💪🏽 🐟 📇 एंड्रॉइड Gustuff ट्रोजन आपके खातों से क्रीम (फायट और क्रिप्टो) को कैसे हटाता है 👌🏻 🚙 🧖

दूसरे दिन, ग्रुप-आईबी ने एंड्रॉइड मोबाइल ट्रोजन गुस्टफ की गतिविधि पर सूचना दी । यह विशेष रूप से अंतरराष्ट्रीय बाजारों में काम करता है, 100 सबसे बड़े विदेशी बैंकों के ग्राहकों पर हमला करता है, 32 मोबाइल क्रिप्टो-पर्स के उपयोगकर्ताओं, साथ ही बड़े ई-कॉमर्स संसाधनों। लेकिन गस्टफ के डेवलपर बेस्टोफर उपनाम के तहत एक रूसी भाषी साइबरक्रिमिनल है। कुछ समय पहले तक, उन्होंने अपने ट्रोजन की प्रशंसा की "ज्ञान और अनुभव वाले लोगों के लिए एक गंभीर उत्पाद।"

ग्रुप-आईबी दुर्भावनापूर्ण कोड का विश्लेषण करने वाले विशेषज्ञ इवान पिसेरेव ने अपने शोध में विस्तार से बताया कि गुस्टफ कैसे काम करता है और इसका खतरा क्या है।

कौन है गुस्टफ शिकार?

गुस्टफ पूरी तरह से स्वचालित सुविधाओं के साथ मैलवेयर की एक नई पीढ़ी है। डेवलपर के अनुसार ट्रोजन एंडीबोट मैलवेयर का एक नया उन्नत संस्करण बन गया है, जो नवंबर 2017 से एंड्रॉइड फोन पर हमला कर रहा है और फ़िशिंग वेब रूपों के माध्यम से पैसे चोरी कर रहा है जो कि प्रसिद्ध अंतरराष्ट्रीय बैंकों और भुगतान प्रणालियों के मोबाइल अनुप्रयोगों के रूप में बहकते हैं। बेस्टोफर ने बताया कि गस्टफ बॉट का किराया प्रति माह 800 डॉलर था।

गस्टफ नमूने के विश्लेषण से पता चला कि ट्रोजन संभावित रूप से सबसे बड़े बैंकों, जैसे बैंक ऑफ अमेरिका, बैंक ऑफ स्कॉटलैंड, जेपी मॉर्गन, वेल्स फारगो, कैपिटल वन, टीडी बैंक, पीएनसी बैंक, साथ ही बिटकॉइन वॉलेट, बिटपाय क्रिप्टो वॉलेट के मोबाइल एप्लिकेशन का उपयोग करने वाले ग्राहकों के लिए है। , क्रिप्टोपाय, कॉइनबेस, आदि।

मूल रूप से क्लासिक बैंकिंग ट्रोजन के रूप में निर्मित, गुस्टफ के वर्तमान संस्करण ने हमले के लिए संभावित लक्ष्यों की सूची में महत्वपूर्ण रूप से विस्तार किया है। बैंकों, फिनटेक कंपनियों और क्रिप्टो सेवाओं के एंड्रॉइड अनुप्रयोगों के अलावा, गुस्टफ का उद्देश्य बाज़ार के अनुप्रयोगों, ऑनलाइन स्टोर, भुगतान प्रणालियों और त्वरित दूतों के उपयोगकर्ताओं के लिए है। विशेष रूप से, पेपैल, वेस्टर्न यूनियन, ईबे, वॉलमार्ट, स्काइप, व्हाट्सएप, गेट टैक्सी, रिवर्स और अन्य।

प्रवेश बिंदु: बड़े पैमाने पर संक्रमण के लिए गणना

गुस्टफ को एपीके के लिंक के साथ एसएमएस मेलिंग के माध्यम से एंड्रॉइड स्मार्टफोन में प्रवेश के "क्लासिक" वेक्टर की विशेषता है। यदि एंड्रॉइड डिवाइस सर्वर की कमांड पर ट्रोजन से संक्रमित है, तो गुस्टफ संक्रमित फोन के संपर्क डेटाबेस या सर्वर डेटाबेस के माध्यम से आगे फैल सकता है। गस्टफ की कार्यक्षमता बड़े पैमाने पर संक्रमण और उसके ऑपरेटरों के व्यवसाय के अधिकतम पूंजीकरण के लिए डिज़ाइन की गई है - इसमें वैध मोबाइल बैंकिंग अनुप्रयोगों और क्रिप्टो-वॉलेट्स में "ऑटो-फिलिंग" का एक अनूठा कार्य है, जो आपको धन की चोरी को तेज करने और स्केल करने की अनुमति देता है।

ट्रोजन के अध्ययन से पता चलता है कि एक्सेसिबिलिटी सर्विस - विकलांग लोगों के लिए एक सेवा का उपयोग करते हुए ऑटो-फिल फ़ंक्शन को इसमें लागू किया गया था। गुस्टफ पहला ट्रोजन नहीं है जो इस Android सेवा का उपयोग करके अन्य अनुप्रयोगों के विंडो तत्वों के साथ बातचीत के खिलाफ सुरक्षा को सफलतापूर्वक खोदता है। हालांकि, ऑटो-लोडिंग के साथ संयोजन में एक्सेसिबिलिटी सर्विस का उपयोग अभी भी काफी दुर्लभ है।

पीड़ित को फोन पर डाउनलोड करने के बाद, एक्सेसिबिलिटी सर्विस का उपयोग करते हुए गुस्टफ को हमलावरों के लिए आवश्यक कार्रवाई करते हुए, अन्य एप्लिकेशन (बैंकिंग, क्रिप्टोक्यूरेंसी, साथ ही ऑनलाइन शॉपिंग, मैसेजिंग आदि) के विंडो तत्वों के साथ बातचीत करने का अवसर मिलता है। उदाहरण के लिए, सर्वर के आदेश पर ट्रोजन बटन पर क्लिक कर सकता है और बैंकिंग अनुप्रयोगों में टेक्स्ट फ़ील्ड के मूल्यों को बदल सकता है। एक्सेसिबिलिटी सर्विस तंत्र का उपयोग करने से ट्रोजन को पिछली पीढ़ी के मोबाइल ट्रोजन का मुकाबला करने के लिए बैंकों द्वारा उपयोग किए जाने वाले सुरक्षा तंत्र को बायपास करने की अनुमति मिलती है, साथ ही एंड्रॉइड ओएस के नए संस्करणों में Google द्वारा शुरू की गई सुरक्षा नीति में परिवर्तन होता है। इसलिए, गुस्टफ "जानता है कि" Google सुरक्षा को अक्षम करने के लिए "कैसे: लेखक के अनुसार, यह फ़ंक्शन 70% मामलों में काम करता है।

Gustuff वैध मोबाइल एप्लिकेशनों के आइकन के साथ नकली PUSH सूचनाएँ भी प्रदर्शित कर सकता है। उपयोगकर्ता PUSH अधिसूचना पर क्लिक करता है और सर्वर से डाउनलोड की गई फ़िशिंग विंडो देखता है, जहां वह स्वयं बैंक कार्ड या क्रिप्टो वॉलेट के अनुरोधित डेटा में प्रवेश करता है। एक अन्य गुस्टफ परिदृश्य में, एक एप्लिकेशन खुलता है जिसके लिए एक PUSH अधिसूचना प्रदर्शित की गई थी। इस स्थिति में, दुर्भावनापूर्ण प्रोग्राम, एक्सेसिबिलिटी सेवा के माध्यम से सर्वर के आदेश पर, धोखाधड़ी के लेनदेन के लिए बैंकिंग एप्लिकेशन के फॉर्म फ़ील्ड को भर सकता है।

गस्टफ की कार्यक्षमता में एक संक्रमित डिवाइस के बारे में सर्वर को जानकारी भेजना, एसएमएस संदेश पढ़ने / भेजने की क्षमता, यूएसएसडी अनुरोध भेजना, SOCKS5 प्रॉक्सी लॉन्च करना, लिंक का पालन करना, फाइलें भेजना (सर्वर के दस्तावेजों, स्क्रीनशॉट, फोटो सहित) शामिल हैं। डिवाइस को फ़ैक्टरी सेटिंग्स पर रीसेट करें।

मैलवेयर विश्लेषण

दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल करने से पहले, एंड्रॉइड ओएस उपयोगकर्ता को एक विंडो दिखाता है जिसमें गुस्टफ द्वारा अनुरोधित अधिकारों की सूची है:

एप्लिकेशन की स्थापना उपयोगकर्ता की सहमति प्राप्त करने के बाद ही होगी। एप्लिकेशन लॉन्च करने के बाद ट्रोजन यूजर को एक विंडो दिखाएगा:

फिर यह अपने आइकन को हटा देगा।

गुस्टफ को लेखक द्वारा एफटीटी पैकर द्वारा पैक किया जाता है। शुरू करने के बाद, एप्लिकेशन समय-समय पर कमांड प्राप्त करने के लिए CnC सर्वर तक पहुंचता है। हमने जिन कई फाइलों की जांच की, उनमें IP पता 88.99.171 [।] 105 का उपयोग नियंत्रण सर्वर के रूप में किया गया था (इसके बाद, हम इसे <% CnC%> के रूप में निरूपित करेंगे)।

शुरू करने के बाद, प्रोग्राम सर्वर http: // <% CnC%> /api/v1/get.php पर संदेश भेजना शुरू करता है ।

उत्तर के रूप में, JSON निम्नलिखित प्रारूप में अपेक्षित है:

{ "results" : "OK", "command":{ "id": "<%id%>", "command":"<%command%>", "timestamp":"<%Server Timestamp%>", "params":{ <%Command parameters as JSON%> }, }, }

हर बार एप्लिकेशन किसी संक्रमित डिवाइस के बारे में जानकारी भेजता है। संदेश का प्रारूप नीचे प्रस्तुत किया गया है। यह ध्यान देने योग्य है कि पूर्ण , अतिरिक्त , एप्लिकेशन और अनुमति फ़ील्ड वैकल्पिक हैं और केवल CnC से अनुरोध आदेश के मामले में भेजा जाएगा।

 { "info": { "info": { "cell":<%Sim operator name%>, "country":<%Country ISO%>, "imei":<%IMEI%>, "number":<%Phone number%>, "line1Number":<%Phone number%>, "advertisementId":<%ID%> }, "state": { "admin":<%Has admin rights%>, "source":<%String%>, "needPermissions":<%Application needs permissions%>, "accesByName":<%Boolean%>, "accesByService":<%Boolean%>, "safetyNet":<%String%>, "defaultSmsApp":<%Default Sms Application%>, "isDefaultSmsApp":<%Current application is Default Sms Application%>, "dateTime":<%Current date time%>, "batteryLevel":<%Battery level%> }, "socks": { "id":<%Proxy module ID%>, "enabled":<%Is enabled%>, "active":<%Is active%> }, "version": { "versionName":<%Package Version Name%>, "versionCode":<%Package Version Code%>, "lastUpdateTime":<%Package Last Update Time%>, "tag":<%Tag, default value: "TAG"%>, "targetSdkVersion":<%Target Sdk Version%>, "buildConfigTimestamp":1541309066721 }, }, "full": { "model":<%Device Model%>, "localeCountry":<%Country%>, "localeLang":<%Locale language%>, "accounts":<%JSON array, contains from "name" and "type" of accounts%>, "lockType":<%Type of lockscreen password%> }, "extra": { "serial":<%Build serial number%>, "board":<%Build Board%>, "brand":<%Build Brand%>, "user":<%Build User%>, "device":<%Build Device%>, "display":<%Build Display%>, "id":<%Build ID%>, "manufacturer":<%Build manufacturer%>, "model":<%Build model%>, "product":<%Build product%>, "tags":<%Build tags%>, "type":<%Build type%>, "imei":<%imei%>, "imsi":<%imsi%>, "line1number":<%phonenumber%>, "iccid":<%Sim serial number%>, "mcc":<%Mobile country code of operator%>, "mnc":<%Mobile network codeof operator%>, "cellid":<%GSM-data%>, "lac":<%GSM-data%>, "androidid":<%Android Id%>, "ssid":<%Wi-Fi SSID%> }, "apps":{<%List of installed applications%>}, "permission":<%List of granted permissions%> }

कॉन्फ़िगरेशन डेटा संग्रहण

Gustuff एक प्राथमिकता फ़ाइल में महत्वपूर्ण कार्य जानकारी संग्रहीत करता है। फ़ाइल नाम, साथ ही इसमें पैरामीटर नाम, 15413090667214.6.1 <% name%> , जहां <% name%> मूल नाम-मान है, से MD5 योग की गणना करने का परिणाम है। नाम पीढ़ी समारोह के पायथन व्याख्या:

  nameGenerator(input): output = md5("15413090667214.6.1" + input)

इस प्रकार, हम इसे नामकरण (इनपुट) के रूप में निरूपित करेंगे।

इस प्रकार, पहली फ़ाइल का नाम है: nameGenerator ("API_SERVER_LIST") , इसमें निम्न नाम वाले मान शामिल हैं:

चर नाम	मूल्य
nameGenerator ("API_SERVER_LIST")	एक सरणी के रूप में CnC पतों की एक सूची शामिल है।
nameGenerator ("API_SERVER_URL")	एक CnC पता शामिल है।
nameGenerator ("SMS_UPLOAD")	ध्वज डिफ़ॉल्ट रूप से सेट किया गया है। यदि ध्वज सेट है - CnC को एसएमएस संदेश भेजता है।
nameGenerator ("SMS_ROOT_NUMBER")	फोन नंबर जिस पर संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेश भेजे जाएंगे। डिफ़ॉल्ट अशक्त है।
nameGenerator ("SMS_ROOT_NUMBER_RESEND")	ध्वज डिफ़ॉल्ट रूप से साफ़ किया गया है। यदि स्थापित है, जब एक संक्रमित डिवाइस एक एसएमएस प्राप्त करता है, तो इसे रूट नंबर पर भेजा जाएगा।
नामकरणकर्ता ("DEFAULT_APP_SMS")	ध्वज डिफ़ॉल्ट रूप से साफ़ किया गया है। यदि यह ध्वज सेट है, तो एप्लिकेशन आने वाले एसएमएस संदेशों को संसाधित करेगा।
नामकरणकर्ता ("DEFAULT_ADMIN")	ध्वज डिफ़ॉल्ट रूप से साफ़ किया गया है। यदि ध्वज सेट है, तो अनुप्रयोग के पास व्यवस्थापक अधिकार हैं।
nameGenerator ("DEFAULT_ACCESSIBILITY")	ध्वज डिफ़ॉल्ट रूप से साफ़ किया गया है। यदि ध्वज सेट किया गया है, तो पहुँच सेवा का उपयोग करने वाली सेवा शुरू की जाती है।
नामकरणकर्ता ("APPS_CONFIG")	JSON ऑब्जेक्ट में उन क्रियाओं की एक सूची होती है, जिन्हें किसी विशेष एप्लिकेशन से जुड़ी एक्सेसिबिलिटी इवेंट ट्रिगर होने पर निष्पादित किया जाना चाहिए।
nameGenerator ("APPS_INSTALLED")	डिवाइस पर इंस्टॉल किए गए एप्लिकेशन की सूची संग्रहीत करता है।
नामकरणकर्ता ("IS_FIST_RUN")	पहली शुरुआत में ध्वज को रीसेट किया जाता है।
nameGenerator ("UNIQUE_ID")	एक विशिष्ट पहचानकर्ता होता है। यह बॉट के पहले लॉन्च पर उत्पन्न हुआ है।

सर्वर कमांड प्रोसेसिंग मॉड्यूल

आवेदन बेस85 एनकोडेड स्ट्रिंग्स के एक सरणी के रूप में CnC सर्वर के पते संग्रहीत करता है। CnC सर्वर की सूची को उपयुक्त कमांड प्राप्त होने पर बदला जा सकता है, जिस स्थिति में पतों को प्राथमिकता फ़ाइल में संग्रहीत किया जाएगा।

अनुरोध के जवाब में, सर्वर एप्लिकेशन को एक कमांड भेजता है। यह ध्यान देने योग्य है कि कमांड और पैरामीटर JSON प्रारूप में प्रस्तुत किए जाते हैं। एक आवेदन निम्नलिखित आदेशों को संसाधित कर सकता है:

टीम	विवरण
forwardStart	संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेश CnC सर्वर पर भेजना शुरू करें।
forwardStop	संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेशों को CnC सर्वर पर भेजना बंद करें।
ussdRun	यूएसएसडी अनुरोध चलाएँ। जिस नंबर पर आप यूएसएसडी अनुरोध करना चाहते हैं वह JSON फ़ील्ड "नंबर" में है।
SendSMS	एक एसएमएस-संदेश भेजें (यदि आवश्यक हो, तो संदेश "भागों में विभाजित" है)। एक पैरामीटर के रूप में, कमांड एक JSON ऑब्जेक्ट लेता है जिसमें "फ़ील्ड्स" - गंतव्य संख्या और "बॉडी" - संदेश बॉडी है।
sendSmsAb	संक्रमित डिवाइस की संपर्क सूची से सभी को एसएमएस संदेश भेजें (यदि आवश्यक हो, तो संदेश "भागों में विभाजित है")। संदेश भेजने के बीच का अंतराल 10 सेकंड है। संदेश निकाय JSON फ़ील्ड "बॉडी" में है
sendSmsMass	कमांड पैरामीटर में निर्दिष्ट संपर्कों को एसएमएस संदेश (यदि आवश्यक हो, तो संदेश "भागों में" विभाजित है) भेजें। संदेश भेजने के बीच का अंतराल 10 सेकंड है। एक पैरामीटर के रूप में, कमांड एक JSON सरणी (फ़ील्ड "एसएमएस") को स्वीकार करता है, जिनमें से तत्व "" से - गंतव्य संख्या और "शरीर" - संदेश निकाय हैं।
changeServer	एक पैरामीटर के रूप में यह कमांड कुंजी "url" के साथ एक मान ले सकता है - फिर बॉट nameGenerator ("SERVER_URL"), या "ऐरे" का मान बदल देगा - फिर बॉट ने nameGenerator ("API_SERVER_LIST") को लिखेगा। इस प्रकार, एप्लिकेशन CnC सर्वर का पता बदल देता है।
adminNumber	कमांड को रूट संख्या के साथ काम करने के लिए डिज़ाइन किया गया है। कमांड निम्नलिखित मानदंडों के साथ एक JSON ऑब्जेक्ट को स्वीकार करता है: प्राप्त मान के लिए "नंबर" - नाम nameenerator ("ROOT_NUMBER"), "resend" - नाम बदलने वाला ("SMS_ROOT_NUMBER_RESEND)", "sendId" - nameGenerator ("ROOT_NUMBER") पर भेजें।
updateInfo	किसी संक्रमित डिवाइस के बारे में सर्वर को जानकारी भेजें।
wipeData	आदेश उपयोगकर्ता डेटा को हटाने के लिए डिज़ाइन किया गया है। किस नाम के आधार पर एप्लिकेशन लॉन्च किया गया था, या तो डेटा पूरी तरह से डिवाइस रीबूटिंग (प्राथमिक उपयोगकर्ता) से मिटा दिया जाता है, या केवल उपयोगकर्ता डेटा हटा दिया जाता है (द्वितीयक उपयोगकर्ता)।
socksStart	प्रॉक्सी मॉड्यूल लॉन्च करें। मॉड्यूल का संचालन एक अलग अनुभाग में वर्णित है।
socksStop	प्रॉक्सी मॉड्यूल बंद करो।
openLink	लिंक का अनुसरण करें। लिंक कुंजी "यूआरएल" द्वारा JSON पैरामीटर में स्थित है। लिंक खोलने के लिए, "android.intent.action.VIEW" का उपयोग करें।
uploadAllSms	सर्वर को डिवाइस द्वारा प्राप्त सभी एसएमएस संदेश भेजें।
uploadAllPhotos	किसी संक्रमित डिवाइस से URL पर चित्र भेजें। URL एक पैरामीटर के रूप में आता है।
uploadFile	संक्रमित डिवाइस से URL पर फ़ाइल भेजें। URL एक पैरामीटर के रूप में आता है।
uploadPhoneNumbers	संपर्क सूची से सर्वर पर फोन नंबर भेजें। यदि JSON ऑब्जेक्ट "ab" कुंजी के साथ एक पैरामीटर के रूप में आता है, तो एप्लिकेशन को फोन बुक से संपर्कों की सूची प्राप्त होती है। यदि एक JSON ऑब्जेक्ट "sms" कुंजी के साथ एक पैरामीटर के रूप में आता है, तो एप्लिकेशन एसएमएस संदेशों के प्रेषकों से संपर्क सूची पढ़ता है।
changeArchive	एप्लिकेशन पते से फ़ाइल डाउनलोड करता है, जो कुंजी "यूआरएल" के साथ एक पैरामीटर के रूप में आता है। डाउनलोड की गई फ़ाइल को "आर्काइव.ज़िप" नाम से सहेजा गया है। उसके बाद, एप्लिकेशन "b5jXh37gxgHBrZhQ4j3D" संग्रह के लिए पासवर्ड का उपयोग करते हुए, यदि आवश्यक हो, तो फ़ाइल को अनज़िप कर देगा। अनज़ैप्ड फाइल्स को [एक्सटर्नल स्टोरेज] / hgps डायरेक्टरी में सेव किया जाता है। इस निर्देशिका में, एप्लिकेशन वेब फ़ेक (बाद में वर्णित) संग्रहीत करता है।
कार्रवाई	कमांड को एक्शन सर्विस के साथ काम करने के लिए डिज़ाइन किया गया है, जिसे एक अलग सेक्शन में वर्णित किया गया है।
कसौटी	यह कुछ नहीं करता है।
डाउनलोड	कमांड को रिमोट सर्वर से फाइल डाउनलोड करने और डाउनलोड निर्देशिका में सहेजने के लिए डिज़ाइन किया गया है। URL और फ़ाइल नाम एक पैरामीटर के रूप में आते हैं, क्रमशः JSON ऑब्जेक्ट पैरामीटर में फ़ील्ड: "url" और "fileName"।
निकालें	डाउनलोड निर्देशिका से एक फ़ाइल हटाता है। फ़ाइल का नाम JSON पैरामीटर में "फ़ाइलनाम" कुंजी के साथ आता है। डिफ़ॉल्ट फ़ाइल नाम "tmp.apk" है।
अधिसूचना	प्रबंधन सर्वर द्वारा परिभाषित विवरण और शीर्षक ग्रंथों के साथ एक अधिसूचना दिखाएं।

अधिसूचना कमांड का प्रारूप है:

 { "results" : "OK", "command":{ "id": <%id%>, "command":"notification", "timestamp":<%Server Timestamp%>, "params":{ "openApp":<%Open original app or not%>, "array":[ {"title":<%Title text%>, "desc":<%Description text%>, "app":<%Application name%>} ] }, }, }

जांच की गई फ़ाइल द्वारा उत्पन्न अधिसूचना ऐप फ़ील्ड में निर्दिष्ट एप्लिकेशन द्वारा बनाई गई सूचनाओं के समान लगती है। यदि ओपेन एप फ़ील्ड का मान सही है, तो अधिसूचना खोले जाने पर, एप्लिकेशन फ़ील्ड में निर्दिष्ट एप्लिकेशन लॉन्च किया जाता है। यदि OpenApp फ़ील्ड का मान गलत है, तो:

एक फ़िशिंग विंडो खुलती है, जिसकी सामग्री निर्देशिका से डाउनलोड की जाती है <% बाहरी संग्रहण%> / hgps / <% फ़ाइल नाम>
फ़िशिंग विंडो खुलती है, जिसकी सामग्री सर्वर से डाउनलोड की जाती है <% url%>? id = <% Bot id%> & app = <% Application name%>
Google Play Card के रूप में प्रच्छन्न एक फ़िशिंग विंडो खुलती है, जिसमें कार्ड की जानकारी दर्ज करने की क्षमता है।

एप्लिकेशन किसी भी कमांड के निष्पादन का परिणाम <% CnC%> \ set_state.php को निम्न प्रारूप के JSON ऑब्जेक्ट के रूप में भेजता है :

 { "command": { "command":<%command%>, "id":<%command_id%>, "state":<%command_state%> } "id":<%bot_id%> }

ActionsService

आदेश की सूची है कि आवेदन प्रक्रियाओं में कार्रवाई शामिल है । एक आदेश प्राप्त होने पर, कमांड प्रोसेसिंग मॉड्यूल विस्तारित सेवा को निष्पादित करने के लिए इस सेवा का उपयोग करता है। सेवा एक JSON ऑब्जेक्ट को एक पैरामीटर के रूप में स्वीकार करती है। एक सेवा निम्नलिखित कमांड निष्पादित कर सकती है:

1. PARAMS_ACTION - इस तरह की कमांड मिलने पर, सबसे पहले JSON पैरामीटर से प्राप्त की गई सेवा टाइप कुंजी द्वारा मान प्राप्त करती है, यह इस प्रकार हो सकता है:

सेवाइन्फो - उपकमांड JSON पैरामीटर से शामिल है NotImportant कुंजी का मान। यदि ध्वज सत्य है, तो अनुप्रयोग FLAG_ISOLATED_PROCESS ध्वज को उस सेवा पर सेट करता है जो एक्सेसिबिलिटी सेवा का उपयोग करती है। इस प्रकार, सेवा को एक अलग प्रक्रिया में लॉन्च किया जाएगा।
रूट - विंडो के बारे में सर्वर की जानकारी प्राप्त करें और भेजें, जो अब फ़ोकस में है। एक अनुप्रयोग AccessibilityNodeInfo वर्ग का उपयोग कर जानकारी प्राप्त करता है।
व्यवस्थापक - व्यवस्थापक अधिकारों का अनुरोध करें।
देरी - "डेटा" कुंजी के साथ पैरामीटर में निर्दिष्ट मिलीसेकंड की संख्या के लिए क्रियाएँ सेवा को निलंबित करें।
विंडोज़ - उपयोगकर्ता को दिखाई देने वाली खिड़कियों की एक सूची भेजें।
इंस्टॉल - एक संक्रमित डिवाइस पर एप्लिकेशन इंस्टॉल करें। पैकेज का नाम - संग्रह कुंजी "फ़ाइलनाम" में है। संग्रह स्वयं डाउनलोड निर्देशिका में स्थित है।
वैश्विक - उपकमांड को वर्तमान विंडो से संक्रमण के लिए डिज़ाइन किया गया है:
- त्वरित सेटिंग्स मेनू पर
- पूर्व
- घर
- सूचनाओं को
- हाल ही में खोले गए अनुप्रयोगों की खिड़की से
लॉन्च - एप्लिकेशन लॉन्च करें। एप्लिकेशन का नाम डेटा कुंजी द्वारा एक पैरामीटर के रूप में आता है।
लगता है - ध्वनि मोड को मौन में बदलें।
अनलॉक - स्क्रीन की बैकलाइट को चालू करता है और कीबोर्ड पूरी चमक पर होता है। अनुप्रयोग WakeLock, स्ट्रिंग [अनुप्रयोग lable]: INFO का उपयोग करके यह क्रिया करता है
अनुमति : फ़ंक्शन कार्यान्वित नहीं किया जाता है (कमांड के निष्पादन की प्रतिक्रिया {"संदेश": "समर्थन नहीं"}} या {"संदेश": "कम एसडीके"})
इशारा - फ़ंक्शन कार्यान्वित नहीं किया जाता है (कमांड के निष्पादन की प्रतिक्रिया {"संदेश": "समर्थन नहीं"} या {"संदेश": "लो एपीआई"})
अनुमतियाँ - यह आदेश आवेदन के लिए अनुमति का अनुरोध करने के लिए आवश्यक है। हालाँकि, क्वेरी फ़ंक्शन कार्यान्वित नहीं किया जाता है, इसलिए कमांड का कोई मतलब नहीं है। अनुरोधित अधिकारों की सूची कुंजी "अनुमति" के साथ JSON सरणी के रूप में आती है। मानक सूची:
- android.permission.READ_PHONE_STATE
- android.permission.READ_CONTACTS
- android.permission.CALL_PHONE
- android.permission.RECEIVE_SMS
- android.permission.SEND_SMS
- android.permission.READ_SMS
- android.permission.READ_EXTERNAL_STORAGE
- android.permission.WRITE_EXTERNAL_STORAGE
खुली - एक फ़िशिंग विंडो प्रदर्शित करें। सर्वर से आने वाले पैरामीटर के आधार पर, एप्लिकेशन निम्नलिखित फ़िशिंग विंडो प्रदर्शित कर सकता है:
- एक फ़िशिंग विंडो दिखाएं, जिसकी सामग्री निर्देशिका में फ़ाइल में लिखी गई है <% बाहरी निर्देशिका%> / hgps / <% param_filename%> । विंडो के साथ उपयोगकर्ता इंटरैक्शन का परिणाम <% CnC%> / record.php पर भेजा जाएगा
- एक फ़िशिंग विंडो दिखाएं जिसकी सामग्री पता <% url_param%> से भरी हुई है? Id = <% bot_id%> & app = <% packagename%> । विंडो के साथ उपयोगकर्ता इंटरैक्शन का परिणाम <% CnC%> / record.php पर भेजा जाएगा
- Google Play कार्ड के रूप में प्रच्छन्न फ़िशिंग विंडो दिखाएं।
इंटरैक्टिव - कमांड को AcessibilityService का उपयोग करके अन्य अनुप्रयोगों के विंडो तत्वों के साथ बातचीत करने के लिए डिज़ाइन किया गया है। बातचीत के लिए, कार्यक्रम में एक विशेष सेवा लागू की जाती है। अध्ययन के तहत आवेदन खिड़कियों के साथ बातचीत कर सकते हैं:
- फिलहाल सक्रिय हैं। इस स्थिति में, पैरामीटर में ऑब्जेक्ट का आईडी या पाठ (नाम) होता है जिसके साथ बातचीत करना आवश्यक है।
- उस समय कमांड निष्पादित होने पर उपयोगकर्ता के लिए दृश्यमान होता है। आवेदन आईडी द्वारा विंडोज़ का चयन करता है।
रूचि के विंडो तत्वों के लिए AccessibilityNodeInfo ऑब्जेक्ट प्राप्त करने के बाद, अनुप्रयोग, मापदंडों के आधार पर, क्रिया कर सकते हैं:
- फोकस - ऑब्जेक्ट पर फोकस सेट करें।
- क्लिक - एक वस्तु पर क्लिक करें।
- ActionId - ID द्वारा एक क्रिया करें।
- setText - ऑब्जेक्ट का टेक्स्ट बदलें। आप पाठ को दो तरीकों से बदल सकते हैं: ACTION_SET_TEXT क्रिया करें (यदि संक्रमित डिवाइस का Android संस्करण LOLLIPOP के बराबर या छोटा है), या क्लिपबोर्ड में एक पंक्ति रखकर (ऑब्जेक्ट को पुराने संस्करणों के लिए) चिपकाकर। इस कमांड का उपयोग बैंकिंग एप्लिकेशन में डेटा बदलने के लिए किया जा सकता है।

2. PARAMS_ACTIONS - PARAMS_ACTION के समान ही, केवल JSON सरणी ऑफ़ कमांड आती है।

ऐसा लगता है कि कई लोग इस बात में रुचि लेंगे कि किसी अन्य एप्लिकेशन के विंडो तत्वों के साथ बातचीत करने का कार्य कैसा दिखता है। इस प्रकार यह कार्यक्षमता Gustuff में कार्यान्वित की जाती है:

 boolean interactiveAction(List aiList, JSONObject action, JsonObject res) { int count = action.optInt("repeat", 1); Iterator aiListIterator = ((Iterable)aiList).iterator(); int count = 0; while(aiListIterator.hasNext()) { Object ani = aiListIterator.next(); if(1 <= count) { int index; for(index = 1; true; ++index) { if(action.has("focus")) { if(((AccessibilityNodeInfo)ani).performAction(1)) { ++count; } } else if(action.has("click")) { if(((AccessibilityNodeInfo)ani).performAction(16)) { ++count; } } else if(action.has("actionId")) { if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) { ++count; } } else if(action.has("setText")) { customHeader ch = CustomAccessibilityService.a; Context context = this.getApplicationContext(); String text = action.optString("setText"); if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) { ++count; } } if(index == count) { break; } } } ((AccessibilityNodeInfo)ani).recycle(); } res.addPropertyNumber("res", Integer.valueOf(count)); }

पाठ प्रतिस्थापन कार्य:

 boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) { boolean result; if(Build$VERSION.SDK_INT >= 21) { Bundle b = new Bundle(); b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text)); result = ani.performAction(0x200000, b); // ACTION_SET_TEXT } else { Object clipboard = context.getSystemService("clipboard"); if(clipboard != null) { ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text))); result = ani.performAction(0x8000); // ACTION_PASTE } else { result = false; } } return result; }

इस प्रकार, यदि नियंत्रण सर्वर को सही ढंग से कॉन्फ़िगर किया गया है, तो Gustuff बैंकिंग एप्लिकेशन में टेक्स्ट फ़ील्ड भरने और लेनदेन के लिए आवश्यक बटन पर क्लिक करने में सक्षम है। ट्रोजन को आवेदन में अधिकृत होने की भी आवश्यकता नहीं है - बस PUSH अधिसूचना को प्रदर्शित करने के लिए एक कमांड भेजें, इसके बाद पहले से स्थापित बैंकिंग एप्लिकेशन को खोलना होगा। उपयोगकर्ता प्राधिकरण के माध्यम से जाएगा, जिसके बाद गुस्टफ ऑटोफिल करने में सक्षम होगा।

एसएमएस प्रसंस्करण मॉड्यूल

एप्लिकेशन संक्रमित डिवाइस द्वारा एसएमएस संदेशों को स्वीकार करने के लिए ईवेंट हैंडलर सेट करता है। अध्ययन के तहत आवेदन एसएमएस संदेश के शरीर में आने वाले ऑपरेटर से आदेश प्राप्त कर सकते हैं। प्रारूप में कमांड आते हैं:

7! 5 = <% Base64 एन्कोडेड कमांड%>

एप्लिकेशन स्ट्रिंग 7 के लिए आने वाले सभी एसएमएस संदेशों में खोज करता है ! 5 = , यदि यह एक स्ट्रिंग का पता लगाता है, तो यह ऑफसेट 4 पर एक बेस 64 स्ट्रिंग को डिकोड करता है और कमांड निष्पादित करता है। कमांड CnC के साथ कमांड के समान हैं। निष्पादन का परिणाम उसी नंबर पर भेजा जाता है जहां से कमांड आया था। उत्तर प्रारूप:

7 * 5 = <% Base64 "result_code कमांड"%> का एन्कोड

वैकल्पिक रूप से, एप्लिकेशन सभी प्राप्त संदेशों को रूट नंबर पर भेज सकता है। ऐसा करने के लिए, वरीयता फ़ाइल में एक रूट नंबर निर्दिष्ट किया जाना चाहिए और संदेश पुनर्निर्देशित ध्वज सेट किया गया है। प्रारूप में हमलावर नंबर पर एक एसएमएस संदेश भेजा जाता है:

<% संख्या से%> - <% समय, प्रारूप: dd / MM / yyyy HH: मिमी: ss%> <% एसएमएस बॉडी%>

वैकल्पिक रूप से भी आवेदन CnC को संदेश भेज सकता है। एसएमएस संदेश JSON प्रारूप में सर्वर को भेजा जाता है:

 { "id":<%BotID%>, "sms": { "text":<%SMS body%>, "number":<%From number%>, "date":<%Timestamp%> } }

यदि ध्वज nameGenerator ("DEFAULT_APP_SMS") सेट है, तो एप्लिकेशन SMS संदेशों को संसाधित करना बंद कर देता है और आने वाले संदेशों की सूची को साफ़ करता है।

प्रॉक्सी मॉड्यूल

अध्ययन के तहत आवेदन में, एक बैककनेक्ट प्रॉक्सी मॉड्यूल है (बाद में प्रॉक्सी मॉड्यूल के रूप में संदर्भित), जिसमें एक अलग वर्ग है जिसमें कॉन्फ़िगरेशन के साथ स्थिर फ़ील्ड शामिल हैं। कॉन्फ़िगरेशन डेटा को खुले रूप में नमूने में संग्रहीत किया जाता है:

प्रॉक्सी-मॉड्यूल द्वारा की जाने वाली सभी क्रियाएं फाइलों में लॉग होती हैं। ऐसा करने के लिए, बाह्य संग्रहण में अनुप्रयोग "लॉग" (ProxyConfigClass.logsDir फ़ील्ड कॉन्फ़िगरेशन श्रेणी में) नामक एक निर्देशिका बनाता है, जिसमें लॉग फ़ाइलों को संग्रहीत किया जाता है। नाम के साथ फ़ाइलों में लॉगिंग होती है:

main.txt - यह क्लास CommandServer नाम के साथ क्लास के संचालन को लॉग करता है । भविष्य में, इस फ़ाइल के लिए स्ट्रिंग के लॉगिंग को मेनलॉग (str) के रूप में दर्शाया जाएगा।
सत्र - <% id%>। txt - एक विशिष्ट प्रॉक्सी सत्र से जुड़े लॉग डेटा को इस फ़ाइल में सहेजा जाता है। इस फ़ाइल के आगे स्ट्रिंग के लॉगिंग को सेशनलॉग (str) के रूप में संदर्भित किया जाएगा।
server.txt - यह डेटा उपरोक्त फ़ाइलों में लिखे गए सभी डेटा को लॉग करता है।

लॉग डेटा प्रारूप:

<% दिनांक%> [थ्रेड [<% थ्रेड आईडी%>], आईडी []]: लॉग-स्ट्रिंग

प्रॉक्सी मॉड्यूल के संचालन के दौरान होने वाली अपवाद भी एक फ़ाइल में लॉग इन होते हैं। इसके लिए, एप्लिकेशन प्रारूप की एक JSON ऑब्जेक्ट बनाता है:

 { "uncaughtException":<%short description of throwable%> "thread":<%thread%> "message":<%detail message of throwable%> "trace": //Stack trace info [ { "ClassName": "FileName": "LineNumber": "MethodName": }, { "ClassName": "FileName": "LineNumber": "MethodName": } ] }

फिर इसे एक स्ट्रिंग प्रतिनिधित्व में परिवर्तित करता है और लॉग करता है।

प्रॉक्सी मॉड्यूल उपयुक्त टीम की प्राप्ति के बाद लॉन्च किया गया है। जब एक कमांड प्रॉक्सी मॉड्यूल शुरू करने के लिए आता है, तो एप्लिकेशन मेनसेवा नामक एक सेवा शुरू करता है, जो प्रॉक्सी मॉड्यूल के संचालन को नियंत्रित करने के लिए जिम्मेदार है - इसकी शुरुआत और रोक।

सेवा शुरू करने के चरण:

1. एक टाइमर शुरू होता है जो एक मिनट में एक बार काम करता है और प्रॉक्सी मॉड्यूल गतिविधि की जाँच करता है। यदि मॉड्यूल सक्रिय नहीं है, तो यह इसे शुरू करता है।
इसके अलावा, जब android.net.conn.CONNECTIVITY_CHANGE इवेंट चालू हो जाता है, तो प्रॉक्सी मॉड्यूल प्रारंभ होता है।

2. एप्लिकेशन PARTIAL_WAKE_LOCK पैरामीटर के साथ एक वेक-लॉक बनाता है और उसे कैप्चर करता है। इसलिए, यह डिवाइस के सीपीयू को नींद मोड में प्रवेश करने की अनुमति नहीं देता है।

3. पहले मुख्य लाइन लाइन ("स्टार्ट सर्वर") को लॉग करके प्रॉक्सी मॉड्यूल कमांड प्रोसेसिंग क्लास शुरू करता है और

सर्वर :: प्रारंभ () होस्ट [<%xy_cnc%>], कमांडपार्ट [<% कमांड_पोर्ट%>], प्रॉक्सीपोर्ट [<% प्रॉक्सी_पोर्ट%>]

जहां प्रॉक्सी_सीएनसी, कमांड_पोर्ट और प्रॉक्सी_पोर्ट प्रॉक्सी सर्वर कॉन्फ़िगरेशन से प्राप्त पैरामीटर हैं।

कमांड प्रोसेसिंग क्लास को CommandConnection कहा जाता है। लॉन्च के तुरंत बाद, यह निम्नलिखित क्रियाएं करता है:

4. ProxyConfigClass.host से जोड़ता है: ProxyConfigClass.commandPort और JSON प्रारूप में संक्रमित डिवाइस के बारे में डेटा भेजता है:

 { "id":<%id%>, "imei":<%imei%>, "imsi":<%imsi%>, "model":<%model%>, "manufacturer":<%manufacturer%>, "androidVersion":<%androidVersion%>, "country":<%country%>, "partnerId":<%partnerId%>, "packageName":<%packageName%>, "networkType":<%networkType%>, "hasGsmSupport":<%hasGsmSupport%>, "simReady":<%simReady%>, "simCountry":<%simCountry%>, "networkOperator":<%networkOperator%>, "simOperator":<%simOperator%>, "version":<%version%> }

जहां:

आईडी - पहचानकर्ता, "x" नाम के साथ साझा वरीयता फ़ाइल से फ़ील्ड "आईडी" के साथ मान प्राप्त करने की कोशिश कर रहा है। यदि यह मान प्राप्त नहीं किया जा सका, तो यह एक नया उत्पन्न करता है। , Proxy- ̆ , ̆ Bot ID.
imei — IMEI ̆. — .
imsi — International Mobile Subscriber Identity ̆. — .
model — The end-user-visible name for the end product.
manufacturer — The manufacturer of the product/hardware (Build.MANUFACTURER).
androidVersion — "<%release_version%> (<%os_version%>),<%sdk_version%>"
country — ̆.
partnerId – .
packageName – package name.
networkType — (: «WIFI», «MOBILE»). null.
hasGsmSupport – true – GSM, false.
simReady – SIM-.
simCountry — ISO- ( ̆ -).
networkOperator — . — .
simOperator — The Service Provider Name (SPN). — .
version — -, ̆ «1.6».

5. . :

0 offset – command
1 offset – sessionId
2 offset – length
4 offset — data

:

mainLog(«Header { sessionId<%id%>], type[<%command%>], length[<%length%>] }»)

:

Name	Command	Data	विवरण
connectionId	0	Connection ID
SLEEP	3	समय	Proxy-
PING_PONG	4	-	PONG-

PONG- 4 : 0x04000000 .

connectionId ( ) CommandConnection ProxyConnection .

: ProxyConnection end . ProxyConnection ProxyConfigClass.host : ProxyConfigClass.proxyPort JSON-:

  { "id":<%connectionId%> }

SOCKS5-, , . ̆ end . :

̆

̆ CnC- SSL. JSON-. :

http://<%CnC%>/api/v1/set_state.php — .
http://<%CnC%>/api/v1/get.php — .
http://<%CnC%>/api/v1/load_sms.php — SMS-̆ ̆.
http://<%CnC%>/api/v1/load_ab.php — ̆.
http://<%CnC%>/api/v1/aevents.php – , preference-̆.
http://<%CnC%>/api/v1/set_card.php — , -, Google Play Market.
http://<%CnC%>/api/v1/logs.php – -.
http://<%CnC%>/api/v1/records.php – , .
http://<%CnC%>/api/v1/set_error.php – ̆ .

, , .

, . , , .

– - , , -, , , , , .

:

Android - , Google Play;
;
Android;
;
;
, SMS-.

, Group-IB.

एंड्रॉइड Gustuff ट्रोजन आपके खातों से क्रीम (फायट और क्रिप्टो) को कैसे हटाता है