OG东方厅ADLab：：：由一段神秘文字所引发的调查与分析

颁布功夫 2019-06-20
近期，，OG东方厅ADLab对便签网站Pastebin平台（该平台时时被黑客用于存储攻击成就）内容进行筛选和分析，，发现了一段神秘而古怪的中文字符（见图1） 。。该段文字被存储在一个名为“Unitled”的用户文件中，，从字面上看，，这是一段没有齐全语义的文字，，看起来就像密语一样，，似乎其中暗藏着一些不为人知的信息 。。那么这会是某个黑客组织或者谍报人员之间的奥秘记号呢，，还是说仅仅只是随机输入的毫无意思的文字？对此，，本文将对这其中暗藏的奥秘进行分析查究 。。


OG东方厅·(中国大陆)

图1 Pastebin上存储的神秘中文字符


注：：：Pastebin是一个合法便签类站点，，好多黑客团队喜欢将其作为暗中进行信息互换的媒介，，或者把攻击成就上传到Pastebin上进行存储 。。


为了弄懂该段文字的寓意，，我们首先想到的是该段文字是否为一段被打乱挨次的有具体寓意的句子，，但是通过我们对其进行各类组合排序并没有得到什么有效谍报信息 。。那么该段文字是不是被编码处置过的谍报信息呢？我们试图在开源站点Github上对这段文字进行搜索看是否存在有关代码，，但并没有几多有效的信息 。。最后，，我们在Twitter上发现了一条与这段文字类似的推文（见图2） 。。


OG东方厅·(中国大陆)

图2 Twitter上和神秘字符类似的推文


能够看到该条推文的内容和我们发现的中文字符有着类似特点，，他们都是以“苏尔的起头”和“苏尔苏尔完”作为首尾字符串，，在首尾字符串之间的文字阐发出随机性，，并没有出格的寓意 。。而该推文评论中提及了推文上这段文字为银行木马Anubis编码后的C&C服务器地址，，那么极有可能我们发现的那段神秘中文字符串也是一段C&C地址，，并且可能就是银行木马Anubis的C&C 。。


注：：：Anubis是一款集勒索、间谍、银行木马于一体的综合型恶意软件，，自2017年1月其源代码被颁布以来，，已经影响到全球100多个国度的300多家金融机构 。。2018年9月OG东方厅ADLab对其已进行具体分析，，并颁布深度分析汇报《首款集勒索、间谍、银行木马于一体的新型综合型Android病毒深度分析》 。。


接下来，，我们并不急于去网络最新的Anubis样本，，由于网络、分析、处置样本必要破费比力大的工作量，，所以我们首先试图从GitHub寻找线索，，我们以“苏尔的起头”为关键字进行搜索并且确的确切找到了一段有关的解码代码（见图3） 。。粗略一看这段代码似乎应该就是这段神秘文字的解码算法，，但经过OG东方厅测试，，发现这段代码并不能正确的解码我们最起头所发现的那段神秘文字 。。


OG东方厅·(中国大陆)

图3 GitHub上疑似的解码代码


那么为相识开其中奥秘，，我们还得回到样本上来，，若是可能找到有关的Anubis样本，，通过对样本代码进行逆向分析，，就能逆向出解码算法，，那么也就可能解密出这段神秘的中文文字 。。由于这段文字的颁布功夫是2019年2月17日（图1），，因而我们在样本库中查问2019年2月份以来的Anubis病毒样本，，通过逐一排除后发现了与这段神秘中文字符最有关的几个样本，，其中最新的一个样本在2019年6月6日才出现 。。在对样本深刻分析后，，我们确认该新样本的确是银行木马Anubis的最新变种 。。


同样，，该木马也将C&C地址加密编码后存储在pastebin平台上，，其链接为https://pastebin.com/bbLpxvUH，，截止到我们分析时该页面已经失效 。。但是该样本中对从该链接提取出来的信息进行解码的算法却可能正确解码我们所发现的那段神秘文字 。。解码步骤为：：：木马内置有一个密码表，，在获得这段文字后，，凭据这张密码表将中文解码成Base64字符串，，再将Base64字符串解码后的数据通过rc4解密（密钥为“1day”），，最终得到明文的C&C 。。利用该解密算法，，我们成功解密出了最初发现的那段神秘文字，，得到C&C地址为：：： “http://www.go777to.top”，，该地址的解析纪录从2019年4月6日起头并且截止本文颁布一向活跃 。。别的，，我们还在社交利用Instagram上找到了一段一样的文字（见图4），，这批注攻击者并非单独使用Pastebin配置C&C 。。 不外，，我们破解的解密算法并不能解密Twitter上的那段中文字符，，这可能是由于木马版本差距，，解密算法或者解密密钥分歧导致的 。。


OG东方厅·(中国大陆)

图4 Instagram 上的密文C&C

Anubis的C&C暗藏伎俩

通常的间谍软件会将C&C地址（加密）硬编码在代码傍边，，或者利用合法的Web服务（如微博、QQ空间或者Twitter等）来配置C&C地址 。。好比Anubis早期的版本就是利用Twitter配置C&C地址，，这样做一方面能够有效暗藏C&C地址，，另一方面攻击者能够矫捷地对C&C服务器进行配置和更新 。。而这次，，攻击者选择将C&C地址编码成中文存储在了Instagram和Pastebin上 。。


从2017年出现到此刻，，Anubis背后的攻击者在C&C战术上作了屡次扭转（见图5） 。。2018年9月，，攻击者将类Base64编码的字符串作为推文颁布在Twitter上（见图6），，到2018年12月，，攻击者将推文信息升级为了中文字符（见上图2），，2019年5月，，攻击者将中文字符配置到了 Telegram频道上（见图7），，再到2019年6月我们这次发现的这个样本，，攻击者使用Instagram和Pastebin作为其中文字符C&C配置载体（见上图4和上图1） 。。通常分析人员在Pastebin上抓取到这样的字符时并不会出格注意并且对于有指向性的爬虫也会忽略掉此类信息，，因而这种步骤拥有肯定荫蔽性 。。

OG东方厅·(中国大陆)

图5 C&C演变


OG东方厅·(中国大陆)

图6 Twitter存储的加密C&C


OG东方厅·(中国大陆)


图7 Telegram存储的加密C&C

C&C解密算法分析

这次Anubis的更新，，除了对代码做了混合和加密外，，其背后的攻击者选择了将C&C地址编码成中文文字，，该木马内置有解密C&C用的密码表，，内容如表1所示 。。从表1中我们能够看到，，英文字母的大写和小写以在键盘的分列挨次分列，，随着是等号和0-9的数字 。。除了数字9外，，每一个字符都对应一个汉字 。。


OG东方厅·(中国大陆)

表1 解密C&C用的密码表


C&C的解密分四步：：：第一步，，木马从Pastebin获取中文编码的C&C密文，，具体做法是从这段中文文字中提取出“苏尔的起头”与“苏尔苏尔完”之间字符；；第二步，，木马凭据上表1中的密码表将提取出来的中文字符串转化成一段由“字母”、“数字”和“=”组成的字符串，，通过代码可知这是一段Base64字符串（实现代码见图8） 。。

OG东方厅·(中国大陆)

图8 中英文字符代替


第三步，，通过Base64解码算法将这段字符串进行解码，，并将其转化为二进制数据；；第四步，，解码后的数据通过rc4算法进行解密（密钥为“1day”），，实现代码如图9所示 。。

OG东方厅·(中国大陆)

图9 解密Base64字符串


最终密文C&C地址就被成功解密成明文 。。该木马的C&C存储地址为“https://pastebin.com/bbLpxvUH”，，不外由于该地址已经失效，，无法验证 。。我们使用从木马中破解出来的解密算法成功解密出了我们发现的那段中文文字，，解密后得到C&C地址“http://www.go777to.top”，，而对Twitter上的那段中文字符解密失败，，可能是由于木马版本差距，，解密算法分歧或者解密密钥分歧导致的 。。

新旧样本对比分析

较我们之前分析的木马版本，，新颁布的木马版本进行了高强度的代码混合，，如图10所示，，旧版本中明文的类名在新版本中被混合成了没有意思的字符串 。。显然，，混合后的代码极度不利于阅读，，这无疑提高了安全钻研人员的分析难度和功夫成本 。。


OG东方厅·(中国大陆)


图10 代码混合


别的，，攻击者还对木马类中的明文字符串进行了加密，，如图11和图12所示，，别离是旧版本和新版本一样职能处的代码对比，，从图中我们能够看到，，明文的字符串在新版本中被加密成了Base64密文字符串 。。这样大量的密文字符串极度不利于安全钻研人员的静态分析工作 。。密文字符串经过Base64解密再经过rc4解密（密钥为“1day”）可得到明文字符串 。。


OG东方厅·(中国大陆)

图11 旧版本代码


OG东方厅·(中国大陆)

图12 新版本代码

Anubis的根基职能和行为

Anubis重要通过假装成金融、邮件、物流以及软件更新等利用混入谷歌商店进行传布 。。其整合了多种类型恶意软件职能于一身（见图13），，重要蕴含勒索软件职能、键盘纪录职能、RAT职能、短信拦截职能和呼叫转移等职能 。。同时，，Anubis还能够窃取受害用户的通讯录、短信、银行登录凭证等敏感信息 。。此外，，攻击者还能够远程节制习染设备，，利用习染设备向攻击者指定的指标发送特定短信 。。从Anubis诸多壮大的职能能够看出，，攻击者齐全能够对受害者的社交网络进行全方位渗入和诓骗 。。


OG东方厅·(中国大陆)

图13  Anubis职能示意图


Anubis和C&C服务器成立衔接成功后，，能够通过远程服务器下发30多种恶意节制指令，，蕴含灌音、截屏、获取习染设备的文件结构、节制习染设备向指定号码发送特定短信等恶意指令，，我们将其蕴含的C&C号令及其寓意综合到了表2 。。


OG东方厅·(中国大陆)

表2 重要的C&C号令和职能


Anubis会在习染设备后盾监督指标利用法式启动，，而后使用对应的垂钓屏幕覆盖掉合法的利用法式以窃取受害者的账户凭证，，同时会利用短信拦截职能来拦截银行发送给受害者的所有短信，，这样攻击者就绕过了银行的双层身份认证，，成功对受害者的财富进行洗劫 。。 Anubis劫持指标险些涵盖全世界各大金融机构的手机APP，，总数达到了300多个，，涉及中国、美国、英国、日本、香港、法国等40多个国度和地域，，我们仅将部门金融APP的包名列到表3中：：：


OG东方厅·(中国大陆)


表3 部门指标金融APP

总结

从2017年出现至今，，Anubis背后的攻击者在C&C战术上作了屡次扭转 。。重要体此刻两个方面：：：一是C&C的编码方式由之前的编码成类Base64串发展为编码成中文文字，，二是配置C&C的载体由早期的利用Twitter站点演造成此刻的利用Twitter、Telegram、Instagram和Pastebin等多平台 。。凭据OG东方厅ADLab的数据观察，，Anubis这次的行动从2019年2月份起头，，一向到2019年6月份都维持活跃 。。其重要是假装成金融、邮件、物流以及软件更新等利用混入谷歌商店进行传布，，好比我们分析的这个变种假装成Flash升级利用诱使用户装置，，进而对用户进行犯法侵害 。。固然Anubis重要活动在欧美等地，，国内临时没有发现用户习染此类木马，，但这次的C&C暗藏战术中利用了中文进行编码，，不排除其后续会攻击国内用户的可能性 。。


建议用户不要等闲点击短信中的不明链接，，不要装置不明起源的APP；；对申请可疑权限尤其是短信读写、打电话以及必要激活设备治理器的APP要出格注意，，涉及到金钱的操作要格外审慎；；遇到操作异常，，该当实时使用杀毒软件查杀或找专人处置 。。目前互联网上也充溢着形形容色的第三方APP下载站点，，好多甚至成了恶意利用的批发集散地 。。用户应出格注意不应等闲的在一些下载站点下载APP，，尽量从官网下载所需APP利用，，在不得不从第三方下载站点下载软件时，，要高度维持警惕，，当真甄别，，以免误下恶意利用，，给自己造成不用要的麻烦和损失 。。