ArmaRat:针对伊朗用户长达两年的间谍活动

阅读量    11892 | 评论 1

分享到: QQ空间 新浪微博 微信 QQ facebook twitter

一、 主要发现

2016年7月起至今,360烽火实验室发现一起针对伊朗Android手机用户长达两年之久的间谍活动。截至目前我们一共捕获了Android 样本18个,涉及的 C&C 域名5个。

2016 年7月,我们捕获了第一个Android平台下伪装成“Telegram Channel Assistance”应用的木马,在此后的两年中,我们又先后捕获了与此相关的数十个变种。我们发现,该木马主要伪装成社交、系统、色情视频及Adobe flash player等应用,借助社交软件Telegram进行传播。

木马的恶意行为演变过程大致分为4个版本,最初版本会伪造联系人,获取手机基本信息,静默拍照,拦截并转发指定短信信息。随着版本变化,木马的恶意行为不断增多,最新版本存在20多种恶意行为。入侵成功后攻击者可以完全控制用户手机,并对用户手机进行实时监控。

由于该木马演变过程中C&C及代码结构均出现“arma”关键字,所以我们将该木马家族命名为“ArmaRat”。

 

二、 受影响地区

2016年7月起至今,根据我们的监测受到ArmaRat木马影响的地区主要是伊朗,占比高达91%。

 

三、 感染链

通过对感染的用户手机进一步分析,我们发现了ArmaRat木马的传播方式。攻击者借助社交软件Telegram分享经过伪装的ArmaRat木马,用户下载安装运行后,会释放伪装成系统应用的恶意子包,诱导用户进行安装操作。

 

四、 伪装对象

ArmaRat木马主要伪装成社交、系统、色情视频及Adobe flash player等应用,其中还包括伪装成伊朗特色节日“诺鲁孜节”的应用。诺鲁孜节是伊朗、中亚及我国部分少数民族的节日,是为进入春耕生产,绿化、美化、净化环境做准备的节日。

 

五、 后门分析

我们根据捕获到的ArmaRat木马变种的打包时间,恶意行为以及代码结构,将其演变过程分为4个版本。

从版本1到版本4,ArmaRat木马功能不断增多,下图为每个版本的功能的迭代变化情况。

另外,我们发现与普通的恶意软件行为相比,ArmaRat木马的一些恶意行为极为少见:

(1)伪造Telegram钓鱼页面

(2)窃取Telegram验证码短信

(3)伪造联系人

将控制号码9850001333125467伪装成“Telegram”或者“HAMRAHAVVAL”(疑似与伊朗电信提供商MCI相关)插入到联系人,推测为了更好的隐藏控制号码发送短信的行为记录。

 

六、 C&C分析

我们以时间轴和不同颜色的方式来展示ArmaRat木马的C&C变化情况:

红色部分:C&C前面几乎都是以“mcyvpn”开头,不同时间段URL的path部分分别是 “tgp”、“armaphone”,并且更换了新域名;

紫色部分:URL的path部分出现关键字“arma”,其中2017年2月出现了“192.168.92.10”的测试IP,之后的一段时间path部分均为“armaspyware”;

黑色部分:直到今年3月C&C更换成指定的IP,但path部分与前一阶段保持一致,均为“spydb_api.php”;

ArmaRat木马的C&C主要使用动态域名,动态域名占比82%。动态域名可以将任意变换的IP地址绑定给一个固定的二级域名。不管这个线路的IP地址怎样变化,因特网用户还是可以使用这个固定的域名,来访问或登录用这个动态域名建立的服务器。分析人员和网络执法人员主要根据IP地址对木马服务器进行定位,如果木马使用动态域名的方式,即意味着木马服务器的IP地址时刻在改变,由此增加了追踪的难度。

ArmaRat木马C&C与样本关系如下图,可以看出样本与C&C之间通过一些特殊字符“mcyvpn”、“arma”、“spydb_api.php”进行关联的整体情况。

 

七、 总结

经过我们分析,ArmaRat木马长达两年的间谍活动背后的攻击者,回传隐私信息使用伊朗区号98,远控的短信指令包含波斯语,通过伪装的软件可以看出攻击者了解伊朗的传统节日。

近年来伊朗局势每况愈下,社会环境的动荡带来了更多负面效果,网络攻击日渐频繁,国外安全公司不断曝出TeleRAT、HeroRat等针对伊朗用户的攻击活动,这次发现的ArmaRat是又一实例,我们预测类似这种攻击活动还将继续,伴随着伊朗局势的不稳定会更加严重。

分享到: QQ空间 新浪微博 微信 QQ facebook twitter
|推荐阅读
|发表评论
|评论列表
加载更多