Roaming Mantis攻击活动又更新

admin

0
文章

0
评论

2024-01-11 16:05:52 4HOU_新闻来源：ZONE.CI 全球网 0 阅读模式

1年前，研究人员就对Roaming Mantis攻击活动进行过分析。今年2月，研究人员检测到该攻击活动的新动向，本文主要介绍工具和技术方面的更新。

Apple钓鱼的mobile config

研究人员的重要发现之一就是攻击者继续寻找方法来入侵iOS设备，并为iOS用户构建了新的加载页面。当iPhone用户访问该加载页时，就会看到一个弹窗消息指导用户进行恶意的iOS mobile config文件安装：

弹出消息和恶意mobile config文件安装

Mobile config安装完成后，钓鱼页面会自动在web浏览器中打开，并收集设备的相关信息发送到攻击者的服务器。收集的信息包括DEVICE_PRODUCT, DEVICE_VERSION, UDID, ICCID, IMEI和MEID。

mobile config中的XML和CA

CA中含有疑似开发者的邮件地址[email protected][.]jp。

研究人员创建了一个测试账号，并用该账号凭证进入钓鱼网站。当攻击者接收到ID和密码后，犯罪分子就尝试从中国香港登陆该账号。在输入凭证后，研究人员进入了下一个页面，该页面会尝试窃取发送给设备的双因子认证码（PIN）。

窃取apple ID和双因子认证的钓鱼页面

再次传播sagawa.apk Type A (MoqHao/XLoader)

在安卓端，研究人员发现一大波恶意APK文件正在传播，即Trojan-Dropper.AndroidOS.Wroba.g。

sagawa.apk Type A从2月26日开始传播

研究人员分析恶意APK文件后确认这是sagawa.apk Type A恶意软件的一个变种，也叫做MoqHao (Mcafee)或XLoader (TrendMicro)。Type A恶意软件之前就在日本通过SMS进行传播。

研究人员还发现攻击者入侵了路由器来重写DNS设置，而且还更新了2个特征：

· 一是木马释放模块中加密payload的解密算法

· 二是保存的地址和用于获取真实C2的账号

木马释放模块中加密payload的解密算法

与之前版本相比，木马释放期的解密函数有所改变（修改的部分见图中紫色部分）：

在反编译的代码中增加了4个字节的跳过

攻击者为什么要这么做呢？研究人员猜测攻击者在解密算法上做出了一些改变以绕过安全产品和研究人员的检测。

研究人员已经根据这一改变更新了用于解密的python脚本：

sagawa.apk_typeA_payload_extractor_1.01.py
 #!/usr/bin/env python
 
import sys
import zlib
import base64
 
data = open(sys.argv[1],"rb").read()
dec_z = zlib.decompress(data[4:])            # open.skip(4);
dec_b = base64.b64decode(dec_z)
 
with open(sys.argv[1]+".dec","wb") as fp:
    fp.write(dec_b)

保存的地址和用于获取真实C2的账号

在之前的攻击活动中，有@outlook.com的3个账户“haoxingfu11”, “haoxingfu22”和“haoxingfu33”保存在样本中来提取C2服务器的地址。为了取回C2服务器的地址，邮件服务使用的是真实的C2目的地址，但是是以加密形式出现在邮件的主题subject区域。在新变种中，攻击者使用twitter来提取C2地址。