Bao cao athena 1

TRUNG TÂM ĐÀO TẠO QUẢN TRỊ MẠNG
VÀ AN NINH MẠNG QUỐC TẾ ATHENA
BÁO CÁO TUẦN
ĐỀ TÀI: NGHIÊN CỨU CÁC TROJAN,MALWARE
CHO PHÉP ĐÁNHCẮP DỮ LIỆU NHƯ DANHSÁCH
CONTACT, TIN NHẮN TRÊN ĐIỆN THOẠI SỬ
DỤNG ANDROID VÀ GỬI RA NGOÀI
CBHD: Võ Đỗ Thắng
SVTH: Nguyễn Đức Thái
Tp. HCM Ngày 29 Tháng 06 Năm 2014

Mục Lục
Nội dung: Nghiêncứu mã độc trên Android. Cài đặt một số ứng dụng có chứa mã độc vào Android..1
1. Mã độc trên Android.............................................................................................................. 1
1.1. Định nghĩa:................................................................................................................... 1
1.2. Mã độc trong môi trường Android:.............................................................................. 1
1.2.1. Android là một môi trường lý tưởng cho mã độc phát triển...................................1
1.2.2. Phân loại mã độc Android. .................................................................................... 1
1.3. Thực trạng .................................................................................................................... 2
1.4. Malware – tiêu biểucủa trên Android. ............................................................................ 3
1.4.1. Cơ chế hoạt động củaMalware................................................................................ 3
1.4.2. Mục đích của Malware DroidDream..................................................................... 4
1.5. Cơ chế bảo mật trong Android...................................................................................... 4
1.5.1. Tính bảo mật trong Android.................................................................................. 4
1.5.2. Cơ chế Permission:................................................................................................ 4
1.5.3. Google Play:.......................................................................................................... 5
2. Cài đặt một số chương trình có mã độc trên Android........................................................... 5
2.1. iCalendar....................................................................................................................... 5
2.1.1. Các công cụ cần thiết:.............................................................................................. 5
2.1.2. Các bước thực hiện:............................................................................................... 5
2.2. iMatch......................................................................................................................... 11
2.2.1. Các công cụ cần thiết:............................................................................................ 11
2.2.2. Các bước thực hiện:............................................................................................. 11

CBHD: VÕ ĐỖ THẮNG SVTH: NGUYỄN ĐỨC THÁI
Trang 1
Nội dung: Nghiên cứumã độc trên Android. Cài đặtmột số ứng dụng
có chứa mã độc vào Android.
1. Mã độc trên Android.
1.1. Định nghĩa:
Mã độc là một đoạn code được đưa vào phần mềm nhằm thay đổi các thực thi của
hệ điều hành hoặc các chương trình bảo vệ máy tính mà không cần sự cho phép của
người sử dụng. Bằng cách này, phần mềm có chứa mã độc sẽ:
 Phá hoại hệ thống máy tính như xóa, sửa, làm hỏng file, dữ liệu….
 Phát tán thư rác.
 Lợi dụng máy tính của bạn làm công cụ tấn công các hệ thống mạng máy tính
khác.
 Đánh cắp thông tin: thông tin về địa chỉ mail, thông tin cá nhân, tài khoản ngân
hàng, thẻ tín dụng,….
1.2. Mã độc trong môi trường Android:
1.2.1. Android là một môi trường lý tưởng cho mã độc phát triển.
 Phần lớn các smartphone đều hỗ trợ các ứng dụng email, internet baking…Sử
dụng các ứng dụng này đồng nghĩa với việc cung cấp thông tin cá nhân.
 Android hiện tại giữ vị trí số một trong các hệ điều hành dành cho smartphone và
máy tính bảng.
 Android là một hệ điều hành mã nguồn mở.
1.2.2. Phân loại mã độc Android.
Có nhiều cách phân loại khac nhau như: Troy Vennon dựa vào cách hoạt động lây
nhiễm của mã độc đã chia ra làm bốn loại, K.H.Khan & M.N.Tahir phân loai mã độc
làm 6 nhóm. Theo trang web forenics chuyên nghiên cứu về mã độc dựa vào mục tiêu
của mã độc để chia ra làm 9 họ:
Đánh cấp thông tin cá nhân
51,3%
Gửi tin nhắn trái phép (IMEL,..)
30,1%
Botnet(spam, thư rác,..)
23,5%
Truy cập Root
18,3%
Tải từ Google-Play
11,3%
Cài đặt các ứng dụng khác
10,4%

Trang 2
Đánh cấp định vị của người dùng
8,7%
Cài đặt các ứng dụng hỗ trợ hacker
7,8%
Trojans (tiếp cận các dịch vụ ngân hàng trực tiếp)
3,5%
1.3. Thực trạng
Theo thống kê được thực hiện dựa trên số liệutừ hệ thống giám sát virút của Bkav,
chỉ trong năm tháng đầu năm 2014, phần mềm bảo vệ smartphone Bkav Mobile Security
đã cập nhật 621.000 mã độc mới xuất hiện, vượt xa số lượng 528.000 của cả năm 2013.
Đặc biệt, mỗi ngày có 262.000 điệnthoại bị nhiễm loại mã độc gửi tin nhắn SMS đến đầu
số tính phí. “Đây là các đầu số thu phí 15.000 đồng/tin nhắn, tính ra mỗi ngày người sử
dụng VN bị “móc túi”số tiềnkhổng lồ lêntới hơn 3,9 tỉ đồng”, báo cáo của Bkavkết luận.
Thực tế, số tiềncác loại virút “móc túi” người dùng smartphone có thể hơn gấp nhiều lần
vì có rất nhiều điện thoại bị nhiễm virút trong một thời gian dài nhưng chủ nhân không
nhận biết và cũng không có biện pháp kiểm tra, theo dõi.
Một báo cáo mới vừa được công bố, cho thấy mức độ nghiêm trọng của mã độc
trên Android - hệ điều hành di động phổ biến nhất thế giới có đến 99,9% số lượng mã
độc mới được phát hiện trong quý I năm 2013 được thiết kế để nhắm đến nền tảng
Android. Đây là một con số báo động về tình trạng mã độc trên nền tảng di động của
Google vừa được hãng bảo mật Kaspersky Lab công bố.
Phần lớn trong số các loại mã độc trên Android là virus trojan, một dạng virus chủ
yếu để sử dụng để đánh cắp tiền của người dùng bị lây nhiễm bằng cách gửi đến họ
những tin nhắn lừa đảo, đọc lén các thông tin cần thiết và gửi báo cáo đến nơi khác, ăn
cắp thông tin như là mật khẩu và số thẻ tín dụng, cài đặt lén các phần mềm chưa được
cho phép, ….. Loại mã độc này chiếm đến 63% tổng số các loại mã độc mới được phát
tán trên Android trong quý I năm 2013.
Các nhà nghiên cứu bảo mật của Kaspersky cũng báo cáo một sự bùng nồ về số
lượng các mã độc hại trên di động. Theo đó chỉ tính riêng trong 3 tháng đầu năm 2013,
Kaspersky đã phát hiện được số lượng mã độc mới trên các nền tảng di động bằng tổng
số lượng mã độc được phát hiện trong cả năm 2012 mà Android là nền tảng chịu ảnh
hưởng nặng nhất.
Với việc Android tiếp tục trở thành “mồi ngon” của hacker trong việc phát tán các
loại mã độc, có vẻ như Android đang dần trở thành một “Windows thứ 2” trên lĩnh vực
bảo mật, khi sự phổ biến của nền tảng này đang thu hút tối đa sự chú ý của các tin tặc,
đồng thời việc quản lý các ứng dụng cho Android một cách lỏng lẻo càng tạo điều kiện
cho mã độc được phát tán dễ dàng hơn trên nền tảng di động này.

Trang 3
Bên cạnh lĩnh vực mã độc trên nền tảng di động, báo cáo về tình trạng bảo mật
trong quý 1/2013 của Kaspersky cũng cho biết 91% các vụ phát tán mã độc chủ yếu dựa
vào việc phát tán các đường link trang web có chứa mã độc. Các đường link có chứa mã
độc này chủ yếu được phát tán thông qua email và trên các mạng xã hội như Facebook,
Twitter… Đây được xem là biện pháp được yêu thích nhất hiện nay của hacker.
Con số cụ thể các loại mã độc (bao gồm cả trên nền tảng di động và các nền tảng
khác) đã được Kaspersky phát hiện và vô hiệu hóa trong quý I năm 2013 là
1.345.570..352 mã độc (hơn 1 tỉ mã độc). Trong đó có hơn 60% các loại mã độc phát
tán từ 3 quốc giá: Mĩ (25%), Nga (19%) và Hà Lan (14%).
1.4. Malware – tiêu biểu của trên Android.
Đã không cònchỉ là mối lo ngại với người sử dụng máy tính, hiện nay Malware đã và
đang tấn công mạnh mẽ đến các hệ điều hành dành cho smartphone, đặc biệt là Android.
Malware (phần mềm ác tính) viết tắt của cụm từ Malicious Sofware, là một phần
mềm máy tính được thiết kế với mục đích thâm nhập hoặc gây hỏng hóc máy tính mà
người sử dụng không hề hay biết. Người viết nên nó ban đầu chỉ tập trung vào máy tính,
nhất là Windows khi nó chiếm đến 90% tổng số Malware xuất hiện trên các nền tảng,
bên cạnh đó là các OS khác như Linux, Chrome OS, MacOs... nhưng không đáng kể.
Tuy nhiên giờ đây khi smartphone đang ngày càng phát triển và phổ biến dần thay thế
máy tính từ các công việc soạn thảo văn bản, giải trí đến giao dịch ngân hàng thì nó trở
thành mục tiêu tấn công của Malware.
Theo thống kê của các hãng bảo mật trên thế giới thì hiện các Malware hiện nay
mới chỉ dừng lại ở mức độ xâm nhập và ăn cắp thông tin của người dùng và nó chưa có
cơ chế lây lan. Theo các kết quả trên thì Malware trên Smartphone hiện nay về cách
thức hoạt động giống như một phần mềm gián điệp (Trojan), phần lớn nhắm vào dịch
vụ Mobile Banking trên Smartphone để lấy cắp thông tin, các thao tác xác nhận... thông
qua việc sử dụng SMS Spy, tức là theo dõi tin nhắn SMS khi bạn thực hiện giao dịch
với ngân hàng. Bên cạnh đó là nhằm vào các cuộc gọi thực hiện trên máy bạn, tắt một
số dịch vụ để dễ kiểm soát.
1.4.1.Cơ chế hoạt động của Malware.
Lấy một ví dụ cụ thể về 1 Malware rất phổ biến trong thời gian vừa qua đó là
Malware DroidDream. Malware này hoạt động qua 2 giai đoạn:
 Giai đoạn 1: DroidDream được nhúng vào trong một ứng dụng (số lượng ứng
dụng chứa Malware này hiện đã nhiều hơn 50 ứng dụng) và sẽ chiếm được quyền root
vào thiết bị của bạn ngay sau khi bạn chạy ứng dụng đó trong lần sử dụng đầu tiên.

Trang 4
 Giai đoạn 2 : Tự động cài đặt một ứng dụng thứ 2 với một permission đặc biệt
cho phép quyền uninstall. Một khi các ứng dụng thứ 2 được cài đặt, nó có thể gửi các
thông tin nhạy cảm tới một máy chủ từ xa và âm thầm tải thêm các ứng dụng khác Một
khi DroidDream chiếm được quyền root, Malware này sẽ chờ đợi và âm thầm cài đặt
một ứng dụng thứ hai, DownloadProviderManager.apk như một ứng dụng hệ thống.
Việc cài đặt ứng dụng hệ thống này nhằm ngăn ngừa người dùng xem hoặc gỡ bỏ cài
đặt các ứng dụng mà không được phép.
Không giống như giai đoạn 1, người dùng phải khởi động ứng dụng để bắt đầu
việc lây nhiễm, ở giai đoạn thứ 2 ứng dụng tự động làm một số việc như là confirm,
checkin….Một điều nữa khiến cho bạn không thể biết chúng hoạt động lúc nào, đó là
Malware DroidDream này được lập trình để làm hầu hết các công việc của mình vào
khoảng thời gian từ 11h đêm tới 8h sáng ngày hôm sau. Đây là khoảng thời gian mà
điện thoại ít có khả năng được sử dụng nhất. Điều này làm cho người dùng khó khăn
hơn trong việc phát hiện một hành vi bất thường trên chiếc smartphone của mình.
1.4.2. Mục đích của Malware DroidDream
DroidDream được coi là một trong những Malware đầu tiên trên Android, mục
đích của con DroidDream này mới chỉ dừng lại ở mức độ làm cho chiếc điện thoại của
người dùng tự động cài đặt những ứng dụng chứa mã độc khác. Tuy nhiên các biến thể
của nó đã kịp thời biến đổi để gây ra các mối nguy hại lớn hơn rất nhiều. Ví dụ như
Hippo SMS được tìm thấy mới đây có khả năng tự gửi tin nhắn mà không cần sự cho
phép của người dùng, việc này sẽ khiến tiền cước phí của người dùng tăng lên một cách
chóng mặt mà người dùng không biết rõ lí do tại sao. Hoặc một Malware khác là Zitmo,
Malware này đưa ra các ứng dụng kích hoạt mọi hành động liên quan đến dịch vụ ngân
hàng, tiếp nhận SMS gửi đến và chuyển tới máy chủ. Các đoạn code dùng 1 lần mà các
ngân hàng thường gửi tới khách hàng thông qua tin nhắn SMS để chứng thực sẽ bị thu
thập bởi các malware này.
Hiện nay còn có một số Malware còn có khả năng nghe lén tất cả các cuộc điện
thoại. Vấn đề này thực sự nguy hiểm khi tất cả các vấn đề riêng tư của chúng ta đang bị
một theo dõi, vì vậy những mối nguy hiểm từ mã độc trên android đang thực sự đe dọa
đến an sự an toàn của người dùng hệ điều hành này.
1.5. Cơ chế bảo mật trong Android.
1.5.1. Tính bảo mật trong Android
 Các ứng dụng android được tách biệt với nhau trong quá trình thực thi.
 Các ứng dụng android được phân biệt bởi system ID.
 Các ứng dụng android phải được signing mới có thể cài đặt vào hệ thồng.
 Bảo mật trong android được thể hiện qua cơ chế “Permission”
1.5.2. Cơ chế Permission:

Trang 5
Bất cứ những tác vụ nào gây ảnh hưởng cho các ứng dụng khác, hệ điều hành và
người sử dụng thiết bị đều đươc bảo vệ bởi cơ chế Permission, ví dụ như đọc gửi tin
nhắn, truy cập mạng, thực hiện cuộc gọi, truy cập vào thông tin cá nhân,..Nói cách khác
người lập trinh ứng dụng sẽ khai báo Permission cho những nguông tài nguyên này sẽ
được thông báo đến người dùng trước khi cài đặt ứng dụng.
1.5.3. Google Play:
Kiểm soát các mã độc trên ứng dụng.
2. Cài đặt một số chương trình có mã độc trên Android.
2.1. iCalendar
iCalendar là 1 chương trìnhdạng lịchxuất xứ từ Trung Quốc có gắn kèm mã độc thực
hiện gửi 1 tin nhắn đến 1 số điện thoại định trước mà không thông qua sự cho phép của
người dùng.
2.1.1.Các công cụ cần thiết:
 Super Apk tool: https://code.google.com/p/super-apk-tool/
 File iCalendar.apk: http://securityxploded.com/demystifying-android-
malware.php
 Hai máy ảo Android (xem hướng dẫn tạo máy ảo ở trên).
2.1.2. Các bước thực hiện:
Khởi động cả 2 máy ảo Android. Ở đây gồm 2 máy Android01 mã số 5554 dùng
làm máy cài iCalendar và Android02 mã số 5556 dùng làm máy nhận tin nhắn trái phép
từ máy Android01.
Dùng Winrar giải nén tập tin Super Apk tool vừa download về vào thư mục bất
kỳ ta được như hình:
Hình 16. Folder Super Apk Tool.
Chọn và khởi động phiên bản phù hợp với hệ điều hành.

Trang 6
Hình 17. Super Apk Tool.
Tại màn hình chính của Super Apk Tool chọn Project -> New Project (hoặc ấn
Ctrl + N).

Trang 7
Hình 18. Mở file iCalendar.apk
Tại cửa sổ hiện ra tìm đến thư mục lưu trữ file iCalendar.apk và mở ra. Đặt tên cho
project tại mục ProjectName (cóthể đểmặc định) -> chọn Ok để xác nhận. Đợi chương
trình giải mà ngược xong ta được như hình. Vào View -> View Smali Code.

Trang 8
Hình 19. View Smali Code.
Tại đây vào tiếp theo đường dẫn .commjiCalendar ta được
Hình 10. Thư mục iCalendar.
Mở file iCalendar.smali và file SmsReceiver.smali bằng Notepad hoặc
Notepad++ và thực hiện như hình bên dưới sau đó lưu lại.

Trang 9
Hình 21. File iCalendar.smali.
Hình 22. File SmsReceiver.smali.
Trở lại màn hình chính của Super Apk Tool

Trang 10
Hình 23. Build Projects.
Chọn máy Android dùng để cài đặt (Android01 có mã 5554) sau đó vào Run ->
Build (hoặc ấn F5). Chương trình sẽ tự động đóng gói project thành file apk, signing,
cài đặt sau đó mở ứng dụng tại Android01. Ta được kết quả.

Trang 11
Hình 24. Cài đặt thành công iCalendar.
Tại đây ta ấn chọn 7 lần trong giao diện của iCalendar mã độc sẽ được kích hoạt
và gửi tin nhắn đến máy Android02.
Hình 25. Android02 nhận được tin nhắn từ iCalendar.
2.2. iMatch
Tương tự như iCalendar, iMatch cho phép gửi tinh nhắn trái phép khi mã độc bị kích
hoạt. Điểm khác nhau ở đâylà iMatch là một ứng dụng game và mã độc có thể gửi bốn tin
nhắn cho 4 số điện thoại giống hoặc khác nhau.
2.2.1.Các công cụ cần thiết:
 Super Apk tool: https://code.google.com/p/super-apk-tool/
 iMatch : http://contagiodump.blogspot.com/2011/03/take-sample-leave-sample-
mobile-malware.html
 Hai máy ảo Android (xem hướng dẫn tạo máy ảo ở trên).
2.2.2. Các bước thực hiện:
Thực hiện tương tự như với iCalendar.apk nhưng thay thế bằng file iMatch.apk.
Tại bước View Smali Code ta vào tiếp theo đường dẫn .commjutils ta được

Trang 12
Hình 26. Thư mục untils.
Mở file MJUtils.smali bằng Notepad hoặc Notepad++ và thực hiện đổi số điện
thoại người nhận và nội dung tin nhắn tại bốn vị trí sau :
Hình 27. Nội dung tin nhắn 1.

Trang 13
Sau khi lưu lại ta buil và nhận được kết quả
Hình 31. Kết quả chạy chương trình iMatch.
Ta thấy khi ứng dụng iMatch tai máy Android01 được khởi động thì có bốn tin
nhắn được gửi đến máy Android02 (vì ở đây thiết đặt bốn số điện thoại đến giống nhau
là máy Android02).

Bao cao athena 1

Recommended

Recommended

More Related Content

Viewers also liked

Viewers also liked (8)

Similar to Bao cao athena 1

Similar to Bao cao athena 1 (20)

Recently uploaded

Recently uploaded (19)

Bao cao athena 1