背景介绍

近日,奇安信病毒响应中心在日常的样本运营过程中,通过盘古平台发现了一款仿冒奥地利“Willhaben”软件的钓鱼木马APP。该钓鱼木马通过仿冒成“Willhaben”APP,窃取用户个人信息,并向用户发送含有钓鱼链接的短信。

Willhaben是奥地利最大的用于个人之间买卖的市场应用程序。其中有超过400万辆二手车、房地产、工作和最大的分类市场,Willhaben在Google Play拥有将近8万的下载量。目前Willhaben已就此次钓鱼木马事件,在其官网发出了相关的预警信息。

Willhaben Google Play下载信息:

Willhaben 发出的预警信息:

盘古平台捕获的样本信息:

样本分析

样本信息

文件名称

Willhaben

软件名称

Willhaben

软件包名

com.resterent

MD5

AC7C59F2AA0D684A7857B3E305CBB714

安装图标

样本行为描述

此次发现的通过仿冒“Willhaben”的恶意程序,其主要目是进行钓鱼。恶意程序运行后会诱骗用户激活设备管理器,并可通过远控指令隐藏APP图标,从而达到保护自身;其会通过服务端下发远控指令,包括向服务器发送用户手机状态、发送用户手机号码、发送用户手机短信、发送用户已安装的APP信息、实时对用户手机进行监控等。攻击者会根据获取到的信息,向指定用户发送钓鱼短信,诱骗用户打开钓鱼页面并预付款,从而达到诱骗钱财的目的。

钓鱼短信示例:

“NAME,Vorauszahlung bezahlt www-willhaben-org/….”

预付款钓鱼页面:

目前该钓鱼页面已无法正常显示:

详细代码分析

激活设备管理器:

通过服务端下发远控指令,指令及其含义:

服务端:http://lkalipso1.com/3lfk3jGj/

指令

指令含义

registration

向服务端发送手机状态

send_sms

向指定号码发送短信,发送成功与否向服务端发送状态。

sms_contact

向指定号码发送短信,将SMS状态发送到服务端。

get_push

打开指定APP,打开推送通知,将推送通知发到服务端。

tracker

向服务端发送跟踪状态。

move_sms_client

更改短信客户端,并向服务端发送状态通知。

mard_mode

打开硬件模块。

call_number

向固定号码拨打电话。

startes_access

开启访问服务,向服务端发送状态,隐藏图标等。

主要代码片段:

So文件中主要功能代码:

仿冒美团钓鱼事件回顾

11月6日,奇安信病毒响应中心收到用户举报,美团、饿了么出现大规模短信钓鱼事件,且收到短信的人群非常集中。攻击者通过短信发送的方式,进行了大规模钓鱼攻击。奇安信病毒响应中心第一时间进行了分析,并将结果交给了警方。

事件还原

11月6日当天,有大量用户收到自称是饿了么、美团的短信,要求用户点击短信链接,进行相关进一步操作。

短信内容如下:

当用户点击链接后,会弹出输入电话号码、身份证的链接:

输入后会进一步要求用户填写银行卡相关信息:

当用户提交完信息后会停留在此页面:

当用户手机停留在此页面时,攻击者会通过用户提供的银行卡账号、密码进行转账操作,并诱骗用户填写银行二次确认短信,从而完成转账操作。

攻击者后台操作页面:

用户信息上传数据包:

被上传的用户数据:

总结

随着移动端APP所涉及领域的不断扩大,在方便大众的同时,也带来了更多的安全隐患。加之近年来各种购物节类似双11、双12、618、黑五的规模不断扩大,购物付款、退款的安全隐患也会随之增加。奇安信病毒响应中心提醒广大用户,预防短信类钓鱼木马的最好方式,就是用户不要随意点击,来自不明号码,短信中的不明链接。如果用户收到了类似的不明短信,请及时与相关公司的客服进行联系,以确保短信信息的真实性。

IOC

AC7C59F2AA0D684A7857B3E305CBB714

57DF2C8EAC6AAA2D7EBB94F4357A353F

http://lkalipso1.com/3lfk3jGj/

http://karambga3j.net/3lfk3jGj/

http://lkrishtifaa.com/3lfk3jGj/

http://lkrishtifaa.org/3lfk3jGj/

声明:本文来自奇安信病毒响应中心,版权归作者所有。文章内容仅代表作者独立观点,不代表士冗科技立场,转载目的在于传递更多信息。如有侵权,请联系 service@expshell.com。