安全路透社
当前位置:安全路透社 > 安全客 > 正文

Toast Overlay攻击已被用于安卓恶意软件并在谷歌商店被下载数十万次!

http://p5.qhimg.com/t01a6ba3c345c12ac99.jpg

简介


近期,趋势科技发现了一款新的恶意软件,这款恶意软件利用Toast Overlay攻击,在受影响的设备上默默安装其他恶意软件——TOASTAMIGO。目前,趋势科技将这个恶意软件标记为ANDROIDOS_TOASTAMIGO。截止2017年6月,其中一个恶意应用程序已经被下载安装了50多万次,它利用Android的Accessibility(辅助)功能,使其具有广告点击、应用程序安装、自我保护/持久性功能。

 Overlay攻击需要在其他运行的应用、窗口或进程上绘制和叠加Android视图(例如图像或者按钮)。Toast Overlay攻击的典型场景是,欺骗用户点击攻击者指定的非法的窗口或按钮。Toast Overlay技术之前我们有分享过,利用的是CVE-2017-0752这个漏洞。“Toast”窗口(TYPE_TOAST)是Android上支持的overlay类型之一,用于显示其他应用程序的通知。

而TOASTAMIGO是我们看到的第一款将CVE-2017-0752真正实现并应用到实战中的样本,这与之前很多的恶意软件一样,我们一定会看到该威胁的微调版本(以及其下载/安装的另一款恶意应用)——鉴于此时恶意软件的相对“低调”的功能——或者被其他网络犯罪分子所模仿。

除了Android最新版本(8.0/Oreo)外,所有低版本的用户均受到该漏洞的影响,因此建议低版本设备的用户及时打补丁。

图1 Toast Overlay攻击原理图:一个看似正常的图像(左)叠加在恶意软件触发的实际操作上,例如请求辅助功能

http://p7.qhimg.com/t0178228731bce3cd52.png

图2 谷歌商店上架的恶意应用


感染链


具有讽刺意味的是,这种恶意软件伪装成合法的应用程序,号称可以用PIN码保护设备应用安全。安装后,这些应用会通知用户,应用正常运行需要被授予辅助服务权限。当然,这些都是恶意软件的诡计,他们为了躲避Android的对抗策略,要求应用程序拥有明确的用户权限。在授权后,应用会启动一个窗口,表明可以“分析”应用程序。而在这个窗口背后,应用程序会执行操作或指令,包括安装第二个恶意应用(因为它已经拥有了权限)。

图3 恶意软件“运行时间”截图


技术分析


在谷歌商店上架前,恶意应用就已经被打包好了,如下图所示。注意,包“amigo”和包“goami”,它们都在“com”之下,这说明这两个应用都是同一个开发者开发的。

图4 恶意软件包结构图

当应用提示“analyzing the unprotected apps.”时,Toast Overlay攻击已经被执行了。下面的截图展示了这个函数的代码段。实际上,这是一个TOAST-type的窗口,并在恶意软件中设置为全屏显示。

· v2.type值为2005表明,v2.type是TYPE_TOAST类型

· v2.SystemUiVisibility值为1280,代表SYSTEM_UI_FLAG_LAYOUT_FULLSCREEN(Activity全屏显示,但状态栏不会被隐藏覆盖,状态栏依然可见,Activity顶端布局部分会被状态遮住。),SYSTEM_UI_FLAG_LAYOUT_STABLE(SYSTEM_UI_FLAG_LAYOUT_STABLE)

· v2.flags的值表示FLAG_FULLSCREEN(设置全屏)和FLAG_NOT_FOCUSABLE(不许获得焦点)

 图5 应用利用Toast Overlay攻击的代码段

想要发起Overlay攻击,恶意应用首先要请求“draw on top”权限;这是Android 6.0以上版本的案例。但是如果从谷歌商店安装的话,它们就不需要请求这个权限。然而,我们发现,除了Android 8.0,Toast Overlay攻击(反过来,使用这些技术的恶意软件)并不需要特定的权限或条件。

执行恶意任务


 为了方便阅读,我们在分析应用代码的过程中对部分关键函数重新命名。函数doBackgroudTask.getInstance((Context)this).doTask后台执行某些任务,并且被设计用于绕过不同Android版本的警告弹窗。

图6 恶意软件后台任务模块代码片段(高亮显示)

在Toast窗口下,恶意软件也会执行一些其他函数,包括采取措施防止被移除:

· com.photos.android.helper:下载指定的Android应用安装包(APK)

· force_stop_MC::强制停止移动安全应用运行

· bgAsprotectDialog::准备提示弹窗,如“Unknown sources”

· bgAutoInstallPage_4::利用辅助服务安装应用

· Accessibility::为其他APK开启辅助功能权限

这些函数用于维护恶意软件的核心服务:

· bgGpAutoProtect: 防止被卸载

· bgAsprotectDialog and bgAsprotectPage_4: 维持辅助服务权限

下载和安装的应用被命名为com.photos.android.helper,包名为com.vpn.free.migovpn。我们将它重命名为AMIGOCLICKER (ANDROIDOS_AMIGOCLICKER):TOASTAMIGO的分支包含广告点击例程。AMIGOCLICKER运行后就会自动隐藏,只有在系统的辅助应用列表才能找到。

图7 AMIGOCLICKER在受感染设备的辅助应用列表中

AMIGOCLICKER可以通过注册广播接收器自动启动。它也可以由TOASTAMIGO调用AMIGOCLICKER的exported服务,如下图所示:

图8 AMIGOCLICKER的exported服务

图9 调用AMIGOCLICKER服务的代码段

AMIGOCLICKER也是被打包的,我们深入分析了exported核心服务,并得出了以下结论。它首先通过访问远程服务器获取最新的控制信息。然后,它会根据设备当前的网络连接提供一个代理,对于某些无法访问Admob和Facebook的地区来说,代理还是有效的。以下是AMIGOCLICKER的主要行为,它与TOASTAMIGO也有很多相似之处:

· force_stop: 强制停止移动安全应用运行

· open_device_manager: 打开设备管理员以防止被卸载

· bgDeviceDeactivate: 防止设备管理员被禁用

· bgGpAutoProtect: 防止应用被卸载

· autoUninstall_setting: 卸载指定的包

· bgAsprotectDialog: 保持它的辅助服务权限

· bgAsprotectPage_4: 保持它的辅助服务权限

· bgAutoCancelDialog: 点击系统警告窗口的取消按钮

· bgAutoUninstallOnDesktop: 点击系统警告窗口的卸载按钮

· bgAutoSureDialog: 当接收到指定系统窗口时点击按钮

· collect_gp_account: 收集受害者谷歌账户信息

· bg_auto_click_fb: 点击加载的Facebook广告

· gp_search_input_aso action1: 在谷歌商店输入和搜索

· gp_search_input_aso action1: 在谷歌商店为该恶意软件进行五星好评


缓解措施


这些恶意软件的恶意功能,结合一个相对独特的攻击向量,使它们成为可信的威胁。然而,事实上,前面所提到的功能,可以被修改为更具危害性的网络攻击。AMIGOTOAST和AMIGOCLICKER可以从远程服务器获取指令进行更新,滥用Android的辅助功能,可以做很多事情。

谷歌在今年9月份的Android安全公告中已经修复了该漏洞。用户需要及时对系统打补丁,更重要的是,要养成良好的移动安全习惯,尤其是在工作场所。然而,除了Nexus和Pixel,其他Android设备的更新都是碎片化的,因此,用户应主动联系设备的厂商,及时获取更新补丁。

趋势科技已经向谷歌商店上报了这一问题,这些应用已经从谷歌商店下架。


IoCs


可访问:

http://cloud.appscan.io/monitor.html?id=5a0559700272380e45a7352 

http://cloud.appscan.io/discover-detail.html?id=766860 


原文链接:http://blog.trendmicro.com/trendlabs-security-intelligence/toast-overlay-weaponized-install-android-malware-single-attack-chain/

未经允许不得转载:安全路透社 » Toast Overlay攻击已被用于安卓恶意软件并在谷歌商店被下载数十万次!

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册