宝运莱官方网站ADLab：由一段神秘文字所引发的调查与分析
颁布功夫 2019-06-20
注：Pastebin是一个合法便签类站点 ，好多黑客团队喜欢将其作为暗中进行信息互换的媒介 ，或者把攻击成就上传到Pastebin上进行存储。
为了弄懂该段文字的寓意 ，我们首先想到的是该段文字是否为一段被打乱挨次的有具体寓意的句子 ，但是通过我们对其进行各类组合排序并没有得到什么有效谍报信息。那么该段文字是不是被编码处置过的谍报信息呢？我们试图在开源站点Github上对这段文字进行搜索看是否存在有关代码 ，但并没有几多有效的信息。最后 ，我们在Twitter上发现了一条与这段文字类似的推文（见图2）。
能够看到该条推文的内容和我们发现的中文字符有着类似特点 ，他们都是以“苏尔的起头”和“苏尔苏尔完”作为首尾字符串 ，在首尾字符串之间的文字阐发出随机性 ，并没有出格的寓意。而该推文评论中提及了推文上这段文字为银行木马Anubis编码后的C&C服务器地址 ，那么极有可能我们发现的那段神秘中文字符串也是一段C&C地址 ，并且可能就是银行木马Anubis的C&C。
注：Anubis是一款集勒索、间谍、银行木马于一体的综合型恶意软件 ，自2017年1月其源代码被颁布以来 ，已经影响到全球100多个国度的300多家金融机构。2018年9月宝运莱官方网站ADLab对其已进行具体分析 ，并颁布深度分析汇报《首款集勒索、间谍、银行木马于一体的新型综合型Android病毒深度分析》。
接下来 ，我们并不急于去网络最新的Anubis样本 ，由于网络、分析、处置样本必要破费比力大的工作量 ，所以我们首先试图从GitHub寻找线索 ，我们以“苏尔的起头”为关键字进行搜索并且确的确切找到了一段有关的解码代码（见图3）。粗略一看这段代码似乎应该就是这段神秘文字的解码算法 ，但经过宝运莱官方网站测试 ，发现这段代码并不能正确的解码我们最起头所发现的那段神秘文字。
那么为相识开其中奥秘 ，我们还得回到样本上来 ，若是可能找到有关的Anubis样本 ，通过对样本代码进行逆向分析 ，就能逆向出解码算法 ，那么也就可能解密出这段神秘的中文文字。由于这段文字的颁布功夫是2019年2月17日（图1） ，因而我们在样本库中查问2019年2月份以来的Anubis病毒样本 ，通过逐一排除后发现了与这段神秘中文字符最有关的几个样本 ，其中最新的一个样本在2019年6月6日才出现。在对样本深刻分析后 ，我们确认该新样本的确是银行木马Anubis的最新变种。
通常的间谍软件会将C&C地址（加密）硬编码在代码傍边 ，或者利用合法的Web服务（如微博、QQ空间或者Twitter等）来配置C&C地址。好比Anubis早期的版本就是利用Twitter配置C&C地址 ，这样做一方面能够有效暗藏C&C地址 ，另一方面攻击者能够矫捷地对C&C服务器进行配置和更新。而这次 ，攻击者选择将C&C地址编码成中文存储在了Instagram和Pastebin上。
图6 Twitter存储的加密C&C
C&C解密算法分析
这次Anubis的更新 ，除了对代码做了混合和加密表 ，其背后的攻击者选择了将C&C地址编码成中文文字 ，该木马内置有解密C&C用的密码表 ，内容如表1所示。从表1中我们能够看到 ，英文字母的大写和幼写以在键盘的分列挨次分列 ，随着是等号和0-9的数字。除了数字9表 ，每一个字符都对应一个汉字。
表1 解密C&C用的密码表
图8 中英文字符代替
图9 解密Base64字符串
新旧样本对比分析
较我们之前分析的木马版本 ，新颁布的木马版本进行了高强度的代码混合 ，如图10所示 ，旧版本中明文的类名在新版本中被混合成了没有意思的字符串。显然 ，混合后的代码极度不利于阅读 ，这无疑提高了安全钻研人员的分析难度和功夫成本。
图10 代码混合
Anubis的根基职能和行为
Anubis重要通过假装成金融、邮件、物流以及软件更新蹬爪用混入谷歌商店进行传布。其整合了多种类型恶意软件职能于一身（见图13） ，重要蕴含勒索软件职能、键盘纪录职能、RAT职能、短信拦截职能和呼叫转移等职能。同时 ，Anubis还能够窃取受害用户的通讯录、短信、银行登录凭证等敏感信息。此表 ，攻击者还能够远程节造习染设备 ，利用习染设备向攻击者指定的指标发送特定短信。从Anubis诸多壮大的职能能够看出 ，攻击者齐全能够对受害者的社交网络进行全方位渗入和诓骗。
图13 Anubis职能示意图
表2 重要的C&C号令和职能
总结
从2017年出现至今 ，Anubis背后的攻击者在C&C战术上作了屡次扭转。重要体此刻两个方面：一是C&C的编码方式由之前的编码成类Base64串发展为编码成中文文字 ，二是配置C&C的载体由早期的利用Twitter站点演造成此刻的利用Twitter、Telegram、Instagram和Pastebin等多平台。凭据宝运莱官方网站ADLab的数据观察 ，Anubis这次的行动从2019年2月份起头 ，一向到2019年6月份都维持活跃。其重要是假装成金融、邮件、物流以及软件更新蹬爪用混入谷歌商店进行传布 ，好比我们分析的这个变种假装成Flash升级利用诱使用户装置 ，进而对用户进行犯法侵害。固然Anubis重要活动在欧美等地 ，国内临时没有发现用户习染此类木马 ，但这次的C&C暗藏战术中利用了中文进行编码 ，不排除其后续会攻击国内用户的可能性。
建议用户不要等闲点击短信中的不明链接 ，不要装置不明起源的APP；对申请可疑权限尤其是短信读写、打电话以及必要激活设备治理器的APP要出格注意 ，涉及到金钱的操作要格表审慎；遇到操作异常 ，该当实时使用杀毒软件查杀或找专人处置。目前互联网上也充溢着形形容色的第三方APP下载站点 ，好多甚至成了恶意利用的批发集散地。用户应出格注意不应等闲的在一些下载站点下载APP ，尽量从官网下载所需APP利用 ，在不得不从第三方下载站点下载软件时 ，要高度维持警惕 ，当真甄别 ，以免误下恶意利用 ，给自己造成不用要的麻烦和损失。
京公网安备11010802024551号