微信号:gh_38e8b1223e2a

介绍:阿里聚安全是一个移动安全开放平台,凝聚阿里巴巴多年来在无线业务安全防御的成功经验和技术成果,并面向开发者和企业提供恶意代码检测、漏洞扫描、仿冒应用检测、应用加固、安全组件等服务,一站式解决应用的安全...

你以为服务器关了这事就结束了? - XcodeGhost攻击DEMO以及UnityGhost预警

2015-09-22 11:17 阿里移动安全


1 序言

截胡,麻将术语,指的是某一位玩家打出一张牌后,此时如果多人要胡这张牌,那么按照逆时针顺序只有最近的人算胡,其他的不能算胡。现也引申意为断别人财路,在别人快成功的时候抢走了别人的胜利果实。

虽然XcodeGhost作者的服务器关闭了,但是受感染的app的行为还在,这些app依然孜孜不倦的向服务器(比如init.icloud-analysis.cominit.icloud-diagnostics.com等)发送着请求。这时候黑客只要使用DNS劫持或者污染技术,声称自己的服务器就是”init.icloud-analysis.com”,就可以成功的控制这些受感染的app。具体能干什么能,请看我们的详细分析。

另外,有证据表明unity 4.6.4 –unity 5.1.1的开发工具也受到了污染,并且行为与XcodeGhost一致,更恐怖的是,还有证据证明XcodeGhost作者依然逍遥法外,具体内容请查看第三节。

PS:虽然涅槃团队已经发出过攻击的demo[2],但很多细节并没有公布。所以我们打算在这篇文章中给出更加详细的分析过程供大家参考。

2 通信协议分析

在受感染的客户端App代码中,有个Response方法用于接收和处理远程服务器指令。


Response方法中根据服务器下发的不同数据,解析成不同的命令执行,根据我们分析,此样本大致支持4种远程命令,分别是:设置sleep时长、窗口消息、url schemeappStore窗口。

通过4种远程命令的单独或组合使用可以产生多种攻击方式:比如下载安装企业证书的App;弹AppStore的应用进行应用推广;弹钓鱼页面进一步窃取用户信息;如果用户手机中存在某url scheme漏洞,还可以进行url scheme攻击等。


其通信协议是基于http协议的,在传输前用DES算法加密http bodyResponse方法拿到服务器下发送的数据后,调用Decrypt方法进行解密:


如果解密成功,将解密后的数据转换成JSON格式数据:


然后判断服务器端下发的数据,执行不同的操作。如下面截图是设置客户端请求服务端器sleep时长的操作:


3 恶意行为分析及还原

在逆向了该样本的远程控制代码后,我们还原了其服务端代码,进一步分析其潜在的危害。

首先我们在服务端可以打印出Request的数据,如下图:


红色框标记的协议的头部部分,前4字节为报文长度,第二个2字节为命令长度,最后一个2字节为版本信息,紧跟着头部的为DES的加密数据。我们在服务端将数据解密后显示为:


这里有收集客户端信息上传到控制服务器。

同样我们返回加密数据给客户端:


明文信息为:


客户端根据App的运行状态向服务端提供用户信息,然后控制服务器根据不同的状态返回控制数据:


  • 恶意行为一 定向在客户端弹(诈骗)消息

该样本先判断服务端下发的数据,如果同时存在“alertHeader”、“alertBody”、“appID”、“cancelTitle”、“confirmTitle”、“scheme”字段,则调用UIAlertView在客户端弹框显示消息窗口:


消息的标题、内容由服务端控制:


客户端启动受感染的App后,弹出如下页面:


  • 恶意行为二 下载企业证书签名的App

当服务端下发的数据同时包含“configUrl”、“scheme”字段时,客户端调用Show()方法,Show()方法中调用UIApplication.openURL()方法访问configUrl


通过在服务端配置configUrl,达到下载安装企业证书App的目的:


客户端启动受感染的App后,目标App将被安装:


demo地址:http://v.youku.com/v_show/id_XMTM0MTQyMzM1Ng==.html

  • 恶意行为三 推送钓鱼页面

通过在服务端配置configUrl,达到推送钓鱼页面的目的:


客户端启动受感染的App后,钓鱼页面被显示:

demo地址:http://v.youku.com/v_show/id_XMTM0MTQyMjkyOA==.html

  • 恶意行为四 推广AppStore中的应用

通过在服务端配置configUrl,达到推广AppStore中的某些应用的目的:


phishing1.html页面内容:


客户端启动受感染的App后,自动启动AppStore,并显示目标App的下载页面:


demo地址:http://v.youku.com/v_show/id_XMTM0MTQyNTk0MA==.html

4 UnityGhost?

在大家以为一切都完结的时候,百度安全实验室称已经确认”Unity-4.X的感染样本。并且逻辑行为和XcodeGhost一致,只是上线域名变成了init.icloud-diagnostics.com。这意味,凡是用过被感染的Unityapp都有窃取隐私和推送广告等恶意行为。


Unity是由UnityTechnologies开发的一个让玩家创建诸如三维视频游戏、实时三维动画等类型互动内容的多平台的综合型游戏开发工具,是一个全面整合的专业游戏引擎。很多有名的手机游戏比如神庙逃亡,纪念碑谷,炉石传说都是用unity进行开发的。

更令人恐怖的是,在百度安全实验室确认后没多久,大家就开始在网上寻找被感染的Unity工具,结果在我搜到一个Unity3D下载帖子的时候发现”codeFun2015-09-22 01:18编辑了帖子!?要知道codeFun就是那个自称XcodeGhost作者的人啊。他竟然也一直没睡,大半夜里一直在看大家发微博观察动静?随后发现大家知道了Unity也中毒的事情,赶紧去把自己曾经投毒的帖子删了?


现在再去看那个帖子已经被作者删的没有任何内容了。。。

http://game.ceeger.com/forum/read.php?tid=21630&fid=8


但根据XcodeGhost作者没删之前的截图表明,从unity4.6.4 – unity 5.1.1的开发工具都有可能被投毒了!


5 UnityGhost的样本分析

在百度安全实验室的帮助下,我们已经拿到了UnityGhost的样本。基本信息如下:

$shasumlibiPhone-lib-il2cpp.a-armv7-master.o

625ad3824ea59db2f3a8cd124fb671e47740d3bd libiPhone-lib-il2cpp.a-armv7-master.o

$ filelibiPhone-lib-il2cpp.a-armv7-master.o

libiPhone-lib-il2cpp.a-armv7-master.o:Mach-O object arm

UnityGhost样本的行为和XcodeGhost非常相似,基本函数如下:


UnityGhost在启动时会检测是否是在虚拟机和调试器中运行,如果是则不产生恶意行为:


UnityGhost同样也会收集用户手机的各种信息(时间,bundle id(包名),应用名称,系统版本,语言,国家等)并上传到一个新的服务http://init.icloud-diagnostics.com”



在接收到服务器返回的指令后,UnityGhost同样也可以进行多种恶意行为:下载安装企业证书的App;弹AppStore的应用进行应用推广;弹钓鱼页面进一步窃取用户信息;如果用户手机中存在某url scheme漏洞,还可以进行url scheme攻击等。

弹出诈骗对话框用到的函数:


弹出网页或者推广应用用到的函数:


6 总结

虽然病毒作者声称并没有进行任何广告或者欺诈行为,但不代表别人不会代替病毒作者进行这些恶意行为。并且作者依然还在逍遥法外!所以立刻!马上!删掉那些中毒的app吧!

7 参考资料

  1. 涅槃团队:Xcode幽灵病毒存在恶意下发木马行为http://www.freebuf.com/vuls/78945.html。

  2. XcodeGhost 源码 https://github.com/XcodeGhostSource/XcodeGhost。


文章作者:没羽,蒸米,阿刻,迅迪 @ 阿里移动安全

关注阿里聚安全公众号,了解XcodeGhost事件最新进展。



阿里聚安全(jaq.alibaba.com)是阿里移动安全团队多年风险防控技术的结晶,为开发者提供移动应用安全为核心的开放平台,集APP风险发现、风险解决、风险持续监测、业务风险控制为一体,提供了金融级的安全、立体式的防护,助力开发者实现梦想。

 
阿里聚安全 更多文章 「天下无贼」2015阿里安全峰会重磅来袭! 超86%APP存漏洞 — 阿里安全推聚安全平台解决方案 新加坡之旅:阿里移动安全参展RSA安全大会 【第十四届中国互联网大会顺利闭幕】阿里聚安全被评为移动安全指定安全检测机构 【新加坡之旅】阿里安全首次在RSA新加坡会议上展示安全能力
猜您喜欢 API 调用次数限制实现 【有趣】一个女软件工程师的征婚PPT,心动了吗? 程序员的成长路线 产品经理能用 Python 做什么? http:\/\/localhost 是合法的C语句?