针对Android设备的开源手机银行木马BankBot / Mazain分析-低调大师

针对Android设备的开源手机银行木马BankBot / Mazain分析

2017-09-18 724

本文讲的是 针对Android设备的开源手机银行木马BankBot / Mazain分析，在最近几年，我们开始对那些针对土耳其银行以及其他各种类型的金融机构应用的恶意软件产生了兴趣。据我们观察，在过去两年这种针对银行业务的恶意软件行为愈演愈烈，特别是在手机银行方面，许多的新型恶意软件已经开始通过网络钓鱼以及打印等方式来进行传播了。

以下是一些例子：

hxxp://nora.biz/index.php?threads/Пишем-android-бота-с-нуля.1425/

hxxps://forum.exploit.in/index.php?s=52f9e19ea5173f0ea43855edabafff41&showtopic=113555

hxxp://a0007517.xsph.ru/threads/pishem-svoj-android-botnet-s-nulja.6/

在C＆C服务器中使用了这些软件含有一小部分的PHP代码，C＆C入口通过命令管理Android木马，而它正在窃取短信以获取OTP。

这种C＆C服务器基本上都被加入了木马程序，来使其能够从android手机中捕捉短信，而在未知的角落里有很多这样的C＆C服务器在活跃着。

我们可以看到，几乎所有的C＆C服务器都是由域名.gdn TLD https://en.wikipedia.org/wiki/.gdn提供服务的，其中一些服务器在域名上是由.pw TLD 提供服务的。

观察后发现这些域名包括：

ifc3yb3rs3cur1tych0.pw

1nj3ct10n.gdn

r0n4ld4.gdn

t4l1sc4.gdn

trolitrader.pw

bigbustown.pw

ch4pr6.gdn

n0309.gdn

tr4f0.pw

t1lk1.gdn

b46.gdn

该列表今后还会继续更新。

很明显拥有这些域名的人以前曾使用了这些不同的域名来作为网络钓鱼站点以及C＆C服务器。

hxxp：//e-trafikcezasiodemesi.net

hxxp：//guvenliktrafikcezasiodemeyeri.com

hxxp：//jethgsyukle.com

以前是这样子的：

而当你使用移动设备访问以下土耳其网站时，这些网站就会帮助传播前文所提到的Android木马。

hxxp：//ircforumlari.net
hxxp：//filmindirsene.net

而如果你使用移动设备或浏览器访问了上述网站，并且将用户代理字符串设置为Android浏览器之一，则网站会提供通过缩短链接来安装Android应用程序。

提供URL缩短服务的hxxp：//dogrulama.link网站正在托管虚拟Flash播放器应用程序。

FlashPlayer.apk及其变体的SHA256散列如下：

62ca7b73563f946df01d65447694874c45d432583f265fad11b8645903b6b099

3bf02ae481375452b34a6bd1cdc9777cabe28a5e7979e3c0bdaab5026dd8231d

6b93f837286da072f1ec7d5f5e049491d76d4d6ecc1784e1fadc1b29f4853a13

d8b28dbcc9b0856c1b7aa79efae7ad292071c4f459c591de38d695e5788264d1

bd194432a12c35ae6ae8a82fa18f9ecac3eb6e90c5ff8330d20d19e85a782958

e0da58da1884d22cc4f6dfdc2e1da6c6bfe2b90194b86f57f9fc01b411abe8de

我们还发现有些类的名字似乎是用土耳其语写的。

还有一些俄罗斯语写的（俄罗斯论坛上已经找到原文）。

安装flashplayer.apk到手机上后，该恶意软件就请求用户首次提供设备管理员权限：

该恶意软件要使用的其他权限还有：

除此之外，该恶意软件还会有一些服务要运行。

木马可以从C＆C接收以下命令：

非结构化补充服务数据请求

请求管理员/root权限

发短信

恶意软件会扫描statham类中定义的所有运行进程。

在收到所有正在运行的进程列表后，我们和自己的手机银行应用程序进程列表对比了一下：

据我们了解，几乎所有的土耳其手机银行和金融应用程序都受到了BankBot恶意软件的影响：

com.ziraat.ziraatmobil

com.ziraat.ziraattablet

com.tmobtech.halkbank

com.vakifbank.mobile

com.pozitron.vakifbank

com.akbank.android.apps.akbank_direkt

com.akbank.softotp

com.akbank.android.apps.akbank_direkt_tablet

tr.com.sekerbilisim.mbank

com.teb

com.pozitron.iscep

com.softtech.isbankasi

com.ykb.android

com.ykb.androidtablet

com.tmob.denizbank

com.tmob.tabletdeniz

com.garanti.cepsubesi

biz.mobinex.android.apps.cep_sifrematik

com.htsu.hsbcpersonalbanking

com.ingbanktr.ingmobil

com.magiclick.odeabank

com.finansbank.mobile.cepsube

finansbank.enpara

com.pozitron.albarakaturk

com.kuveytturk.mobil

而且源代码中的电话号码也会被Bankbot阻止:

Toast.makeText((Context)context, (CharSequence)"Giden Aramalar Engellendi.", (int)0).show();

这些电话号码都是用于访问相关银行的电话银行系统的。

this.b = arrayList.getStringExtra("incoming_number");

arrayList = new ArrayList（）;

arrayList.add（ “+ 9008502200000”）;

arrayList.add（ “+ 908502200000”）;

arrayList.add（ “+ 904440000”）;

arrayList.add（ “+ 9008502220400”）;

arrayList.add（ “+ 908502220400”）;

arrayList.add（ “+ 904440400”）;

arrayList.add（ “+ 9008502220724”）;

arrayList.add（ “+ 908502220724”）;

arrayList.add（ “+ 904440724”）;

arrayList.add（ “+ 9008502222525”）;

arrayList.add（ “+ 908502222525”）;

arrayList.add（ “+ 904442525”）;

arrayList.add（ “+ 9008502227878”）;

arrayList.add（ “+ 908502227878”）;

arrayList.add（ “+ 904447878”）;

arrayList.add（ “+ 9008502000666”）;

arrayList.add（ “+ 908502000666”）;

arrayList.add（ “+ 904440832”）;

arrayList.add（ “+ 9002166353535”）;

arrayList.add（ “+ 902166353535”）;

arrayList.add（ “+ 9008507240724”）;

arrayList.add（ “+ 908507240724”）;

arrayList.add（ “+ 904440202”）;

arrayList.add（ “+ 9008502220444”）;

arrayList.add（ “+ 908502220444”）;

arrayList.add（ “+ 904440444”）;

arrayList.add（ “+ 9008502220800”）;

arrayList.add（ “+ 908502220800”）;

arrayList.add（ “+ 904440800”）;

arrayList.add（ “+ 9008502220333”）;

arrayList.add（ “+ 908502220333”）;

arrayList.add（ “+ 904440333”）;

arrayList.add（ “+ 9008502110111”）;

arrayList.add（ “+ 908502110111”）;

arrayList.add（ “+ 9008502220600”）;

arrayList.add（ “+ 908502220600”）;

arrayList.add（ “+ 904448444”）;

arrayList.add（ “+ 9002123048444”）;

arrayList.add（ “+ 902123048444”）;

arrayList.add（ “+ 9008502220900”）;

arrayList.add（ “+ 908502220900”）;

arrayList.add（ “+ 904440900”）;

arrayList.add（ “+ 9008502223663”）;

arrayList.add（ “+ 908502223663”）;

arrayList.add（ “+ 9008502225666”）;

arrayList.add（ “+ 908502225666”）;

arrayList.add（ “+ 904445666”）;

arrayList.add（ “+ 9002166660101”）;

arrayList.add（ “+ 902166660101”）;

arrayList.add（ “+ 9008502510123”）;

arrayList.add（ “+ 908502510123”）;

arrayList.add（ “+ 9002123541111”）;

arrayList.add（ “+ 902123541111”）;

arrayList.add（ “08502200000”）;

arrayList.add（ “8502200000”）;

arrayList.add（ “4440000”）;

arrayList.add（ “08502220400”）;

arrayList.add（ “8502220400”）;

arrayList.add（ “4440400”）;

arrayList.add（ “08502220724”）;

arrayList.add（ “8502220724”）;

arrayList.add（ “4440724”）;

arrayList.add（ “08502222525”）;

arrayList.add（ “8502222525”）;

arrayList.add（ “4442525”）;

arrayList.add（ “08502227878”）;

arrayList.add（ “8502227878”）;

arrayList.add（ “4447878”）;

arrayList.add（ “08502000666”）;

arrayList.add（ “8502000666”）;

arrayList.add（ “4440832”）;

arrayList.add（ “02166353535”）;

arrayList.add（ “2166353535”）;

arrayList.add（ “08507240724”）;

arrayList.add（ “8507240724”）;

arrayList.add（ “4440202”）;

arrayList.add（ “08502220444”）;

arrayList.add（ “8502220444”）;

arrayList.add（ “4440444”）;

arrayList.add（ “08502220800”）;

arrayList.add（ “8502220800”）;

arrayList.add（ “4440800”）;

arrayList.add（ “08502220333”）;

arrayList.add（ “8502220333”）;

arrayList.add（ “4440333”）;

arrayList.add（ “08502110111”）;

arrayList.add（ “8502110111”）;

arrayList.add（ “08502220600”）;

arrayList.add（ “8502220600”）;

arrayList.add（ “4448444”）;

arrayList.add（ “02123048444”）;

arrayList.add（ “2123048444”）;

arrayList.add（ “08502220900”）;

arrayList.add（ “8502220900”）;

arrayList.add（ “4440900”）;

arrayList.add（ “08502223663”）;

arrayList.add（ “8502223663”）;

arrayList.add（ “08502225666”）;

arrayList.add（ “8502225666”）;

arrayList.add（ “4445666”）;

arrayList.add（ “02166660101”）;

arrayList.add（ “2166660101”）;

arrayList.add（ “08502510123”）;

arrayList.add（ “8502510123”）;

arrayList.add（ “02123541111”）;

arrayList.add（ “2123541111”）;

不过我们也发现开发恶意软件的人可能会有点懒惰或在编程方面没有什么经验，显示用于拦截/阻止传出呼叫的字符串和网上搜到的一模一样。

C＆C服务器还有用于从用户获取凭据的特殊登录页面：

显示钓鱼窗口WebView，并从命令中指定的链接下载内容。

以上就是我们对他们的分析，我们有理由相信随着手机银行业务的普及，今年可能会面临更多类似的情况。

原文发布时间为：2017年5月17日

本文作者：Change

本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。

原文链接

微信关注我们

原文链接：https://yq.aliyun.com/articles/218513

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

intellij开发安卓与genymotion配合

原文: intellij开发安卓与genymotion配合【声明】欢迎转载，但请保留文章原始出处→_→ 生命壹号：http://www.cnblogs.com/smyhvae/ 文章来源：http://www.cnblogs.com/smyhvae/p/4013535.html 联系方式：smyhvae@163.com 【正文】【开发环境】物理机版本：Win 7旗舰版（32位） Java SDK版本：jdk1.8.0_20（32位） Android SDK版本：Android 4.4(API 20) IntelliJ IDEA版本：IntelliJ IDEA 13.1 一、IntelliJ IDEA的引入： 2013年，IntelliJ IDEA小组已经与众多业内领先的开发技术建立了非常紧密的关系：例如Android, Spring, Scala和Gradle. 这样一来，我么就能够在百舸争流中保持领先，为开发者提供最优质的开发工具，让我们体验到最尖端的开发技术。我们就先来介绍一下这几个关键词： JavaEE 8：为了兑现我们“最先”而且“最优”地为所有Java开发者提供新...

2017-09-18

701

H5很重要，H5很重要，H5很重要，重要的事情要说三遍。VasSonic是腾讯开源的解决H5首屏渲染痛点的开源项目，本文通过解读代码来学习WebView的优化思路。 H5的优劣 H5的优势很明显，跨平台、迭代快、开发体验好。H5的劣势同样明显，加载慢，用户体验差。业内大牛想尽各种方法来弥补H5的劣势，初级使用缓存、预加载等常用方案，高级如Hybrid、ReactNative、Weex等H5的进阶解决方案。VasSonic专注于H5的秒开，使用的也是我们常见的性能优化方案。本文尝试了解VasSonic是如何用常见的手段将性能优化做到极致的。 VasSonic解决什么问题关于WebView为什么打开慢、加载慢，业界已经有很多分析了，结论也是比较一致的，推荐美团点评技术团队的WebView性能、体验分析与优化，腾讯关于VasSonic的官方文

2017-09-18

975

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。