pengantar

Menjelang akhir tahun 2022, penting untuk merenungkan keadaan malware android dan upaya untuk mendeteksi dan mengurangi penyebarannya. Dalam laporan ini, kami akan memberikan ikhtisar sampel malware yang diunggah oleh peneliti keamanan di platform terkenal seperti MalwareBazaar dan vx-underground , ini mencakup hal-hal seperti IoC paling umum yang ditemukan, paparan token rahasia, dan banyak lagi.

Namun sebelum kita mulai, saya ingin menyapa smelly__vx dari Vx-underground dan Roman Hussy dari abuse.ch karena memberi saya akses ke platform mereka masing-masing. Saya menghargai bantuan yang telah mereka berikan dan saya berharap dapat menjelajahi lebih banyak tentang platform mereka dalam pekerjaan penelitian mendatang.

Motif

Meskipun mungkin ada pekerjaan penelitian serupa yang dilakukan di masa lalu, tujuan saya dengan laporan ini adalah untuk memberikan wawasan singkat tentang sampel malware yang ditemukan dan diunggah pada tahun 2022. Blog ini akan membahas berbagai temuan dari pemindaian dan memberikan ikhtisar tentang beberapa alat dan platform umum yang terkait dengan sampel ini.

Satu hal yang perlu diperhatikan di sini adalah bahwa set data ditarik pada tanggal 15 Desember 2022, sehingga mungkin ada sedikit perbedaan antara jumlah sampel dari tanggal pembuatan set data dan tanggal rilis laporan.

Mendekati

Awalnya, saya mengumpulkan sampel malware dari MalwareBazaar dan vx-underground. Semua sampel ini dalam format ".apk" dan difilter berdasarkan stempel waktu upload sehingga kami hanya memiliki sampel yang diupload tahun ini. Setelah memfilter dan mengunduh semua sampel, saya siap memindai total 771 sampel yang merupakan kombinasi dari kedua platform yang disebutkan sebelumnya.

Langkah selanjutnya di sini adalah meneruskan sampel ini ke pemindai yang saya tulis untuk penelitian ini. Pemindai akan mendekode file apk menggunakan apktool dan menyimpan semua file yang diekstraksi dalam folder. Selanjutnya, itu mengulangi semua file yang diekstrak dan mengambil isinya. Alat kemudian mencocokkan isinya dengan ekspresi reguler yang terkait dengan hal-hal seperti:
• Email,
• Alamat IP,
• Token Rahasia,
• Izin, dll.

Dan terakhir, setelah alat tersebut memiliki semua data yang diperlukan terkait dengan sampel, alat tersebut akan melanjutkan untuk menambahkan keluaran dalam file JSON.

Di atas adalah ikhtisar arsitektur dari pendekatan yang saya ambil untuk pemindaian massal sampel malware.

Temuan

Sekarang mari kita turun ke temuan. Di bawah ini adalah berbagai kategori temuan dari analisis data pemindaian.

Eksposur Rahasia

Setelah memindai sampel malware menggunakan 80 tanda tangan ekspresi reguler unik, saya dapat mengidentifikasi 442 kebocoran rahasia unik dari sampel ini dari total 771 penemuan.

Ternyata Google API telah berkontribusi signifikan pada daftar ini dengan total 297 Kunci API unik. Setelah itu, kami memiliki Kunci Rahasia Facebook diikuti oleh Token Rahasia Generik dengan hitungan masing-masing 56 entri. Anggota lain dalam daftar ini adalah AWS Access Key IDs, Artifactory Passwords, AWS API Keys, dan Artifactory API Tokens. Saya menemukan bahwa lebih dari separuh sampel malware yang kami pindai, memiliki setidaknya 1 rahasia yang terungkap, yang berarti bahwa setiap detik sampel malware dari tahun ini kemungkinan memiliki paparan rahasia.

Token semacam itu dapat digunakan oleh penyerang untuk beberapa titik akhir API atas nama pemilik token dan pada akhirnya menghabiskan batas sumber daya atau skenario terburuk, membawa tagihan dalam jumlah besar untuk penggunaan API.

Karena saya hanya menggunakan 80 tanda tangan untuk mendapatkan ide tentang pengungkapan rahasia, kemungkinan beberapa token API milik layanan/platform lain tidak tersentuh. Secara pribadi, saya akan mengeksplorasi ide ini sedikit lebih banyak sebelum pemindaian berikutnya, untuk mendapatkan hasil yang lebih berkualitas.

Dengan gaya vx-underground , inilah GIF yang sesuai dengan pesan yang ingin saya sampaikan kepada pengembang malware dari sampel ini:

Persyaratan Izin

Selanjutnya, jika kita berbicara tentang persyaratan izin, kami mencoba mengekstrak semua kecocokan melalui Ekspresi Reguler berikut,

<uses-permission.*? android:name="(.+?)"\/>

Ditemukan bahwa "android.permission.INTERNET" memiliki jumlah kemunculan terbanyak (715), diikuti oleh dua izin lainnya, "android.permission.ACCESS_NETWORK_STATE" dan "android.permission.WAKE_LOCK" dengan total 683 dan 626 kemunculan masing-masing.

Saya menemukan total 733 izin unik yang diminta aplikasi dari total 18.835 persyaratan yang ditemukan. A sample named bs.apk (md5 hash: 32f24cc1988a8ef0108707c50f0e7bcd ) had the most amount of permission requirements with a total of 196 entries, the closest one in this list was another sample, 11927032f6ac157532fcc0a37b16e28d70cd20c8ce18e513f66b07d2586666d3.apk (md5 hash: 80cbbf92e8b1c60caca9597ff887daaf) with a total of 165 entri.

Kesalahan Konfigurasi Aplikasi

Saya memindai aplikasi dengan tanda tangan Ekspresi Reguler tertentu yang dapat membantu menandai potensi kesalahan konfigurasi aplikasi. Sebanyak 656 entri potensi kesalahan konfigurasi ditemukan dari data pemindaian.

Flag “ADB Backup Enabled” berkontribusi paling banyak pada daftar ini dengan 482 entri diikuti oleh “Android Debug Enabled” dengan total 59 entri. Dalam kasus "Pencadangan ADB Diaktifkan", penyerang akan dapat menyalin informasi aplikasi dari perangkat. Dan jika kita berbicara tentang "Android Debug Enabled", dengan atribut android:debuggable disetel ke true, aplikasi dapat membocorkan informasi sensitif serta membuat dirinya rentan terhadap dekompilasi. Tidak hanya itu, itu dapat membiarkan penyerang menjalankan kode sewenang-wenang di bawah izin aplikasi.

Domain Berbahaya

Dan terakhir, jika kita berbicara tentang domain jahat, yang mengejutkan saya, semua 6 domain teratas yang ditemukan milik penguntit yang sama bernama "Android-Monitor".

Seperti yang Anda lihat pada infografis di atas, semua domain serupa dalam pola penamaannya dengan pengecualian android-police.ru tetapi semua domain yang saya sebutkan di atas milik stalkerware yang sama dan akan memiliki beranda seperti di bawah ini tangkapan layar:

Titik akhir yang paling umum dari domain ini adalah “/crash.php”, “/download_checker.html”, “/log.php”, “up.php”, dll. Saya menemukan daftar fantastis IOC Stalkerware yang dapat membantu Anda dapatkan ide tentang lebih banyak domain yang termasuk dalam stalkerware ini.

Jika Anda tertarik untuk memetakan lebih banyak infrastruktur seperti milik stalkerware ini, awal yang baik adalah dengan favicon (hash: 888241896) yang sama di semua domain yang ditemukan di atas.

Selain itu, saya juga menemukan beberapa URL yang terkait dengan Cerberus, yang akan Anda temukan di bawah ini,

http://www.cerberusapp.com/download/ping
      http://www.cerberusapp.com/download/ping2.php
      http://www.cerberusapp.com/download/version
      https://cerberusapp.com/download/version
      https://www.cerberusapp.com/account
      https://www.cerberusapp.com/aiuto.php
      https://www.cerberusapp.com/audio/
      https://www.cerberusapp.com/buy.php?username=
      https://www.cerberusapp.com/comm/
      https://www.cerberusapp.com/comm/backupconf2.php
      https://www.cerberusapp.com/comm/changeaccount.php
      https://www.cerberusapp.com/comm/getdevices.php
      https://www.cerberusapp.com/comm/install.php
      https://www.cerberusapp.com/comm/login2.php
      https://www.cerberusapp.com/comm/notifyowner.php
      https://www.cerberusapp.com/comm/ping2.php
      https://www.cerberusapp.com/comm/postbug.php
      https://www.cerberusapp.com/comm/radar.php
      https://www.cerberusapp.com/comm/recoveruser.php
      https://www.cerberusapp.com/comm/resetpass.php
      https://www.cerberusapp.com/comm/restoreconf2.php
      https://www.cerberusapp.com/comm/s.php
      https://www.cerberusapp.com/comm/sendaudiofile.php
      https://www.cerberusapp.com/comm/sendemail.php
      https://www.cerberusapp.com/comm/sendlocation.php
      https://www.cerberusapp.com/comm/sendlocation2.php
      https://www.cerberusapp.com/comm/sendmessage.php
      https://www.cerberusapp.com/comm/sendpicture.php
      https://www.cerberusapp.com/comm/sendrecord.php
      https://www.cerberusapp.com/comm/sendregid.php
      https://www.cerberusapp.com/comm/sendtrack2.php
      https://www.cerberusapp.com/comm/sendvideo2.php
      https://www.cerberusapp.com/comm/verify.php
      https://www.cerberusapp.com/comm/verifycode2.php
      https://www.cerberusapp.com/downloads
      https://www.cerberusapp.com/get
      https://www.cerberusapp.com/help
      https://www.cerberusapp.com/help.php
      https://www.cerberusapp.com/help/9
      https://www.cerberusapp.com/index.php?l=login
      https://www.cerberusapp.com/terms
      https://www.cerberusapp.com/terms.php
      https://www.cerberusapp.com/track/
      https://www.cerberusapp.com/user

Selain data di atas, saya juga mengekstrak beberapa hal lainnya. Ini termasuk ~500 alamat email, 23.760 Alamat IP yang tentu saja mungkin memiliki banyak positif palsu dan 10 ID Pelacakan Google Analytics. Penyerang dapat menggunakan ID pelacakan ini untuk mengaburkan semua data analitik di masa mendatang dengan menempatkan ID pelacakan yang sama di situs web atau aplikasi lain.

Dan akhirnya, seperti dalam salah satu karya penelitian saya sebelumnya, saya mencoba memindai titik akhir Basis Data Firebase yang Salah Konfigurasi yang saya temukan dari pemindaian. Meskipun tidak ada data signifikan yang dibobol dari sana, saya dapat menemukan 17 kasus rentan dari total 145 titik akhir yang ditemukan. Salah satu contoh dari informasi apa yang dapat saya temukan dapat ditemukan di tangkapan layar di bawah ini,

Rilis Kumpulan Data

Saat ini saya sedang dalam proses menentukan segmen data apa yang harus saya rilis melalui penelitian ini. Jadi, untuk saat ini, saya tidak memiliki kumpulan data untuk dibagikan.

Meskipun saya merekomendasikan untuk mengawasi ruang ini atau Twitter saya untuk mendapatkan pembaruan yang akan datang untuk hal yang sama. Kemungkinan besar, kumpulan data akan dirilis pada minggu pertama atau kedua bulan Januari.

Sunting (5 Januari 2022) :
Seperti yang dijanjikan, berikut adalah kumpulan data yang saya rilis untuk laporan ini. Saya harap ini cukup untuk saat ini, tetapi harap hubungi jika Anda memerlukan konteks lebih lanjut.
• Nama Contoh
• Hash MD5
• URL
• Izin

Kesimpulan

Jadi ini membawa saya ke akhir laporan ini. Sejujurnya, ini adalah percobaan pertama saya untuk memindai sampel malware secara massal, oleh karena itu, ini akan menjadi pengalaman belajar untuk pekerjaan/proyek penelitian di masa mendatang. Saran dan umpan balik Anda akan dihargai dan dapat memberikan kontribusi yang signifikan untuk laporan yang akan datang. Saya akan sangat senang mendengarkan mereka.

Apa yang ada di depan?

Ini adalah sampel malware android pemindaian massal pertama saya, jadi saya ingin tahu tentang tingkat dampak yang dapat diberikan oleh laporan ini. Berdasarkan saran dan umpan balik dari audiens, saya bersedia untuk membentuk penelitian ini menjadi laporan tahunan bekerja sama dengan lebih banyak platform dan komunitas. Saya juga sedang menilai kelayakan pemindai saya yang saya gunakan untuk memindai sampel malware dan menantikan untuk melihat bagaimana saya dapat membentuknya menjadi proyek ambisius yang ternyata bermanfaat bagi komunitas ancaman intel secara umum. Anda dipersilakan untuk menjangkau melalui Twitter dan menjadi bagian dari proyek yang akan datang.

Mencapai

Twitter:https://twitter.com/0x9747
LinkedIn:https://www.linkedin.com/in/umair-nehri-49699317a/
Email: [email protected]

Sponsor

Menjalankan pemindaian kadang-kadang bisa menjadi mahal mengingat contoh VM yang saya putar dari DigitalOcean dan karenanya saya akan menghargai sponsor apa pun untuk pekerjaan penelitian saya yang akan datang. Hal yang sama dapat dilakukan melalui PayPal saya . Bahkan sponsor kecil akan sangat dihargai karena saya dapat menggunakannya untuk pekerjaan atau proyek penelitian saya yang akan datang.