Android के लिए एक और [लगभग] अपरिहार्य ट्रोजन

पिछले साल के अंत में, सिस्टम क्षेत्र में परिवर्तन का पता लगाने के कार्य का उपयोग करते हुए, हमारे कुछ उपयोगकर्ताओं ने सिस्टम फ़ाइल / सिस्टम / एलिब / एलिबोस्सो में परिवर्तन दर्ज किया। यह लिनक्स-आधारित ऑपरेटिंग सिस्टम के मुख्य पुस्तकालयों में से एक है जो सिस्टम कॉल और बुनियादी कार्यों के लिए जिम्मेदार है। इस मामले की एक विस्तृत परीक्षा ने ट्रोजन के Android.Xiny परिवार से नए नमूने का खुलासा किया, जो 2015 से हमें ज्ञात है।

पहली बार, हमने अपने प्रतिनिधियों की फाइलों पर " अपरिवर्तनीय " विशेषता की स्थापना देखी, जो उपकरणों से ट्रोजन को हटाने में बहुत जटिल है।

यह काफी मनोरंजक लग रहा था: निर्दिष्ट विशेषता को इंस्टॉल किए गए एप्लिकेशन की apk फ़ाइल पर रखा गया था, इस एप्लिकेशन को हटाने का प्रयास सफल रहा, इसका डेटा हटा दिया गया था, लेकिन एपीके फ़ाइल स्वयं ही बनी रही। डिवाइस को रिबूट करने के बाद, एप्लिकेशन "फिर से" दिखाई दिया। हमने 2016 में इनमें से एक ट्रोजन के बारे में बात की थी । इस तरह के खतरों से निपटने के लिए, हमने अपने एंटीवायरस में एक फ़ाइल विशेषता रीसेट फ़ंक्शन जोड़ा है, जो इस शर्त के तहत काम करता है कि उपयोगकर्ता ने एंटीवायरस को रूट विशेषाधिकार प्रदान किए हैं।

इस लेख में, हम आत्मरक्षा की एक और दिलचस्प विधि पर विचार करेंगे, जिसका उपयोग Android.Xiny के नए संस्करणों द्वारा किया जाएगा।

एंड्रॉइड 5.1? 2019 में?

इस लेख में माना गया ट्रोजन एंड्रॉइड ओएस के तहत 5.1 संस्करण तक काम करता है। यह अजीब लग सकता है कि एंड्रॉइड के ऐसे "प्राचीन" संस्करणों के लिए डिज़ाइन किया गया मैलवेयर अभी भी सक्रिय है (संस्करण 5.1 2015 में जारी किया गया था)। लेकिन उनकी उम्र के बावजूद, पुराने संस्करण अभी भी उपयोग में हैं। Google के अनुसार , 7 मई, 2019 तक, 25.2% डिवाइस एंड्रॉइड 5.1 और नीचे चल रहे हैं। हमारे उपयोगकर्ताओं के लिए आंकड़े थोड़ी बड़ी संख्या देते हैं - लगभग 26%। इसका मतलब यह है कि सभी एंड्रॉइड डिवाइस के लगभग एक चौथाई संभावित लक्ष्य हैं, जो इतना छोटा नहीं है। यह देखते हुए कि ये डिवाइस कमजोरियों के लिए अतिसंवेदनशील हैं जो कभी भी तय नहीं होंगे, यह आश्चर्यजनक नहीं है कि एंड्रॉइड ओएस के पुराने संस्करण अभी भी वायरस लेखकों के लिए रुचि रखते हैं। वास्तव में, मूल अधिकार, जो उल्लिखित भेद्यताओं का शोषण करके प्राप्त किया जा सकता है, वायरस लेखकों के हाथों को खोलना - उनकी मदद से, आप डिवाइस पर कुछ भी कर सकते हैं। यद्यपि अधिकांश बार यह अनुप्रयोगों की प्रतिबंधात्मक स्थापना के लिए नीचे आता है।

ट्रोजन के मुख्य कार्य

शुरुआती संस्करणों के साथ शुरू, Android.Xiny ट्रोजन का मुख्य कार्य उपयोगकर्ता की अनुमति के बिना डिवाइस पर मनमाने ढंग से एप्लिकेशन इंस्टॉल करना है। इस प्रकार, हमलावर उन सहबद्ध कार्यक्रमों में भाग लेकर पैसा कमा सकते हैं जो स्थापना के लिए भुगतान करते हैं। जहाँ तक कोई न्याय कर सकता है, यह इस परिवार के रचनाकारों के लिए आय के मुख्य स्रोतों में से एक है। इसके कुछ प्रतिनिधियों को लॉन्च करने के बाद, आप कुछ ही मिनटों में एक व्यावहारिक रूप से निष्क्रिय डिवाइस प्राप्त कर सकते हैं, जिस पर कई हानिरहित लेकिन अनावश्यक उपयोगकर्ता एप्लिकेशन इंस्टॉल और लॉन्च किए जाएंगे। इसके अलावा, ये ट्रोजन मैलवेयर भी स्थापित कर सकते हैं - यह सब प्रबंधन सर्वर से प्राप्त कमांड पर निर्भर करता है।

सबसे दिलचस्प बात यह है कि Android.Xiny ट्रोजन के नए संस्करणों को सेट किया जाता है जो विलोपन के खिलाफ सुरक्षा है। इसके लिए दो घटक जिम्मेदार हैं। आइए उन पर अधिक विस्तार से विचार करें।

संस्थापक

sha1: f9f87a2d2f4d91cd450aa9734e09534929170c6c
पता लगाएँ: Android.Xiny.5261

यह घटक रूट विशेषाधिकार प्राप्त करने के बाद शुरू होता है। यह सिस्टम फ़ाइलों / सिस्टम / बिन / डिबगर्ड और / सिस्टम / बिन / ddexe को अपने स्वचालित लॉन्च को सुनिश्चित करने के लिए बदल देता है, और प्रत्यय _server के साथ नामों के तहत मूल बचाता है, एक क्लासिक साथी वायरस की तरह काम करता है। यह कमांड लाइन के मापदंडों में पारित फ़ोल्डर से सिस्टम विभाजन में कई और निष्पादन योग्य फ़ाइलों को भी कॉपी करता है। इसके अलावा, ट्रोजन उन घटकों को अपडेट कर सकता है जो इसे सिस्टम विभाजन में स्थापित करता है यदि आप इसे विशेष मापदंडों के साथ चलाते हैं और उस फ़ोल्डर को निर्दिष्ट करते हैं जहां नए संस्करण स्थित हैं।

Android.Xiny.5261 में फ़ाइलों को हटाने के लिए प्रभावशाली सूची है। इसमें परिवार के पुराने सदस्यों की विशेषताएं शामिल हैं, साथ ही सिस्टम विभाजन में स्थापित ट्रोजन के प्रतिस्पर्धी परिवार भी शामिल हैं। जैसे, उदाहरण के लिए, त्रय।



इसके अलावा, Android.Xiny.5261 कुछ पूर्व-स्थापित अनुप्रयोगों को हटा देता है - संभवतः अंतरिक्ष को खाली करने के लिए। अंत में, यह सुपरयूएस, किंगरूट और अन्य जैसे प्रसिद्ध रूट अधिकार प्रबंधन अनुप्रयोगों को हटा देता है। इस प्रकार, यह उपयोगकर्ता को रूट अधिकारों का उपयोग करने की क्षमता से वंचित करता है, और, इसलिए, सिस्टम विभाजन में स्थापित ट्रोजन घटकों को हटा दें।

संशोधित सिस्टम लाइब्रेरी libc.so

sha1: 171dba383d562bec235156f101879223bf7b32b7
पता लगाएँ: Android.Xiny.5260

इस फ़ाइल ने हमें सबसे अधिक दिलचस्पी दी, और यह शोध इसके साथ शुरू हुआ। Hiew में इस पर एक त्वरित रूप से .data अनुभाग के अंत में निष्पादन योग्य कोड की उपस्थिति का पता चलता है, जो संदिग्ध है।





आईडीए में फ़ाइल खोलें और देखें कि यह किस प्रकार का कोड है।

यह पता चलता है कि इस लाइब्रेरी में निम्नलिखित फ़ंक्शन बदल दिए गए हैं: माउंट, निष्पादित करें, निष्पादित करें, निष्पादित करें, निष्पादित करें, निष्पादित करें, निष्पादित करें।

संशोधित माउंट फ़ंक्शन कोड:

int __fastcall आरोह ( const char * source , const char * target , const char * filesystemtype , अहस्ताक्षरित int Mountflags , const void * data )
{
अहस्ताक्षरित __int8 systemPath [ 19 ] ; // [sp + 18h] [bp-1Ch]
बूल प्राप्त // [sp + 2Bh] [bp-9h]
int v13 ; // [sp + 2Ch] [bp-8h]
v13 = MAGIC_MOUNTFLAGS ; // 0x7A3DC594
प्राप्तमोग्लिफ्लैग्स = माउंटफ्लैग्स == मैजिक_मॉंटफ्लैगस ;
यदि ( माउंटफ़्लैग्स == MAGIC_MOUNTFLAGS )
माउंटफ्लैग्स = 0x20 ; // MS_REMOUNT
अगर ( प्राप्त मैजिकफ्लैग्स )
कॉल call_real_mount ( स्रोत , लक्ष्य , filesystemtype , माउंटफ्लैग , डेटा ) ;
यदि ( माउंटफ्लैग और 1 ) // MS_RDONLY
कॉल call_real_mount ( स्रोत , लक्ष्य , filesystemtype , माउंटफ्लैग , डेटा ) ;
if ( getuid_ ( ) ) // रूट नहीं
कॉल call_real_mount ( स्रोत , लक्ष्य , filesystemtype , माउंटफ्लैग , डेटा ) ;
memCopy ( systemPath , ( अहस्ताक्षरित __int8 * ) off_73210 + 471424 , 8 ) ; // / प्रणाली
डिक्रिप्ट ( सिस्टमपाथ , 8 ) ;
if ( memCompare ( ( अहस्ताक्षरित __int8 * ) लक्ष्य , systemPath , 8 ) || ( isBootCompete ( ) ) ||
कॉल call_real_mount ( स्रोत , लक्ष्य , filesystemtype , माउंटफ्लैग , डेटा ) ;
* ( _वार्ड * ) इरनो_ ( ) = 13 ;
वापसी - 1 ;
}

शुरुआत में, माउंटफ्लैग्स पैरामीटर को "जादू" मान 0x7A3DC594 की उपस्थिति के लिए जांचा जाता है। यदि यह मान फ़ंक्शन पर जाता है, तो नियंत्रण तुरंत वास्तविक माउंट फ़ंक्शन में स्थानांतरित कर दिया जाता है। अगला, यह जांचा जाता है कि क्या लेखन के लिए / सिस्टम विभाजन को हटाने का प्रयास किया गया है और क्या OS बूट पूरा हुआ है। यदि ये स्थितियां पूरी हो जाती हैं, तो वास्तविक माउंट फ़ंक्शन को नहीं बुलाया जाता है और एक त्रुटि वापस की जाती है। इस प्रकार, ट्रोजन द्वारा संशोधित माउंट फ़ंक्शन किसी को लिखने के लिए सिस्टम विभाजन को हटाने की अनुमति नहीं देता है, केवल ट्रोजन को छोड़कर, जो इसे "जादू" पैरामीटर के साथ कहता है।

संशोधित निष्पादित फ़ंक्शन का कोड (बाकी निष्पादन में * सब कुछ समान है):

int __fastcall को निष्पादित करें ( const char * filename , char * const argv [ ] , char * const envp ]]
{
int v3 ; // आर 3
if ( targetInDataOrSdcard ( फ़ाइल नाम ) > = 0 ) // रिटर्न -1 अगर सही है
{
sub_7383C ( ) ;
v3 = call_real_execve ( फ़ाइल नाम , arvv , envp ) ;
}
अन्यथा
{
* ( _वार्ड * ) इरनो_ ( ) = 13 ;
v3 = - 1 ;
}
वापसी v3 ;
}

int __fastcall targetInDataOrSdcard ( const char * path )
{
char buf [ 516 ] ; // [sp + 8h] [bp-204h]
अगर ( isDataOrSdcard ( पथ ) )
वापसी - 1 ;
if ( * path == '।' && getcwd_ ( buf , 0x200u ) && isDataOrSdcard ( buf ) )
वापसी - 1 ;
वापसी 0 ;
}

यहां यह जांचा जाता है कि लॉन्च की गई फ़ाइल का पथ "/ डेटा /" से शुरू होता है या नहीं और इसमें "/ sdcard" शामिल है या नहीं। यदि शर्तों में से एक को पूरा किया जाता है, तो प्रारंभ अवरुद्ध है। याद रखें कि पथ / डेटा / डेटा / एप्लिकेशन निर्देशिकाओं के साथ हैं। यह सभी निर्देशिकाओं से निष्पादन योग्य फ़ाइलों के निष्पादन को रोकता है जिसमें एक नियमित अनुप्रयोग एक फ़ाइल बना सकता है।

Libc.so सिस्टम लाइब्रेरी में किए गए परिवर्तन रूट विशेषाधिकार प्राप्त करने के लिए डिज़ाइन किए गए एप्लिकेशन को बाधित करते हैं। निष्पादन * के कार्यों में परिवर्तन के कारण, ऐसा एप्लिकेशन सिस्टम में विशेषाधिकारों को बढ़ाने के लिए कारनामों को लॉन्च करने में सक्षम नहीं होगा, क्योंकि आमतौर पर कारनामे निष्पादन योग्य फाइलें होती हैं जो नेटवर्क से एप्लिकेशन निर्देशिका में डाउनलोड की जाती हैं और चलती हैं। यदि आप अभी भी विशेषाधिकार बढ़ाने में सफल रहे हैं, तो बदला हुआ माउंट फ़ंक्शन आपको लेखन के लिए सिस्टम विभाजन को रिमूव करने की अनुमति नहीं देगा, जिसका अर्थ है कि यह इसमें कोई बदलाव नहीं करेगा।

नतीजतन, ट्रोजन की आत्मरक्षा में दो भाग होते हैं: इसका इंस्टॉलर रूट अधिकारों के प्रबंधन के लिए अनुप्रयोगों को अनइंस्टॉल करता है, और संशोधित libc.so पुस्तकालय इसे फिर से स्थापित होने से रोकता है। इसके अलावा, यह संरक्षण "प्रतियोगियों" से भी काम करता है - अन्य ट्रोजन जो रूट विशेषाधिकार प्राप्त करते हैं और सिस्टम विभाजन में स्थापित होते हैं, क्योंकि वे "अच्छे" रूट विशेषाधिकार अनुप्रयोगों के समान सिद्धांत पर काम करते हैं।

ऐसे ट्रोजन से कैसे निपटें?

Android.Xiny.5260 से छुटकारा पाने के लिए, डिवाइस को फ्लैश किया जा सकता है - बशर्ते कि इसके लिए ओपन एक्सेस फ़र्मवेयर हो। लेकिन क्या मैलवेयर को दूसरे तरीके से निकालना संभव है? मुश्किल है, लेकिन संभव है - कई तरीके हैं। रूट विशेषाधिकार प्राप्त करने के लिए, आप पुस्तकालयों के रूप में कारनामों का उपयोग कर सकते हैं। निष्पादन योग्य फ़ाइलों के विपरीत, ट्रोजन उनके डाउनलोड को अवरुद्ध नहीं करेगा। आप स्वयं ट्रोजन के घटक का भी उपयोग कर सकते हैं, जिसे इसके अन्य भागों को मूल अधिकार प्रदान करने के लिए डिज़ाइन किया गया है। यह पाथ / डेव / सॉकेट / hs_linux_work20190808091350 के साथ सॉकेट के माध्यम से कमांड प्राप्त करता है (पथ विभिन्न संशोधनों में भिन्न हो सकता है)। माउंट लॉक को बायपास करने के लिए, आप माउंटफ्लैग पैरामीटर के "जादू" मूल्य का उपयोग कर सकते हैं, या सीधे संबंधित सिसॉल को कॉल कर सकते हैं।

बेशक, मैं इसे लागू नहीं करूंगा।

यदि आपका डिवाइस इस तरह के ट्रोजन को उठाता है, तो हम इसे चमकाने के लिए ऑपरेटिंग सिस्टम की आधिकारिक छवि का उपयोग करने की सलाह देते हैं। हालांकि, यह मत भूलो कि यह सभी उपयोगकर्ता फ़ाइलों और कार्यक्रमों को हटा देगा, इसलिए अग्रिम में बैकअप बनाने का ध्यान रखें।