攔截簡訊繞過雙因素認證:安卓銀行木馬Anubis分析

2021-02-15 嘶吼專業版

概述

幾年前，我在位於智利聖地牙哥的警察學校進行過一些關於網絡釣魚的培訓。在我的培訓中，有一個模塊被稱為「日誌不會說謊」。這個模塊是為了告訴大家，在大多數情況下，只需要在受到釣魚攻擊的伺服器或金融機構自己的存檔中查看相應日誌文件，就可以得到網絡釣魚應急響應所需的一切內容。

此外，針對惡意軟體C&C伺服器，也同樣適用「日誌不會說謊」的規則。考慮到許多研究人員都會在Twitter上分享調查取證的技巧和觀點，我特地在社交網絡搜索了相關的關鍵詞，最終發現@LukasStefanko和@nullcookies這兩位研究者也在尋找用於Android惡意軟體的C&C伺服器，這一方向與我不謀而合。在研究過程中，日誌可以有助於我們理解這類木馬所造成的破壞性。

隨後，我鎖定了目標。本文將對名為「Anubis II」的惡意軟體進行分析，並且我們高度懷疑這個惡意軟體就是下面YouTube視頻中所說的「Builder」，視頻的標題為「Builder Android Bot Anubis 2」。

YouTube中運行APK Builder 「Android Bot Anubis II」的截圖：

惡意軟體作者從預先選定的目標銀行中進行選擇：

在視頻的評論區，有人分享了botmaster控制面板的屏幕截圖。截圖表明，該惡意軟體有能力通過殭屍網絡同時控制619部Android手機：

根據Lukas和NullCookies的研究結果，惡意軟體似乎主要在2018年6月活躍，託管Anubis II的伺服器上有一個銀行列表。

該惡意軟體支持自定義Web注入（或移動端注入），其針對的目標包括：7家奧地利銀行、18家澳大利亞銀行、5家加拿大銀行、6家捷克銀行、11家德國銀行、11家西班牙銀行、11家法國銀行、8家香港銀行、11家印度銀行、6家日本銀行、1家肯亞銀行、4家紐西蘭銀行、32家波蘭銀行、4家羅馬尼亞銀行、9家土耳其銀行、10家英國銀行和10家美國銀行。

假冒銀行登錄頁面

該惡意軟體針對上述190個網站，都設計了一個可用的虛假登錄頁面，我們選擇了其中的一些樣本展示如下。

此外，該惡意軟體還支持幾個加密貨幣組織，分別是：blockchaine、coinbase、localbitcoin、unocoin。

以及一些在線支付、電子郵件和社交媒體網站，包括：eBay、Facebook、Gmail、PayPal、ZebPay。

如果Android設備用戶嘗試登陸到這一列表之中的銀行，設備就會呈現出特定的網絡釣魚頁面。

我們注意到，在一些釣魚頁面中出現了愚蠢的筆誤。例如，在Wells Fargo的頁面上，「登錄」（Sign In）按鈕被寫成了「唱歌」（Sing In）。希望有被感染的用戶，能夠通過這些頁面上的錯誤，發現網站存在問題，從而避免遭受損失。

Wells Fargo「合唱團」頁面截圖：

攔截簡訊

通過訪問伺服器，我們發現了該惡意軟體曾攔截眾多短消息。截止到我們對伺服器進行轉儲時，我們發現其中包含超過32900個獨有的keylog條目，以及來自至少47個設備的超過52000多條簡訊息。

下面是一個示例，通過這個示例能夠得知，銀行發出的雙因素身份驗證請求能夠被轉發到惡意軟體作者手中：

Text: Bank of Redacted: 819881 is your authorization code which expires in 10 minutes. If you didn't request the code, call 1.800.xxx.xxxx for assistance.

該惡意軟體還具有鍵盤記錄的功能，允許惡意軟體作者查看用戶在何時使用了銀行APP：

06/14/2018, 09:07:34 EDT|(FOCUSED)|[From:, REDACTED BANK, Account Number:, ******6680, Date:, May 30, 2018 10:10:42 AM EDT, Status:, Canceled, Amount:, $100.00, Type:, Deposit, Transfer ID:, 25098675]

下面的內容，轉發自一個在線支付平臺：

06/29/2018, 15:28:46 EDT|(CLICKED)|[Friendly reminderThis is Mr. XXXXXXX from REDACTED. This is a friendly reminder that you have a payment due today by 6pm If you have any questions or need to make a payment  via phone call 804-999-9999 or we have a new payment processing system that allows , for your convenience, to simply text in the last 4 digits of a card you've previously used and the security code and we're able to process your payment.  Feel free to call  REDACTED with any questions at 804-xxx-xxxx]

此外在日誌中，我們找到了數百個Gmail驗證碼：

06/14/2018, 00:19:33 EDT|(FOCUSED)|[G-473953 is your Google verification code., 1 min ago]

還發現了相當多的Uber驗證碼：

Text: [#] 9299 is your Uber code. qlRnn4A1sbt

Paypal、Quickbooks、LinkedIn、Facebook、Stash和Stripe的雙因素認證驗證碼都在日誌中出現過：

Text: FREE PayPal: Your security code is: 321842. Your code expires in 10 minutes. Please don't reply. Text: [Your QuickBooks Self-Employed Code is 952708, 1 min ago] Text: 383626 is your Facebook password reset code or reset your password here: https://fb.com/l/9wBUVuGxxxx5zC Text: Your LinkedIn verification code is 967308. Text: 103-667 is your Stripe verification code to use your payment info with Theresa. Text: Your Stash verification code is 912037. Happy Stashing! Text: Cash App: 157-578 is the sign in code you requested. Text: Your verification code for GotHookup is: 7074

在/numers/目錄中，保存著許多受感染用戶的通訊錄內容。根據其中的一些通訊錄分析，我們發現這是一個觸發的請求，殭屍網絡運營者必須向用戶請求通訊錄。從我們發現的樣本中，有7個區號為404、4個區號為770和4個區號為678的號碼，由此證明受害用戶可能來自亞特蘭大（美國）。

鍵盤記錄功能似乎也是由殭屍網絡運營者控制開啟或關閉。我們並沒有找到太多的鍵盤記錄。鍵盤記錄的條目大致如下所示。

電話提醒：

06/15/2018, 14:38:55 EDT|(CLICKED)|[Call management, •, 10m, 4 missed calls, Ashley Brown (3), Mom]06/15/2018, 14:38:59 EDT|(CLICKED)|[Call Ashley Big Cousin, Quick contact for Ashley Brown]06/15/2018, 14:39:01 EDT|(CLICKED)|[1 804-999-9999, Mobile, Call Ashley Brown]

對消息的響應：

06/15/2018, 16:02:34 EDT|(CLICKED)|[Messaging, •, now, Expand button, (804) 999-9999 , Hey Terry can you send the address, REPLY]06/15/2018, 16:02:37 EDT|(FOCUSED)|[Aa]06/15/2018, 16:02:46 EDT|(CLICKED)|[Copy, Forward, Delete]06/15/2018, 16:02:50 EDT|(FOCUSED)|[]06/15/2018, 16:02:54 EDT|(CLICKED)|[Messaging]06/15/2018, 16:02:57 EDT|(CLICKED)|[Enter message]06/15/2018, 16:05:11 EDT|(CLICKED)|[Answer]06/15/2018, 16:05:29 EDT|(CLICKED)|[]06/15/2018, 16:10:50 EDT|(FOCUSED)|[]06/15/2018, 16:10:52 EDT|(CLICKED)|[Enter]06/15/2018, 16:11:01 EDT|(FOCUSED)|[2007 Their Address Ct  North CityTheyTyped OK 11111]06/15/2018, 16:11:03 EDT|(FOCUSED)|[]

YouTube會話：

06/27/2018, 15:23:36 EDT|(CLICKED)|[YouTube]06/27/2018, 15:23:46 EDT|(CLICKED)|[Pause video]06/27/2018, 15:41:19 EDT|(FOCUSED)|[14:46, Go to channel, FINDING OUT THE GENDER!!!, Menu, The Rush Fam · 26K views4 hours ago, 6:12, Go to channel, TRY NOT TO CRY CHALLENGE REACTION WITH KID (SHE ACTUALLY CRIED), Menu, CJ SO COOL · 2.5M views · 1 year ago, SUBSCRIBED]06/27/2018, 15:46:38 EDT|(FOCUSED)|[]06/27/2018, 15:46:41 EDT|(CLICKED)|[Enter]06/27/2018, 15:46:53 EDT|(CLICKED)|[Play video]06/27/2018, 15:48:06 EDT|(CLICKED)|[ · 0:11]06/27/2018, 15:48:09 EDT|(CLICKED)|[ · 0:09]06/27/2018, 15:48:10 EDT|(CLICKED)|[ · 0:08]06/27/2018, 15:54:30 EDT|(CLICKED)|[Suggested: "BREAKING UP IN FRONT OF COMPANY!!" PRANK ON PANTON SQUAD!!!]

感染分布

我們使用了公開的測試平臺（例如Virus Total Intelligence）對該惡意軟體進行測試，發現該惡意軟體有許多用戶使用。每天都有大量新版本的惡意軟體被用戶安裝，最常見的安裝來源是Google Play商店。

在2018年7月，一些研究團隊已經對這一流行的惡意軟體進行了分析，其部分文章列舉如下：

IBM X-Force研究團隊安全情報博客：Anubis Strikes Again: Mobile Malware continues to plague users in Official App Stores（https://securityintelligence.com/anubis-strikes-again-mobile-malware-continues-to-plague-users-in-official-app-stores/）

安全計算雜誌：BankBot Anubis campaign targets Turkish Android users with fake apps in Google Play store（https://www.scmagazine.com/home/news/malware/bankbot-anubis-campaign-targets-turkish-android-users-with-fake-apps-in-google-play-store/）

Medium.com：Hackers Distributing Anubis Malware via Google Play Store to Steal Login credentials, E-wallets, and Payment Cards Details（https://medium.com/@SwiftSafe/hackers-distributing-anubis-malware-via-google-play-store-to-steal-login-credentials-e-wallets-944a9da42394）

最近的一篇文章來自AlienVault，發表在20天前：Anubis Android Malware in the Play Store（https://otx.alienvault.com/pulse/5b7b29177d656b718d253a66）

根據VirusTotal Intelligence的搜索結果，在本文撰寫的當天（2018年9月10日），就有62個上傳的新樣本與「Anubis」相匹配。該惡意軟體在VirusTotal上一些比較流行的名稱包括：

· DrWeb:  Android.BankBot.1679

· Ikarus: Trojan-Banker.AndroidOS.Anubis

· Kaspersky: HEUR:Trojan-Dropper.AndroidOS.Hqwar.bbSophos: Andr/BankSpy-AH

卡巴斯基發表了一篇關於這種銀行木馬的文章，他們稱之為HQWar，文章的標題為「Phantom menace: mobile banking trojan modifications reach all-time high: Mobile banking Trojans hit the list of cyber-headaches in Q2 2018」。在該文章中，卡巴斯基宣稱他們已經發現並記錄了61000個變種版本。

我在本文開頭已經提過，Lukas和ESET已經針對大量潛伏在Google Play商店中的Android銀行木馬進行了分析，下面是其中的部分文章，供各位讀者參考：

2018年7月26日 - Google Play上的虛假銀行應用程式洩露了被盜信用卡數據（https://www.welivesecurity.com/2018/07/26/fake-banking-apps-google-play-leak-stolen-credit-card-data/）

2017年12月11日 - Google Play上的銀行惡意軟體以波蘭銀行為目標（https://www.welivesecurity.com/2017/12/11/banking-malware-targets-polish-banks/）

2017年11月21日 - 通過Google Play傳播的銀行惡意軟體新變種（https://www.welivesecurity.com/2017/11/21/new-campaigns-spread-banking-malware-google-play/）

2017年9月25日 - Bankbot木馬使用新技巧重返Google Play（https://www.welivesecurity.com/2017/09/25/banking-trojan-returns-google-play/）

2017年11月15日 - 多階段惡意軟體潛入Google Play（https://www.welivesecurity.com/2017/11/15/multi-stage-malware-sneaks-google-play/）

2017年4月19日 - 打開天窗說亮話，給我你的密碼！（https://www.welivesecurity.com/2017/04/19/turn-light-give-passwords/）

相關焦點

  • 首款集勒索、間諜、銀行木馬於一體的新型綜合型Android病毒深度分析
    簡 述啟明星辰ADLab近期發現一款集勒索加密病毒、間諜軟體、銀行木馬於一體的新型Android惡意代碼，其實現了如加密勒索（Ransomware）、鍵盤記錄（keylogger）、遠程訪問木馬（RAT）、簡訊攔截、呼叫轉移和鎖定屏幕等多種功能。
  • Cerberus 銀行木馬開發團隊解散,原始碼5萬美元起拍
    基於安卓的 Cerberus 銀行木馬原始碼正在一個俄語地下市場競拍。據稱，該惡意軟體的維護人員表示，因「沒有時間打理」且「開發團隊解散」，因此拍賣。廣告試圖以5萬美元的價格起競拍整個項目，包括該木馬的 .APK 原始碼、模塊代碼、管理面板代碼和伺服器。另外，如果買家希望將惡意軟體集成到自己的工具包中，則會提供具有活躍許可證的 Cerberus 的客戶基和所需安裝材料。Cerberus 自2019年起活躍，本月早些時候還繞過谷歌的 app 防護措施，出現在谷歌應用商店。
  • 攻擊雙因素認證(2FA)的11種方式
    雖然許多緩解措施中都包含「啟用雙因素認證」這樣一條建議，但是千萬別就此以為雙因素認證（2FA）是完全安全的。所謂認證（authentication）就是確認用戶的身份，是網站登錄必不可少的步驟。其中，密碼是最常見的認證方法，但是不安全，容易洩露和冒充。不可否認，與普通密碼相比，2FA具有其獨到優勢，並且正在加大部署於各種網絡和服務中。
  • Citrix 簡訊OTP雙因素認證
    這一年多來雙因素認證也成為了客戶的標配需求，native OTP是通過安裝手機APP的方式生成OTP，而大家平常使用的很多APP和網站現在都支持輸入手機號，發送簡訊驗證碼，然後通過簡訊驗證碼認證登陸的功能，因此在客戶交流過程中也有客戶對通過簡訊OTP方式實現雙因素認證有極大興趣。
  • 銀行攔截木馬病毒有多恐怖?你的手機可能已經被監控了
    犯罪分子通過社會工程學手段獲取到受害者的銀行卡帳號密碼，病毒木馬偽裝成銀行應用、系統應用、照片等方式誘導受害者進行安裝，通過隱藏圖標潛伏在用戶手機，激活設備管理器導致無法卸載，最後通過監控手機的銀行簡訊驗證碼，實現竊取用戶銀行卡裡的金錢。根據騰訊安全反詐騙實驗室大數據顯示，「銀行攔截木馬」主要分布在東南亞國家中：緬甸，馬來西亞，日本，俄羅斯，奈及利亞，印尼。
  • 安卓攔截馬分析方法釜底抽薪之抓包
    由於目前流行的安卓攔截馬一般具備回傳簡訊、通訊錄、發送遠程指令等功能，其中具有木馬所有者郵箱、手機等信息。
  • 藏在手機簡訊裡的「木馬病毒」
    騙子為了行騙成功，想方設法編造令人防不勝防的簡訊內容，誘使手機用戶點擊簡訊中的惡意連結，從而實施詐騙。近來，有人因收到簡訊內容為「這是聚會照片」的連結、「這是違章記錄」的連結並點擊，從而掉進騙子設下的陷阱。   點擊「聚會照片」發來的連結，銀行卡裡的錢就被轉出了。
  • 一文全解析-Citrix 簡訊OTP雙因素認證
    這一年多來雙因素認證也成為了客戶的標配需求，Native OTP是通過安裝手機APP的方式生成OTP，而大家平常使用的很多APP和網站現在都支持輸入手機號，發送簡訊驗證碼，然後通過簡訊驗證碼認證登陸的功能，因此在客戶交流過程中也有客戶對通過簡訊OTP方式實現雙因素認證有極大興趣。
  • 新型安卓木馬偽裝成Flash手機端 將竊取用戶銀行帳密
    據ESET的信息安全研究人員發現，一種新型安卓木馬病毒Android/Spy.Agent.SI出現，它通過移動站點傳播，假裝建議用戶安裝安卓設備的移動端
  • 雙因素認證如何保證你的帳戶安全
    本文，我們將詳細介紹什麼是雙因素身份驗證，它是如何工作的，以及如何設置它。設置2FA並不需要很長時間，下次有人試圖用偷來的登錄信息訪問你的帳戶時，2FA機會保護你的帳戶。雙因素認證是如何工作的在某種程度上，用電子郵件地址和密碼登錄帳戶是沒有問題的，但攻擊者可以通過一些聰明的社交工程，來使這些詳細信息丟失、被盜、被猜中或被竊取。
  • 身份認證之雙因素認證 2FA
    因此，如何保證操作者的物理身份和數字身份相對應，就成了一個至關重要的議題了，身份認證也因此在網際網路世界中起著舉足輕重的作用了。本文將會介紹目前很多網站常用的一種方式——雙因素認證（也叫兩步驗證，英語：Two-factor authentication，縮寫為 2FA）。
  • 「新冠肺炎」勒索病毒出現,Anubis利用「新冠肺炎」起死回生
    隨著近期「新冠肺炎「在全球的爆發，尤其在歐洲的失控，Android木馬也相繼出現蹭「新冠肺炎」的熱度。目前已出現了利用「新冠肺炎」的勒索病毒，同時以歐洲作為主要傳播地區的Anubis銀行木馬也「起死回生」。
  • 暗網市場又上「新貨」:安卓銀行木馬Cerberus,了解一下!
    網絡安全公司ThreatFabric在最新發布的一份分析報告中指出，他們於今年6月份在暗網交易市場發現了一種正在被出租的新型安卓惡意軟體
  • 【專欄】小心,銀行簡訊也有假!偽基站釣魚簡訊攻擊分析
  • Cerberus銀行木馬的原始碼驚現於地下論壇
    在今年的七月份，臭名昭著的Cerberus Android銀行木馬程序其背後的開發人員對外以五萬美元的起拍價拍賣Cerberus銀行木馬項目的原始碼，不過當時參與拍賣的買家本來可以以十萬美元的最終價格成交的，鬼知道最終因為什麼原因導致了「流標」？
  • 利用雙11購物節「乘火打劫」的木馬分析
    母體運行後首先判斷系統啟動了多久，如果不超過5分鐘的話則釋放出木馬並執行，然後再釋放阿里媽媽推廣程序;如果已經超過5分鐘的話則只釋放阿里媽媽推廣程序，不釋放木馬。此方法可以繞過很多未重啟的自動化分析系統、沙盒等。同時系統剛啟動的數分鐘內通常是安全軟體防禦的薄弱時期，此時木馬往往可以乘虛而入，執行敏感操作。　　　　圖1. 木馬母體的資源信息
  • 【調查】手機木馬黑色產業鏈:發送簡訊欺騙親朋好友
    不要以為這樣的事情離你很遠，它可能就發生在你身邊。2014年3月，根據用戶舉報，北京市公安局網安總隊發現大量手機木馬軟體。這些木馬，不但可以獲取用戶手機內的信息，竟然還能攔截用戶簡訊。　　北京市公安局網安總隊四大隊 李易庭 民警：就是你的手機會突然接收不到簡訊了，實際上簡訊是被嫌疑人劫走了。
  • 揭秘:安卓木馬是如何盜取用戶手機銀行的
    但是，隨著手機銀行涉及的金錢數額越來越大，攻擊者要找到更多創造性的方式來竊取金錢。就在上周，新加坡銀行協會（ABS）發布了公告稱手機銀行惡意軟體感染安卓智能機的數量大幅上升。我們很有興趣深入研究這種新興的威脅，之後我們發現了一個目標是手機銀行app的安卓惡意軟體，於是我們對它展開了進一步研究。
  • 360手機衛士發布首份手機銀行客戶端評測報告
    手機銀行客戶端使用最多的安卓組件是Activity（Activity為安卓系統的一個提供給用戶屏幕交互的應用程式組件），360手機安全中心對其做了專項安全性測試，在防範Activity劫持，防止進程注入，反盜版/防二次打包，以及防止驗證簡訊被劫持等方面，所有16款被檢測的手機銀行客戶端的表現均不佳。
  • 新型簡訊木馬 掃光你的銀行卡! 蒼南警方破獲一起利用手機木馬軟體實施詐騙案件
    通過犯罪嫌疑人的手機通話記錄及簡訊記錄進行分析，發現他接收到大量的簡訊，這些簡訊來自全國各地，有一百多個。由於案件發生在網絡上，作案方式很隱蔽，很多的證據無法確定，民警決定趕赴全國各地，對受害人進行取證。