Welcome Chat间谍软件分析报告-安全客

概述：welcome表面上是一款面向阿拉伯地区的聊天软件，实则是一款具有强大聊天功能的间谍软件。该应用程序具有获取并上传用户通讯录、通话记录、短信、文件、位置等隐私信息的功能，并通过监听用户电话状态对用户通话记录进行录音、监听用户短信数据库，过滤并上传用户收发的短信息。

welcom间谍软件主要通过网站进行传播，目前并没有发现其上架于应用商店。应用程序分发网站地址：http://ephon****vicesc.lub/。

图1-1官网首页

页面上显示GooglePlay按钮，但GooglePlay并未上架，只是个下载按钮。

图1-2下载按钮

1. 样本运行流程

应用首次运行请求窃取用户隐私数据所需的敏感权限，若用户拒绝授予权限，则应用会退出。接着应用每隔5分钟连接一次服务器，从服务器获取远控指令执行窃取用户设备隐私数据的操作。

图2-1 运行流程图

2.技术原理

（1）welcome启动时必须授予清单中声明的全部权限，权限不足则退出应用，这些权限对于一个聊天App来说可能不会引起用户怀疑。但需提醒用户当一个应用请求大量敏感权限时，应提高警惕行。

图3-1 启动页面

作为一款“社交软件”，程序启动之后申请短信、通讯录、录音等大量敏感权限，如果用户拒绝，则程序自动退出，如图3-2、3-3所示。

图3-2 权限申请弹窗

图3-4 权限不足退出应用

图3-5 隐私相关权限清单

（2）获得授权后上传设备信息并开启服务。

图3-6 上传设备信息

图3-7 启动各项服务

2.1 隐私窃取

（1）获取用户联系人、短信、通话记录等信息并每隔1分钟上传到服务器。

图3-8获取隐私信息

（2）获取用户设备通讯录信息：

图3-9 读取通讯录

（3）获取用户设备短信息：

图3-10 读取短信

（4）获取用户设备通话记录：

图3-11 读取通话记录

（5）通过GPS手段获取用户位置信息：

图3-12 获取位置

（6）监听用户设备来电状态、开始及结束状态并启动录音。

图3-13 监听电话状态

图3-14 记录号码并操作录音

图3-15 获取号码所属联系人名称

（7）获取并上传用户设备文件信息：

图3-16上传信息文件

2.2 远程控制

（1）恶意程序每5分钟请求一次主控地址与服务器交互。

图3-17 开启定时任务

（2）接收并处理服务器发送的命令。

图3-18 接收远程命令

远程控制命令列表：

命令		作用
S1		总开关
S2		暂无
S3		暂无
S4		短信雷达
S5		获取并上传文件
S6		录音
S7		通话监听开关
S8		暂无

（1）S6：指定开始时间和时长启动录音。

图3-19 开启录音

（2）S4：注册监听短信数据库变化，当用户收发短信时触发监听器：

图3-20 监听短信并保存

图3-21 注册短信内容观察者

图3-22 处理短信变化

（3）S5：从C&C处请求要窃取的文件类型，获取此类型的文件并上传。

图3-23 获取的文件类型

（4）获取/mnt目录下的全部文件信息及外部存储器/Camera目录下的全部照片信息保存在数据库中。

图3-24 遍历指定目录

图3-25 遍历文件并存储文件信息

（5）将窃取的信息保存在应用文件目录下的本地数据库中。

图3-26 数据库中存储的文件信息

2.3 信息上传

（1）开启上传用户信息的定时任务。线程启动时延迟5分钟，此后每6分钟执行一次。

图3-28 开启上传定时任务

（2）检测若未在监听状态，上传获取的全部信息文件。

图3-29 上传文件

2.4 C&C交互

（1）为了防止C&C址的泄露，C&C地址以AES加密保存：

图3-30 加密算法

（2）解密后的服务器地址：

图3-31 解密的地址

图3-32 发生的上传请求

上传地址及作用汇总表：

接口		作用
http://api.emob****rvices.club/v1/services		控制录音启动后终止录音指令
http://api.emob****vices.club/v1/types		获取需上传的文件类型
http://api.emob****rvices.club/v1/record		获取录音启动时间和时长
http://api.emob****rvices.club/v1/data		获取远程指令
http://api.emob****rvices.club/v1/file		上传文件