本文翻译自:ZLAB恶意软件分析报告《HeroRAT: Analyzing the Telegram based Android malware》

http://csecybsec.com/download/zlab/20180802_CSE_HeroRAT.pdf


2018年6月, ESET的安全研究人员发现了一个安卓远程管理工具(Remote Administration Tool,RAT)家族——HeroRAT,HeroRAT 通过Telegram BOT API与攻击者进行通信。使用Telegram API已经成为Android RAT威胁场景的一种新趋势,HeroRAT之前已经有TeleRAT、IRRAT等RAT家族使用这种技术了。

HeroRAT在伊朗非常活跃,主要通过第三方应用商店、社交媒体和即时通信应用进行传播。

研究人员推测HeroRAT的部分代码来自于其他恶意软件。HeroRAT的一些特征看起来与IRRAT 和TeleRAT明显不同,而一些特征来源于Xamarin框架和TeleSharp库。

HeroRAT的出售价格根据功能分为三种,下图是三个版本的比较:

图 1 HeroRAT三个不同版本比较

恶意软件分析

这三个变种来自相同的RAT,但被用不同的package名,图标和僵尸控制器用户名重新打包了。本文只对其中一个样本进行深入分析。

恶意应用请求的权限如下图所示:

图 2 RAT请求的权限

安装完成后,应用会显示“This application can’t run on your device(应用无法在你的设设备上运行)”这样的信息,然后展示一个假的卸载过程。

图 3 RAT假的卸载消息

然后APP的图标会从主页移除,但RAT还以服务模式(service-mode)在系统中运行。

图 4 RAT仍在系统中运行

为了隐藏APP图标并让RAT后台运行,攻击者将setComponentEnabledSetting设置为disabled,并指定了参数DontKillApp,如下图所示:

图 5 -用于隐藏APP图标的代码

上图还说明应用会检查设备,然后根据系统选择的语言展示消息。

恶意软件与Xamarin

对APK软件分析发现,有一个名为assemblies的文件夹,含有下面的DLL:

图 6 来自Xamarin 的DLLs

这些来源于Xamarin框架的库可以让恶意软件作者用C#语言开发安卓应用。

上面列表中还有TeleSharp库,是C#实现Telegram Bot API的库,直接基于TeleSharp API,因此,恶意软件的开发就非常简单了。

图 7 – TeleSharp库

因为使用了Xamarin框架,所有的Java源代码文件只含有代码封装,而真实的代码都在android.os.dll文件中了。而反编译dll文件就比较简单了。

RAT 功能和特征

通过分析源代码,研究人员发现该RAT有所有RAT的经典功能,比如读短信和通话记录、获取位置信息、开关机、下载文件等等:

图 8 – RAT的功能

Telegram僵尸的MainTokenn作为RAT的C2出现在源代码中:

图 9 - Telegram僵尸的MainToken

还可以查询Telegram REST API获取僵尸主机的用户名,然后发送命令给僵尸主机:

图 10 – Bot信息

图 11 -与僵尸主机通信

但是,僵尸主机并没有接收研究人员发送的命令,回复的信息是“You Cant Use Of Bot Before Register In This Bot”。说明僵尸主机只接受来自特定源的命令,这在源代码中也得到了验证,源代码中有发送者id和Manager id的比较。三种样本唯一的区别也就是Manager ID和僵尸主机的MainToken。

图 12 - Sender ID检查

下图是样本中的Manager用户名:

图 13 - Manager用户名

通过该用户名,研究人员找到了Telegram上的manager(botmaster):

图 14 – Manager账户

Yara Rules

rule HeroRAT {
meta:
description = "Yara Rule to individuate some samples of HeroRAT Android malware"
author = "CSE CybSec Enterprise - ZLab"
last_updated = "2018-07-31"
tlp = "white"
category = "informational"
strings:
$a = "assemblies/TeleSharp.dll"
$b = "assemblies/Mono.Android.dll"
$c = {49 64 00 67 65 74 5F 4D 79 4D 61 6E 61 67 65 72}
$d = {52 65 70 6C 79 4D 65 73 73 49 64 00 73 65 74 5F 43 68 61 74 49 64}
condition:
$a and $b and ($c or $d)
}

点击收藏 | 0 关注 | 1
  • 动动手指,沙发就是你的了!
登录 后跟帖