все это превратилось в кошки‑мышки: делается новая сборка смотрящая на новую инфраструктуру, запускается очередная рассылка ботами, атака продолжается.
За это время я разобрал уже 4 разных apk, у которых одна и та же подпись, и которые смотрят на одни и те же домены. И эту атаку не остановить, пока домены, принадлежащие reg.ru активны. Инфраструктура просто пересобирается, а данные новых и ранее зараженных пользователей продолжают утекать. Даже команда телеги, известная свой медлительностью, успела снести канал за несколько дней.
Прошла почти неделя с тех пор, как были отправлены письма в abuse@reg.ru, response@f6.ru, cert@kaspersky.com и incident@cert.gov.ru. Но ответ пришел только от reg.ru:
Никто, конечно же, ничего в итоге не сделал.
И сюда напрашивается довольно закономерное заключение: европейским и американским компаниям есть дело до утекающих данных россиян, а российским компаниям — нет.
［ТГК автора］
Источник: habr.com