Google Play应用程序植入了病毒，这背后是这个黑客组织的幽灵

Google Play被取笑，恶意程序已经出现很多年了

著名的防病毒软件公司卡巴斯基的研究人员说，多年来，黑客一直在使用Google Play分发一种非常先进的后门程序，该程序可以窃取大量敏感数据.

卡巴斯基实验室的代表说，他们已经恢复了至少8款可追溯到2018年的Google Play应用. 研究人员认为，自2016年以来，来自同一组织的恶意应用一直在Google的官方市场上传播.

在卡巴斯基研究人员报告了该恶意软件之后，Google立即删除了该软件的最新版本. 第三方市场也托管着这些备受批评的应用程序，其中许多仍然可用.

该官员多次绕过Google Play的安全检查，拒绝透露详细信息

攻击者主要使用两种方法绕过Google Play的审核过程. 一种方法是先提交没有后门的申请，然后在接受该申请后添加后门.

另一种方法是在安装过程中不使用授权，而使用可执行文件中隐藏的代码在使用过程中发起动态请求.

这些应用程序提供的后门程序主要用于在受感染的手机上收集数据，包括硬件参数，运行的Android版本以及已安装的应用程序列表.

基于此信息，攻击者可以收集手机用户的位置，通话记录，联系人，文本信息和其他敏感信息.

卡巴斯基实验室的研究人员Alexey Firsh和Lev Pikman在一篇文章中写道: “我们对所有这些版本的操作的主要理论是，攻击者试图使用各种黑客技术来绕过Google的官方审查. ”

大多数应用程序都需要手机root功能，因此，不仅要root手机！

关于这些应用程序的聪明之处在于，当用户可以访问root权限时黑客用的手机安全软件，该恶意软件将反射调用未记录的名为“ setUidMode”的编程接口来获得权限，而无需用户参与. 卡巴斯基实验室确定的应用程序包括:

神秘的黑客组织浮出水面，尽管该技术已经过时但非常有效

卡巴斯基的研究人员将黑客组织的攻击称为“幻想运动”，他们确信OceanLotus连续进行了数年的攻击. 该组织主要袭击亚洲政府，持不同政见者和新闻记者.

OceanLotus团队（也称为APT32和APT-C-00）因在东亚被黑客入侵而臭名昭著. 该团队一直在不断更新其后门软件和基础架构，并且擅长使用各种技术来诱使用户执行后门程序，从而减慢其分析速度并避免被发现.

该组织的自定义后门程序主要分为两部分: 滴管和后门启动器.

让我们以一个典型的攻击过程为例，看看被攻击者是如何获得欺骗的，以及伪装成常规字体的吸管的TrueType字体更新程序.

滴管

执行时，二进制文件解密其资源（对XOR使用128字节的硬编码密钥）并解压缩解密的数据（LZMA）. 合法的RobotoSlab-Regular.ttf文件将写入％temp％文件夹，并通过Win32 API函数ShellExecute运行.

执行从资源解密的shellcode后，伪字体更新程序将删除另一个应用程序，即在释放“脏弹”之后，将其自身删除.

Shellcode

Shellcode检索三个Windows API函数: VirtualAlloc，RtlMoveMemory和RtlZeroMemory.

真正的滴管

可执行文件使用CBC模式的AES算法通过Windows API解密其资源黑客用的手机安全软件，然后获得合法的可执行程序rastlsc.exe.

rastlsc.exe使用合法的和经过签名的可执行文件库，通过在同一文件夹中编写恶意库rastlsc.dll来加载后门程序，因此看起来合法，因为这些操作是可执行进程的信任.

作为普通用户，我们必须始终保持警惕，不要打开未知来源的软件，不要及时更新系统补丁和防病毒软件，并尝试避免此类攻击.

本文来自电脑杂谈，转载请注明本文网址：
https://www.pc-fly.com/a/ruanjian/article-216265-1.html