Donot团伙（APT-C-35）移动端新攻击框架工具分析

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序把安全装进口袋

网络安全

Donot团伙（APT-C-35）移动端新攻击框架工具分析

2019-07-03 15:07:57

背景介绍

肚脑虫(APT-C-35)，由奇安信高级威胁研究团队持续跟踪发现并命名，其主要针对巴基斯坦等南亚地区国家进行网络间谍活动的组织。该组织主要针对政府机构等领域进行攻击，其中以窃取敏感信息为主。

自第一次发现该组织的攻击活动以来，奇安信威胁情报中心对该组织一直保持着持续跟踪，近期发现了其包名为com.tencent.mm(微信包名)最新的移动样本，相比于之前发现的Donot(肚脑虫)移动端程序，此次发现的程序对其代码结构进行了调整，但其C&C和功能方面依然保持了之前Donot(肚脑虫)的风格。

同时在此期间也发现了在早期版本框架基础上修改的新样本，主要是对获取C&C的方式做了改变，其舍弃硬编码C&C方式，利用Google Docs(谷歌在线文档编辑系统)的方式来灵活改变C&C信息。

诱饵分析

此次发现的名为” SafeShareV67”的移动app使用了腾讯微信包名（com.tencent.mm），其通过使用正规app的包名来伪装自己，其真实意图还未可知。同时对其代码框架分析，发现此次结构调整非常大，也对部分功能代码进行了混淆。可以大致判定此样本是经过精心准备的。

图片.png

并且发现该样本上传地印度:

图片.png

一．样本分析

我们所分析的样本基本信息如下：

图片.png

1.1 样本行为描述

该恶意样本名称为“Android Database Library”（其包名为微信包名），通过伪装为Android数据库组件来诱骗用户安装使用，从而可以进一步实施恶意行为；样本运行后会弹出是否开启辅助功能设置框，并会隐藏自身图标，使用户放松警惕，从而达到保护自身的目的；恶意样本在用户手机运行后，会定时从固定服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

1.2 样本基本信息

样本安装图标：

图片.png

运行界面：

图片.png

1.2.1 样本申请权限列表

1.3 详细分析过程

1.3.1 诱骗用户运行并误导用户此程序为正常程序

通过伪装为Android数据库组件来诱导用户点击”OK”，同时跳转到系统的辅助功能界面，然后在后台运行程序。这样操作能误导用户认为此程序是一个android组件程序。

图片.png

1.3.2 隐藏图标保护自身

样本运行以后则会隐藏删除自身图标，使用户放松警惕，从而达到保护自身的目的。

图片.png

1.3.3 根据服务端下发的控制指令，进行相关的恶意操作

恶意样本在手机中运行后，会定时从服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

1）定时从服务器中获取远控指令信息：

图片.png

2）对指令信息进行解析并下发对应的指令操作：

图片.png

3）相关的指令操作：

指令	指令功能
Call	获取用户手机通话记录信息
CT	获取用户手机通讯录信息
SMS	获取用户手机短信息
Key	获取App输入的内容信息
Tree	获取外置存储卡文件列表信息
AC	获取Account信息
Net	获取WiFi、设备厂商等信息
CR	设置用户手机电话通话录音
LR	设定特定时间段录音
FS	文件上传开关
GP	获取地理位置信息
PK	获取用户手机已安装软件列表
CE	获取日历事件信息
Wapp	获取whatsapp聊天信息