Comodo Threat Research Labs, Android 사용자에게 "Tordow V2.0" 발생 경고

플라톤에 의해 재발행

팔로워 : 0

안드로이드 보안 읽기 시간 : 5 분

2016 년 XNUMX 월 말, 코모도 위협 연구소 러시아 고객에게 영향을주는 Android 악성 코드 'Tordow v2.0'샘플을 발견했습니다. Tordow는 감염된 장치에 대한 루트 권한을 얻으려는 Android 운영 체제를위한 최초의 모바일 뱅킹 트로이 목마입니다. 일반적으로 뱅킹 멀웨어는 악의적 인 활동을 수행하기 위해 루트 액세스가 필요하지 않지만 루트 액세스 해커는 더 광범위한 기능을 획득합니다.

안드로이드 보호

Tordow 2.0은 전화 걸기, SMS 메시지 제어, 프로그램 다운로드 및 설치, 로그인 자격 증명 도용, 연락처 액세스, 파일 암호화, 웹 페이지 방문, 은행 데이터 조작, 제거 보안 소프트웨어, 장치를 재부팅하고 파일 이름을 바꾸고 랜섬웨어 역할을합니다. 저장된 민감한 정보가 있는지 Android 및 Chrome 브라우저에서 검색합니다. 기술 세부 정보에 따르면 Tordow 2.0은 장치 하드웨어 및 소프트웨어, 운영 체제, 제조업체, 인터넷 서비스 제공 업체 및 사용자 위치에 대한 데이터도 수집합니다.

Tordow 2.0에는 다음과 같은 하드 코드 된 키인 'MIIxxxxCgAwIB'와 함께 AES 알고리즘을 사용하여 파일을 암호화하고 해독 할 수있는 CryptoUtil 클래스 함수가 있습니다. "cryptocomponent.2"와 같은 이름을 가진 Android 애플리케이션 패키지 (APK) 파일은 AES 알고리즘으로 암호화됩니다.

Tordow 2.0은 루트 권한을 얻었는지 확인하는 2 가지 방법이 있습니다. 상태는 "https://2ip.ru"에있는 것과 같은 공격자의 CXNUMX (명령 및 제어) 서버 중 하나로 전송됩니다. 루트 액세스를 통해 공격자는 거의 모든 작업을 수행 할 수 있으며 감염된 시스템에서 이러한 확고한 맬웨어를 제거하기가 어려워집니다.

Tordow는 악성 코더에 의해 다운로드, 리버스 엔지니어링 및 파괴 된 일반적인 소셜 미디어 및 게임 응용 프로그램을 통해 확산됩니다. 악용 된 앱에는 VKontakte (러시아 Facebook), Pokemon Go, Telegram 및 Subway Surfers가 포함됩니다. 감염된 프로그램은 일반적으로 감염된 앱을 호스팅하고 배포하는 데 문제가 있었지만 일반적으로 Google Play 및 Apple Store와 같은 공식 웹 사이트와 관련이없는 타사 사이트에서 배포됩니다. 하이재킹 된 앱은 일반적으로 원래 앱처럼 작동하지만 C2 통신, 루트 액세스 용 익스플로잇 팩 및 다운로드 가능한 트로이 모듈에 대한 액세스를 포함한 내장 및 암호화 된 악성 기능도 포함합니다.

대부분의 피해자가 러시아에 있었지만 성공적인 해커 기술은 일반적으로 지구의 다른 지역으로 이동합니다. Tordow 2.0 및 이와 유사한 위협으로부터 보호하기 위해 사용자는 보안 소프트웨어를 최신 상태로 유지하고 원치 않는 링크 및 첨부 파일을 의심하며 공식 웹 사이트에서만 응용 프로그램을 다운로드해야합니다.

멀웨어 이름	Android.spy.Tordow
애널리스트 이름	라비 크리슈나 바르 마
하위 유형	안드로이드.스파이
대상 국가	러시아인
첫 발견	11월-2016
최근 업데이트	데크 2016
범죄 활동	가짜 APK, os 및 모바일에 대한 모든 정보, 감시 지역 세부 정보, 루트 장치, 장치 등록, 다운로드, cryptocomponent 및 ExecuteTask의 기능 버전 (DOWNLOAD_AND_RUN, UPLOAD_FILE, LOCKEDDevice, LockURL, 알람 요청, 잠금 해제 장치, ENCRYPT_FILES, DECRYT_FILES, DELETE_FILES, GET_FILE_LIST, LOAD_HTTP_ URL, ADD_ALTERNATE_SERVER, RELOAD_LIB, SET_PREFERENCE, ABORT_ALL_SMS, MASK_ABORT_SMS, SEND_SMS, SEND_SMS2, FAKE_INBOX_SMS, FAKE_SENT_SMS, ABORT_ALL_CALLS는, ABORT_ALL_CALLS는 ABORT_OUTGOING, ABORT_INCOMING, ABORT_NUMBER, REDIRECTION_NUMBER, GET_ALL_SMS, GET_ALL_CONTACTS, CHECK_BALANSE, CALL, MASS_SEND_SMS).
토우 IP	http://192.168.0.2 http://5.45.70.34
토우 버전	버전 1.0 및 버전 2.0

Tordow v2.0 기술 개요

Tordow v2.0 기술 개요

Tordow v2.0 클래스 계층 (2016 년 XNUMX 월)

Tordow v2.0 기술 개요

Tordow의 클래스 계층 v1.0 (2016 년 XNUMX 월)

Tordow v2.0의 기능 맵보기

Tordow v2.0 기능 :

1) 모든 정보 : OS 버전, OS API 레벨, 장치, 모델 (및 제품), 빌드 버전, 빌드 브랜드, 빌드 CPU ABI, 빌드 CPU ABI2, 빌드 하드웨어, 빌드 ID, 빌드와 같은 모든 시스템 세부 정보 및 모바일 세부 정보에 대한 정보 제조업체, 빌드 사용자 및 빌드 호스트.

Tordow v2.0 기능
2) 지역 가져 오기 : 모든 지역 정보 (카운티 및 인용)에 대한 정보,
“https://2ip.ru”를 연결하여 ISP (예 : Airtel Broad Band), 브라우저 세부 사항 (브라우저 이름 및 브라우저 버전) 및 Android OS 버전.

지리적 지역 정보

3) 루팅 된 기기 : 모바일 기기가 루팅 된 기기인지 여부는 아래 9 가지 조건을 따릅니다.

루팅 된 기기

4) 장치 등록 : 루트 장치 조건 중 하나가 일치하면 빌드 장치, 장치 빌드 버전, 패키지 이름, SIM 운영자 세부 정보, 루트 장치 및 사용자 정의 루트 장치와 같은 스파이 서버에 루트 장치 정보가 저장됩니다.

장치 등록

5) 다운로드 : (/cryptocomponent.2, /cryptocomponent.3 및 /cryptocomponent.4) 인 하드 코딩 된 미래 암호화 된 apk 이름의 업그레이드 버전을 유지하며 파일 다운로드 서버 세부 사항은 (http : //XX.45.XX.34 및 http : //192.xx.0.xx).

다운로드

참고 :
위에서 언급 한 모든 cryptocomponent.2, cryptocomponent.3 및 cryptocomponent.4는 향후 업그레이드 cryptocomponent apk 파일이며 AES 알고리즘으로 암호화됩니다. 현재 버전은 cryptocomponent.1이며 AES 알고리즘으로도 암호화됩니다.

6) 장치 로그인 : 모바일 IMEI 번호 및 기타 세부 정보와 같은 장치 로그인 정보를 유지합니다.

장치 로그인

7) 작업을 실행합니다 : 그것은 같은 DOWNLOAD_AND_RUN, UPLOAD_FILE, LOCKEDDevice, LockURL, 알람 요청, 잠금 해제 장치, ENCRYPT_FILES, DECRYT_FILES, DELETE_FILES, GET_FILE_LIST, LOAD_HTTP_ URL, ADD_ALTERNATE_SERVER, RELOAD_LIB, SET_PREFERENCE, ABORT_ALL_SMS, MASK_ABORT_SMS, SEND_SMS, SEND_SMS2로 ExecuteTask의 목록을 유지 , FAKE_INBOX_SMS, FAKE_SENT_SMS, ABORT_ALL_CALLS, ABORT_ALL_CALLS, ABORT_INCOMING, ABORT_OUTGOING, ABORT_NUMBER, REDIRECTION_NUMBER, GET_ALL_SMS, GET_ALL_CONTACTS, CHECK_BALANSE_CALL_END.

작업 실행