点击蓝字关注。
黑鸟情报局
CVE-2019-2215是一个安卓提电漏洞，谷歌认为已经在2017年12月修复。但实际上部分型号的手机并没有修复这个漏洞，导致这些型号的手机暴露在风险中。
黑鸟之前报道过这个，放了一个POC链接。有兴趣的可以自己拿。
▲安卓暴露高危权限漏洞:常用设备可被利用。
该漏洞此前被谷歌曝光，并被NSO集团用来攻击非政府组织。
由于该漏洞的POC已经曝光，Github有安全人员重现，其他黑客或网络势力利用该漏洞将是必然事件。果不其然，趋势科技最近发布报告称，他们在Google Play商店中发现了三款恶意应用，其主要功能是破坏受害者的设备并收集用户信息。
其中一款名为Camero的应用利用了Binder中存在的漏洞CVE-2019-2215，也就是上面提到的漏洞。
另外，这三个app也有可能是APT组织SideWinder，也就是响尾蛇组织发动的攻击。据网上相关分析，据说这个组织来自印度网军。对巴基斯坦和中国的攻击已经进行了很多年。
这三个恶意应用程序伪装成摄影和文件管理工具。根据其中一个应用的证书信息，推测这些应用从2019年3月开始活跃。目前这些app已经从GooglePlay下架。
图一。与响尾蛇集团相关的三个应用
图二。其中一个应用程序的证书信息
SideWinder分两个阶段安装APP应用程序的有效负载。首先，它从C2服务器下载一个DEX文件。服务器通过应用程序转换跟踪进行配置。该地址由base64编码，然后被设置为用于恶意软件分发的URL中的Referrer参数。
格式类似于以下内容
https://reawk . net/202/jqcpz 3 kx 6 hgod 25 wmntokstutozepry 6 wfwkex 3/-1/12571/87854 FEA
图3。已解析的CC服务器地址
完成此步骤后，下载的DEX文件将下载APK文件，并通过使用设备或使用辅助功能进行安装。所有这些都是在没有用户意识或干预的情况下完成的。为了避免检测，它使用了许多技术，如混淆，数据加密和调用动态代码。其中Camero和FileCrypt管理器应用程序充当下载者。
在从CC服务器下载了附加的DEX文件之后，第二层放置器将调用附加代码来在设备上下载、安装和启动callCam应用。
如下图所示，就是这三个app之间的关系，一个APP下载和启动另一个APP的关系。而另一个，也就是callcam，就配备了上面介绍的升电漏洞。
图4。第二阶段有效载荷部署
图5。代码显示了初始应用程序如何调用额外的DEX代码。
要在用户不知情的情况下在设备上部署下载的应用程序:callcam，SideWinder将执行以下操作:
第一，通过漏洞攻击。
这个方法是由Camero应用程序完成的。它将下载该漏洞，该漏洞仅适用于
谷歌，诺基亚
3，起亚，LG V20，
Oppo F9和红米6A设备。
该恶意软件将根据Dropper下载的DEX从CC服务器中检索特定的漏洞。
很熟悉吧？就是开头那张桌子。
图6。Camero从Extra DEX下载的代码片段
事实上，趋势科技的安全研究人员从CC服务器上下载了五个漏洞。它包括漏洞CVE-2019-2215和联发科-苏获得root权限。
图7。CVE-2019-2215攻击
图8。联发科-苏的利用
获得root权限后，恶意软件会安装应用程序callCam，启用其可访问权限，然后启动它。
图9。命令来安装应用程序、启动应用程序并启用辅助功能。
2.使用Android辅助功能获得额外的权限。
滴管应用FileCrypt Manager使用的就是这种方法，可以在大多数典型的高于Android 1.6的Android手机上使用。启动后，应用程序将要求用户启用辅助功能。
这一招也是安卓恶意软件最常用的攻击方式。
图10。文件加密管理器提示用户
批准后，应用程序将显示一个全屏窗口，提示您需要进一步的设置步骤。实际上，它只是一个覆盖屏幕的活动，显示在设备上所有活动窗口的顶部。但这一招在这里不用，也不够新颖。
覆盖窗口将其属性设置为FLAG_NOT_FOCUSABLE和FLAG_NOT_TOUCHABLE，以便活动窗口可以通过覆盖屏幕检测和接收用户的触摸事件。这是老学校。
图11。覆盖屏幕的活动
同时，应用程序从附加的DEX文件中调用代码，以便安装未知的应用程序和callCam应用程序。它还将启用下载的辅助功能的所有权限，然后启动应用程序。所有这些都发生在用户不知道的覆盖屏幕的活动背后。并且，所有这些步骤都是通过使用辅助功能来执行的。
图12。允许安装未知应用程序和新APK的代码
图13。新安装的应用程序的代码启用访问权限
启动后，应用程序callCam将在设备上隐藏其图标。它收集以下信息，并在后台将其发送回CC服务器:
设备上的位置状态文件已安装应用程序列表设备信息传感器信息摄像头信息截图帐户无线网络信息微信、Outlook、Twitter、雅虎邮箱、脸书、Gmail和Chrome的数据该应用程序使用RSA和AES加密算法加密所有被盗数据。它使用SHA256来验证数据完整性和定制编码例程。加密，它将创建一个名为headData的数据块。
该块包含原始数据的前9个字节、原始数据的长度、随机AES IV、RSA加密的AES加密密钥和AES加密的原始数据的SHA256值。HeadData然后由自定义例程进行编码。编码后存储在最终加密文件的开头，然后存储AES加密原始数据的数据。
图14。数据加密过程
图15。完整的定制编码例程
这些应用程序可能归因于SideWinder，因为它使用的CC服务器被怀疑是SideWinder基础结构的一部分。此外，在CC的一台服务器上发现了一个链接到应用程序之一Google Play页面的URL。
图16。在一台CC服务器上找到FileManager应用程序的Google Play URL。
恶意软件会在Google Play等应用市场上鱼龙混杂，充分说明防止手机作弊还是要靠个人的安全意识。
手机上只留了常用的软件，下载只下载大厂的产品。一些解决需求的app建议在模拟器中打开。
相关报告
https://blog . trend micro . com/trend labs-security-intelligence/first-active-attack-exploining-CVE-2019-2215-found-on-Google-play-linked-to-sidewinder-apt-group/
IOC和样本下载
https://github . com/black or bird/APT _ REPORT/tree/master/sidewinder
阅读最后一期
附上如何躲避追踪的提示。
▲美国某IT高管贪污600多万美元，结果被Word文档卖掉。
更新黑色页面
▲严打！伊朗黑客对美国政府网站进行报复，贴上了黑色网页。
喜欢，每天一个威胁情报故事。
