# 从Windows 到安卓：多重攻击机制的远控的分析 Author: 乌云历史资料库 (@wooyun_archive) Published: 2014-03-21T10:16:00Z Canonical: https://wepostx.com/topics/404 > 乌云历史资料归档 > > **原始作者：** livers > **原始编号：** superkieran-wooyundrops:194 > **原始发布时间：** 2014-03-21 18:16 > **声明：内容仅用于技术研究和个人使用，版权归 wooyun.org。** --- ## 0x00 背景 Feye近期检测到一起通过高度伪造的钓鱼邮件（鱼叉式钓鱼电邮）攻击，目标直指美国的金融机构。攻击中用到的恶意代码是由一个被作者出售的间谍和监视工具生成。此工具的功能很类似市面上常见的其他远控软件。同时，也发现了其他的攻击者把此工具的恶意代码嵌入到宏文本文件中用来攻击其他的目标，看上去更像是第二轮的撒网式钓鱼邮件攻击。 用于攻击金融机构的C&C的网络设备是被WinSpy的作者控制的。这并不意味着作者有意在背后为攻击者提供了服务器。而是攻击者使用了WinSpy包里面默认配置存储受害者的数据。这个功能也许是作者的无心之失。 在分析WinSpy的恶意代码的时候，我们发现其中也有AndroidSpy间谍的组件部分，我们称之为GimmeRat。这个安卓工具有多种功能包括允许被感染的设备通过短信或者其他形式被Windows的设备控制。基于windows平台的远控看上去只能通过物理访问控制安卓设备。最近数量上升的安卓远控如Dendroid或者AndroRAT，表名黑客们对移动设备更感兴趣。GimmeRAT是又一个攻击者开始转向andorid系统的例子。 ## 0x01 利用 WinSpy进行攻击 WinSpy 作为一个间谍和监视工具出售给用户，其自身的远程管理功能适合对手找到目标组织的法案.使用WinSpy包的默认指令和默认服务器为攻击者提供一层匿名代理。 ![原文图片](/media/2016/06/53f1fc69cbfa0cf8aa28619cf4837d9e) 图1 – 针对金融机构的攻击机制 通过伪造过网络钓鱼的电子邮件并采用WinSpy的恶意代码针对美国金融机构进行攻击。电子邮件的附件（b430263181959f4dd681e9d5fd15d2a0）是一个大的安装程序的打包文件。打开时用一个工资单的pdf截图作为诱饵，以避免受害者的关注。它同时会下载和生成如在图1和图2所示的各种组件。 ![原文图片](/media/2016/06/cef82a28b934172ee11ac3d0b72a5b75) 图二：WinSpy的组件 我们观察到另一个攻击者在微软宏文档(78fc7bccd86c645cc66b1a719b6e1258, f496bf5c7bc6843b395cc309da004345) 和独立的可执行文件(8859bbe7f22729d5b4a7d821cfabb044, 2b19ca87739361fa4d7ee318e6248d05)中使用WinSpy。 这些恶意文件作为附件或者是下载链接的形式封装到电子邮件中。它们包含下列特征元素： ![原文图片](/media/2016/06/b4f7f62717f1de622c1d06c92a4110cc) 这些被发现的恶意邮件有下列命名的附件： ```text Western Union Slip.xls Money Transfer Wumt.xls Wumt.xls ``` ## 0x02 Windows 组件 WinSpy模块使用VB进行编码的，同时用一些公开的lib库如modJPEG.bas 和cJpeg.cls。 这些组件支持多种特性如下： ![原文图片](/media/2016/06/ec99baf9d2cf0cca2b539616ed0919f5) WinSpy木马软件会在注册表的SOFTWAREMSI64目录下创建自己的配置。WinSpy的组件在运行时会读取该配置。此配置包含各种设置，如：用户名，唯一标识，连接参数，远程FTP和认证，文件名，数据的路径，当前的状态等等。例如：DUNIN代表卸载日期，FTSV代表的FTP服务器，FTUS代表着FTP用户等。SID2表示识别感染的唯一标识，在初始化时候创建。 ![原文图片](/media/2016/06/e067f96495526afb3bb2b4ad5c2b42f1) WinSpy 配置 WinSpy有多个选项配置来生成一个木马文件。有趣的是默认配置的参数竟然是作者控制的服务器。 ![原文图片](/media/2016/06/9a7ce7b79ae11d81b2799efc28eec064) 图四 WinSpy生成器 控制器可以截屏，键盘记录，也可以上传下载文件 执行恶意代码。 ![原文图片](/media/2016/06/e96d502244b86225c39c2b80d96f6c37) 图五 WinSpy控制器 ![原文图片](/media/2016/06/c57bf30527cee8a25c4e12abf61baa89) 图六 WinSpy文件浏览器 发指令和控制 WinSpy有多种通信方式进行数据传递和指令控制（类似心跳包）。 ### 方法一 反向连接控制者服务器的14001端口，“/p”表示在线，服务器也以”/p”回应。 ![原文图片](/media/2016/06/911a9d518929c70b35f8cdaa9dbbb13a) 图七 在线状态 ### 方法二 通过自己封装的协议反向连接作者服务器的27171。 请求包含受害者的IP地址以及前面讲的唯一标志。服务器返回带有keep alive的response. ![原文图片](/media/2016/06/453b769952f5961fc516f9eb3bf6eac8) ### 方法三 smtp 在配置了SMTP选项的情况下，他通过SMTP回传键盘记录的数据。作者服务器STMP运行在37端口。37端口通常是用于NTP协议，但WinSpy的作者把它配置成STMP服务器。SysMon v1.0.0的响应头非常明显。 ![原文图片](/media/2016/06/3a122c0e108a94a4257ae572249d94ea) 图十 SMTP ### 方法四 FTP 通过自定义的FTP服务器进行定期传输。FTP帐号密码等在前面说的注册表配置中。 ### 方法五 直接控制 Rdbms.exe模块监听受害者机器的443端口。攻击者可以直接从WinSpy控制器连接到该端口并发出各种命令来下载数据，上传/下载文件，执行文件，发送邮件，查看摄像头等。数据传输使用端口444。它支持各种命令，如下所示。在初始连接的命令表，作者打算在某个时间点来实现认证，但目前的情况是任何人都可以使用这个命令连接到受感染的机器 。 ![原文图片](/media/2016/06/4cfacc180c5bd5f806b93052e77ccc99) 表示各种低小下啊！！！ ## 0x03 安卓组件 终于有些感兴趣的了。 在调查WinSpy的过程中发现一些android木马组件。我们已经发现三个不同应用是该套件的一部分。其中一个应用，需要通过一个Windows服务器进行控制。只能物理接触androids设备感染。其他两个应用是C-S架构，通过另一个android手机进行远程控制。 ![原文图片](/media/2016/06/64c96e99976f935c0d49e166cd5770aa) 图11 安卓组件 ## 0x04 Windows 控制器 Windows的控制器需要对android设备进行直接的物理接触，可运行攻击者获取感染设备的截图。选项如下： ![原文图片](/media/2016/06/5b195fefc31abd728fa0042f446d4c98) ### 组件一 ：GlobalService.apk ```text Components: a. Services Global Service b. Methods Sleeper ScreenCapturer ServiceActivity ``` #### Activity组件 该应用以intent绑定机制启动android桌面应用。使用Intent连接com.google.system.service.StartUpReceiver服务时使用附加信息。字符串格式如下： “interval@@hostname@@port@@username@@password@@working_directory@@delete_after_upload” 服务器名，端口，用户名，密码连接攻击者的FTP服务器。在后面介绍如何传递截图。一旦此intent接收到就会让 GlobalService服务一个间隔参数重启。 #### GlobalService组件 服务包含下列变量 ```text private static final String TAG = "GlobalService"; private static boolean isScreenON; private int mInterval; private KeyguardManager mKeyGaurdManager; private BroadcastReceiver mPowerKeyReceiver; private Timer mSyncTimer; private TimerTask mSyncTimerTask; ``` 他会一直检测键盘锁是否解锁，如果屏幕键盘锁被解，他会调用startScreenCaptureThread（）截取屏幕。 ```text startScreenCaptureThread 该线程设置毫秒的时间间隔，将结果传递给服务。它还设置了 mSyncTimerTask的值（任务同步），调用ScreenCapturer. takeScreenshot方法，可以让线程调用时，每隔多少秒进行截图。 ScreenCapturer. takeScreenshot 使用socket连接到 localhost:42345端口，GlobalNativeService监听此端口接收socket传来的数据。 takeScreenshot以字符串的形式发送‘/data/local/tmp/images/screenshot_DATE.png’到GlobalNativeService。GlobalNativeService检测接收的字符串最后/的是否有screenshot，如果有 则调用screencap –P 路径 截图。 takeScreenshot 返回截图的路径作为参数传给screenCaptureThread方法。该方法调用FTPService传截图给攻击者的C&C服务器。 ``` #### GlobalNativeService 除了上面说的监听 等待截图指令还有其他类似 删除文件，保存FTP信息到/data/local/tmp/ftpInformation中。 此外 ，如果socket 传来GPSLocationInfo这样的字符串，它会创建/data/local/tmp/GPSLocations.txt（但不含GPS信息 未完善的功能）。 ## 0x05 Android 远程控制 ### 组件1 GPSTracker.apk GPSTracker的启动和GlobalService一样，以一个时间间隔启动。记录设备的GPS位置，定期五分钟。只有当现在位置离开先前位置200m后才会记录。 当某个位置已被添加到数据库中的所有以前的位置被删除。因此，它只能维持最后的位置。 这个应用监控所有传进来的信息，如果SMS （短信）带有 [gmyl] (Short for (g)ive (m)e (y)our (l)ocation) 短信时，它会终止该短信的接收，并进行数据库查询。并回复短信 类似下面： ```text [himl]<>DATE>