首款利用Firebase云新闻传递机造的高级间谍软件
颁布功夫 2018-03-29一、概述
近期，宝运莱官方网站AdLab追踪到了一款新出现的Android间谍软件，经过深刻分析我们发现，其职能的丰硕水平不亚于2016年发现的针对iOS平台的“Pegasus”，甚至拥有极度大类似之处。与“Pegasus”一样，该间谍软件也是一款职能壮大的间谍软件，可实现远程root提升到最高权限，并且实现了Android层的敏感信息窃取如静默拍照灌音、窃取通讯录、监听短信电话、位相信息、网络WhatsApp、Skype、Facebook用户信息及谈天数据等等，甚至实现了Linux层面的“反弹Shell”以达到其对指标设备的齐全节造。此表，该间谍软件同样也被利用来追踪特定指标人员。
凭据样本关联分析，我们发现该Android间谍软件类似样本在1月16日被卡巴斯基所披露，并被其定名为Skygofree，该间谍软件目前重要活跃在意大利的边陲上。通过对已有信息和样本的分析，我们还发现与该间谍软件类似的多个汗青版本中存在“Negg”公司的署名；并且间谍软件内多个内部组件中也同样出现该公司名称信息及缩写。“Negg”（Negg International）公司为意大利一家幼型软件公司，其网站主页就显示有推算机证据网络的服务，在2015年该公司颁布征聘Android与IOS软件工程师时就要求应聘者具备“恶意软件的分析技术”，而正好这一年前后，该类间谍软件最为活跃。该间谍软件与“Negg”公司可能拥有极度强的关联关系，并有可能为该公司所开发。据安全钻研人员揣摩，该公司开发该间谍软件用于协助意大利法律部门抓捕犯罪嫌疑人。
目前发现的这款间谍软件其最初版本创建于2014年，到2017年该类样本已经过了3个阶段的演进，从最起头的没有root职能和窃取社交软件数据库职能到最新的从远程服务器下载和开释恶意负载，利用设备缝隙对习染设备进行root�？ò退够愿霉亓镜膔oot�？楹痛挤绞浇辛司咛宸治�，宝运莱官方网站分析沉点则放在了该样本Android端的各个服务和节造的逻辑部门。
二、间谍软件行为简介
该间谍软件是目前所见到的Android平台上最为壮大的恶意利用之一。其除了窃取受害用户的短信、通讯录、通话纪录和浏览汗青纪录等敏感信息表（其重要恶意行为见图1），还拥有以下几个特点：
（1）通过无阻碍服务（无阻碍服务是辅助身段不便或者操作不矫捷的人来操作手机利用的，其可被用于监控手机当前活动APP界面，实现对指标界面自动化操作。）进行灌音。为了不被用户发现，间谍软件会在有效到麦克风资源的APP在运行时终场灌音活动。对于Android 4.4W 之前的“HUAWEI”手机，其出格内置了蕴含“tencent”、“whatsapp”在内的多个频仍使用麦克风的盛行利用白名单。
（2）利用Google Firebase 云新闻传递服务（Google Firebase 云新闻传递服务是Google提供的能援手开发者急剧写出Web端和移动端利用通讯的一种服务）对习染设备进行远控。
（3）下载执行反弹Shell。攻击者在躲过通常防火墙的检测并成功拿到反弹Shell后，能够对指标手机进行Linux层面的全面节造。
（4）对习染设备进行定位、强造习染设备衔接攻击者所节造的wifi网络，对习染设备进行上网流量嗅探和中央人攻击。
（5）窃取whatsapp、facebook、gmail等社交软件的本地数据库文件。攻击者会利于这些数据对指标人群进行越发详细深刻的垂钓攻击和数据分析，对用户造成严沉威胁。
图1 间谍软件的重要恶意行为
三、传布方式
该类间谍软件最早能够追忆到2014年，其重要假装成 Vodafone（英国电信公司）或其他通讯运营商的登录页面进行传布（见表1）。凭据数据回溯发现，2015年是该类间谍软件传布最为活跃的一年，并且其传布活动仍在持续。最近观察到的域名登记于2017年10月31日。
表1 该间谍软件的恶意传布页面（数据起源：卡巴斯基）
四、C&C通讯方式
在该类间谍软件的最新版本中，其除了使用传统的网络方式进行号令节造和信息回传表，还初次使用了Google Firebase云新闻传递服务来进行节造号令的下发（示意图见图2）。
图2 该间谍软件的通讯示意图
4.1 Firebase云新闻传递机造利用
Firebase云新闻传递（Firebase Cloud Messaging，简称FCM），也称Firebase云信息传递，前身为Google云新闻传递（GCM），是一项针对Android、iOS及网络利用法式的新闻与通知的跨平台解决规划，目前可免费使用�？⒄咧槐匾趆ttps://firebase.google.com/上，登录自己的Google账户，经过单一的设置操作，便能够将Firebase服务配置到自己的移动APP中。实现移动端的APP设置后，开发者就能够在自己的Firebase网页当选择对应的APP，并在网页上编纂发送自界说的Message�？突Ф嗽蚧嵋訬otifications的方式接管这些Message。
不幸的是，该项技术这次被使用到了间谍软件中。攻击者利用Firebase实时云服务发送恶意号令（分析后的号令和寓意列见表2），习染设备端，间谍软件则对恶意号令进行接管和解析执行（图3）。
表2 节造号令和寓意
图3 间谍软件对恶意号令的接管和解析
为了确保习染设备能实时收到Google推送信息，方便攻击者进行Firebase云新闻远控，攻击者创建了按时工作，每隔1分钟，通知Google维持长衔接（见图4）。
图4 创建按时工作，通知Google维持长衔接
4.2 以短信方式下达节造指令
间谍软件注册了一个短信广播，用来监听习染设备新收到的短信。一旦发现短信中出现有特定的节造指令，就会执行相应的设置（见图5）。短信节造指令拜见如表3。
表3 短信字符串和对应的设置
从表3中我们能够看到，节造指令1是通过http和谈来向C&C服务器“http://url.plus/Updates/agent/commands”要求和执行号令，号令与Firebase云新闻传递所使用的号令一样（见表1）。攻击者在开启习染手机的蜂窝网络（节造指令2）和wifi后（节造指令3），会为习染手机增长和配置其所节造的恶意wifi（节造指令4和图6），最后强造习染手机衔接（节造指令5）。该间谍软件能够结合其所获取的位相信息对习染设备进行远程定位追踪，并在指标达到攻击者预期的地位左近，强造习染设备衔接由攻击者所节造的wifi网络，进而对嫌疑人的手机进行上网流量嗅探和中央人攻击。由此可见，间谍软件的节造者事先已经知路了指标特定活动区域，并且在这些区域进行肯定量的wifi的安插，以期达到进一步攻击的主张。
图5 间谍软件获取、执行节造号令
图6 增长指定wifi，胁迫习染设备衔接
五、利用无阻碍服务进行语音监听
无阻碍服务是Android官方推出援手身段不便或者操作不矫捷的人来辅助操作手机利用的，其能够被用于监控手机当前活动APP界面，对界面进行自动化操作。但该服务却被频仍的用于玄色或灰色主张，好比被用于免root自动装置、语音监听、自动抢红包、防卸载、浏览器劫持等技术，当前我们所分析的这款间谍软件同样也是利用无阻碍服务的这种个性进行灌音监控。
为了达到隐秘灌音预防被用户发现的主张，其内置多个白名单，一旦发现当前活跃的APP过程存在于白名单中就会终场灌音活动。其中一个白名单重要用于Android 4.4W之前的“HUAWEI”手机，其白名单中重要蕴含了盛行的社交利用及与语音视频有关的系统利用，社交利用有腾讯的QQ和微信、脸书的whatsapp、微软的skype等等（见图7、图8和表4）；对于其他品牌的手机，白名单仅仅蕴含三款系统APP：“phone”、“dialer”和“sysmanager”。此表，该间谍软件还会监听习染设备的来电状态，当受害用户接起电话时，就起头灌音（图9）。
图7 白名单判断机造
图8 内置的灌音监听白名单
表4 灌音监听白名单
图9 当习染用户接听电话时，起头灌音
六、恶意攻击具体分析
6.1 暗藏自身图标，预防受害用户觉察
该间谍软件运行后，不只会将自身图标暗藏掉（图10），并且会激活设备治理员权限（图11）。这样，通常用户很难觉察并卸载掉它，从而达到持久驻留在受害用户设备中的主张。
图10 暗藏自身图标，预防受害用户觉察
图11 要求设备治理员权限
6.2 下载执行反弹Shell以实现齐全节造
当收到“reverse”号令时，间谍软件会从远程服务器 “http://url.plus/Updates/”下载恶意的zip文件，并在本地解压执行（见图12和图13）。经过度析我们发现，解压后的文件是一个反弹Shell，通过反向衔接C&C：54.67.109.199:21070来躲过通常防火墙的检测。当攻击者成功拿到反弹的Shell后，其能够对指标手机进行Linux层面的全面节造，蕴含上传恶意文件、下载其感兴致的目录、杀死手机过程、甚至粉碎手机系统等恶意行为。
图12 从远程服务器下载恶意zip文件
图13 解压并本地执行恶意文件
另表，我们还在该间谍软件的3.7.3版本的lib蹊径下发现了合用于多平台的反弹shell库（图14）。
图14 合用于多个平台的反弹Shell
6.3 装置apk文件
若是收到的号令是“install_apk”，间谍软件会从攻击者指定的地址下载apk到习染设备的表部存储器（图15），装置和执行（图16和图17）。并且，间谍软件能够肆意打开攻击者指定的APP，对APP进行操作。这一职能能够实现攻击者对其他APP的恶意推广和深度节造。
图15 从攻击者指定的地址下载apk文件到习染设备的表部存储器
图16 装置下载到的apk文件
图17 打开指定APP界面
6.4 回传社交APP数据文件
在收到号令“social”后，间谍软件会网络习染设备优势行社交软件的数据库文件（图18），并在其回传到远程服务器之前对其进行压缩和AES加密，指标社交APP和回传地址拜见表5。攻击者得到习染用户的社交APP数据库文件后，会利用解密后的受害用户的登录凭证和社交关系数据进行越发详细深刻的垂钓和攻击，对用户造成严沉威胁。
图18 网络习染设备上社交软件的数据库文件
表5 社交APP和对应的上传目录
6.5 回传习染设备硬件信息
号令“info”则暗示间谍软件会网络习染设备硬件有关信息（见图19），其将硬件有关信息网络好后，AES加密上传到远程服务器（见图20）。网络到的设备信息如表6所示。
图19 网络习染设备硬件有关信息
图20 AES加密硬件有关信息上传到远程服务器
表6 网络习染设备硬件有关信息
我们把稳到，间谍软件上传的设备信息蕴含习染设备的型号和是否root信息（见图21），凭据代码中多处操作必要root权限揣摩，攻击者会针对未root的习染设备下载对应的root组件，来对习染设备进行root，继而对习染设备施前进一步更高权限的侵害。已发现的缝隙利用负载共有3个文件，文件名别离是“poc”、“db”和“device.db”。其中，“poc”是缝隙利用的ELF文件，“db”是Sqlite3工具，“device.db”是exploit使用的数据库，蕴含缝隙利用法式支持的机型和对应的缝隙利用内存地址信息。目前发现该负载可利用缝隙有CVE-2013-2094、CVE-2013-2595、CVE-2013-6282、CVE-2014-3153和CVE-2015-3636（来自卡巴斯基）。
图21 判断习染设备是否root
6.6 回传习染设备其他文档
若是是“filelists”号令，间谍软件就窃取习染设备sd卡目录树信息到远程服务器（见图22），当攻击者获取到习染设备的存储文件和装置APP等信息后，就能够远程指定文件名。间谍软件的文档回传服务掌管回传攻击者指定的文档（图23）。
图22 窃取习染设备表部存储文件目录树
图23 回传攻击者指定文档
6.7 回传受害用户敏感信息
当收到“registro_chiamate”、“camera”、“history”等号令时，间谍软件会窃取受害用户险些所有的敏感信息，其中蕴含受害用户手机上的短信内容、通讯录、通话纪录、浏览器上网纪录、装置的APP列表等，间谍软件甚至会利用受害用户手机进行拍照，回传照片。首先，间谍软件会将窃取到的指标敏感信息依照自界说的体式保留在自身利用的/cachel2目录下；而后，在利用统一的网络接口发送前进行AES加密并发送；最后，再对之前保留的一时文件进行删除，以预防用户觉察。图24和图25是回传通话纪录的代码，其他的窃取指标和一时保留的文件名见表7。
图24 网络受害用户通话纪录
图25 回传受害用户通话纪录
表7 窃取指标和一时保留的文件名
6.8 回传定位信息
除了窃取受害用户的重要敏感信息，该类间谍软件还会对受害用户进行GSM（移动、联通）或者CDMA（电信）基站定位和GPS定位，再将定位信息回传到远程服务器（见图26和图27），受害用户的整个行为险些齐全掌控在攻击者手中。
图26 回传习染设备基站位相信息
图27 回传习染设备GPS定位信息
七、总结及建议
固然该间谍软件目前重要针对意大利用户，但也不排除后续针对其他国度执行攻击的可能。用户除了对热点的APP下载和更新不能大意表，对系统自带的APP的更新也应维持警惕。建议用户不要等闲点击短信中的不明链接，不要装置不明起源的APP。对申请可疑权限尤其是短信读写、打电话以及必要激活设备治理器的APP要出格注意，涉及到金钱的操作要格表审慎。遇到操作异常，该当实时使用杀毒软件查杀或找专人处置。目前，互联网上也充溢着形形容色的第三方APP下载站点，好多甚至成了恶意利用的批发集散地，提醒用户尽量从官网下载所需APP利用，在不得不从第三方站点下载软件时，要高度维持警惕，当真甄别，预防误下恶意利用给自己造成不用要的麻烦和损失。
参考链接：https://securelist.com/skygofree-following-in-the-footsteps-of-hackingteam/83603/
京公网安备11010802024551号