安全路透社
当前位置:安全路透社 > 网络转载 > 正文

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

今年的 Black Hat USA 2017 美国黑帽大会,准确地说是从7月22日开始,延续到本周周四结束的。和往常一样,前四天进行的是技术培训,后两天就是众所期待的主要会议分享,还有兵器库、Business Hall 之类的内容了。值得一提的是,因为美国和中国存在时差,身处国内的各位关注 Black Hat USA 2017 的时间应在北京时间本周四和周五。针对这两天的大会内容,FreeBuf 会进行相应的报道。

在此之前,我们照例分享一些预先已知的内容,在 Black Hat 现场的同学可以留意。当地时间周三(7月26日)5:05pm – 5:30pm 之间(地址在 Laggon DEFJKL ),前 NSA 分析师,现在是 Synack 公司首席安全研究员的 Patrick Wardle 将会分享议题 《Offensive Malware Analysis: Dissecting OSX/Fruitfly via A Custom C&C Server (主动恶意程序分析:通过一台 C&C 服务器来解剖 OSX/Fruitfly)》。

这里的 Fruitfly 实际上是 macOS 或者说 OS X 平台的一款恶意程序,所以这个议题是相关恶意程序和逆向工程的技术分享。这款恶意程序已知感染的设备量大约是 400 台,而且所用技术其实并不算高超,理论上也很容易检测到。那么 Fruitfly 有什么特别值得一说的呢?

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

研究人员注册 C&C 服务器

这个议题的主要方向之一是通过自己注册的 C&C 服务器来对这款恶意程序进行剖析。Fruitfly 并不是很新的一款 Mac 恶意程序,而且其存在时间可能长达 10 年之久,即便到目前为止,从 VirusTotal 服务来看,超过一半的反恶意程序引擎都无法将其新变种检测出来。

早在今年 1 月份的时候,Malwarebytes 曾经撰写过一份有关 Fruitfly 的恶意程序报告。Malwarebytes 的研究人员认为,Fruitfly 存在时间至少有 2 年。这份报告挂出后,苹果对 macOS 进行升级后,系统就能自动检测到这款恶意程序了。不过 Wardle 这次发现的是个变种,系统和很多反病毒产品还不能发现。

前 NSA 分析师,现在是 Synack 公司首席安全研究员的 Patrick Wardle 对该恶意程序进行分析后发现,C&C 通讯的主服务器已经不能访问,但有多个备用域名硬编码到了程序中。而且这些备用的 C&C 服务器域名还没有人注册。所以他就注册了一个。不知是何种原因,攻击者自己并没有注册这些域名。

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

主服务器下线后,理论上感染了 Fruitfly 的用户就不存在原有的威胁了。不过在 Wardle 注册备用域名后,立刻就有 400 个被感染的 Mac 用户开始连接这台服务器。这样一来 Wardle 就能够看到 Fruitfly 受害者的 IP ,他发现有 90% 的受害者都位于美国。

Fruitfly 的恶意行为包括远程控制摄像头、截屏,进行鼠标、键盘操作,执行 shell 命令、结束进程、获取系统的正常运行时间等。实际上 400 台设备感染只是个最小数字,感染 Fruitfly 的人数可能还有很多。Wardle 自己也并不清楚 Fruitfly 具体是如何感染 Mac 设备的,他推测应该不是通过漏洞,可能是吸引受害人点击恶意链接,或者钓鱼邮件等。

这是个并不高明的恶意程序

Wardle 解释说,现在并不清楚 Fruitfly 变种攻击者背后的意图是什么,因为这款恶意程序无法窃取信用卡数据,也没有感染勒索程序之类可以让攻击变现的方式。而且这款恶意程序以家庭用户为主,所以基本可以排除是国家攻击。

“我不知道是否是某个无聊的人,有什么不正当的目的。如果是某个无聊的年轻人想要进行单纯的监视,这其实也挺伤人的。比如他能打开摄像头…”不过实际上也可能是恶意程序作者抛弃了这款恶意程序。不管怎么说,如果有人像 Wardle 一样去注册了硬编码的域名,那么也可以监控那些已经被感染的人。

从国外媒体现有的报道暂时还不清楚 Fruitfly 的具体运作方式。不过我们去查阅了 Malwarebytes 今年 1 月份发布的文章,发现 Fruitfly 的原版程序的确有些有趣且并不 “sophisticated” 的地方。

Fruitfly 的原始版本在面上就只包含 2 个文件,分别是

~/.client

~/Library/LaunchAgents/com.client.client.plist

其中的 .plist 非常简单,是为了保持 .client 始终运行的。.client 以 perl 脚本的形式存在,它会与 C&C 服务器通讯。脚本中还包含一些通过 shell 命令截屏的代码。有趣的是,其中既用到了 Mac 的 “screencapture” 命令,也用上了 Linux 的“xwd”命令。

另外它也负责获取系统的正常运行时间,也就是所谓的 uptime —— 获取命令也是既有 Mac 版,也有 Linux 版。

另外脚本最后还有个 _DATA_ 部分,里面有个 Mach-O 二进制、Perl 脚本和一个 Java 类。脚本释放写入到 /tmp/ 文件夹并执行。Java 类文件将 apple.awt.UIElement 设为 true,也就是说它不会在 Dock 栏显示。

二进制文件对于截屏和摄像头访问比较情有独钟,不过有意思的是其中用上了一些非常古老的系统调用,比如说:

SGGetChannelDeviceList

SGSetChannelDevice

SGSetChannelDeviceInput

SGInitialize

SGSetDataRef

SGNewChannel

QTNewGWorld

SGSetGWorld

SGSetChannelBounds

SGSetChannelUsage

SGSetDataProc

SGStartRecord

SGGetChannelSampleDescription

这可能是 Malwarebytes 和 Wardle 认为这款恶意程序年代久远的一个原因。这些函数其实的确非常古老,可以追溯到前 OS X 的岁月。其中包含的开源 libjpeg 代码上次更新是在1998年。

编写的代码比较古老,其实不能很明确地表示这款恶意程序早在十多年之前就存在。如 Malwarebytes 所说,这可能表明攻击者对 Mac 了解得不够,或者他一直在用比较老的开发指导文档。也可能是攻击者故意用这种较老的系统调用,避免触发现代各种形式的行为检测。

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

另外 Wardle 事先透露说,Fruitfly 具备“移动鼠标,点击,并与操作系统 UI 元素进行交互”的能力。这个应该是出自于其中的 Java 类能够获取命令执行各种任务,其中就包括了获取屏幕尺寸、鼠标指针位置、改变鼠标位置、模拟鼠标点击、模拟键击。这些可以提供一些简单的远程控制功能。

Malwarebytes 尝试将原版 Fruitfly 在 Linux 设备上运行,发现除了 Mach-O 二进制部分,一切都运行正常。也就是说,这款恶意程序理应有 Linux 版本。此外,VirusTotal 平台发现,有 Windows 可执行文件与同一个 C&C 服务器通讯,也用 1998 年的 libjpeg 库。这些样本早在 2013 年就提交到了 VirusTotal 。

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

值得一提的是,上面提到的 .plist 启动代理文件创建时间是 2015 年 1 月。但这个时间其实不一定是真实的文件创建时间;不过恶意程序从 C&C 服务器获取的 macsve 文件有个注释提到,这是为 Yosemite ,也就是 Mac OS X 10.10 编写的——这款系统发布于 2014 年10月,这可能意味着 Fruitfly 至少在 Yosemite 系统出现之前就已经存在了。

过半数反恶意程序系统无法检测出 Fruitfly

其实很难想象这么多年过去了,从 VirusTotal 来看,到截稿前为止,57 款主流反恶意程序产品,也只有 25 款能够将 Fruitfly 变种检测出来。Wardle 还提到,Fruitfly 采用比较简单粗暴的方式来达到存在的持久性,相较其它 Mac 恶意程序应该更容易检测出来。

“它采用比较早期,而且并不复杂的技术维持其持久性,许多 Mac 恶意程序都是这么做的:一个隐藏的文件,加一个启动代理。这令其很容易被抓到,要检测和移除也很容易。”

今年 1 月份发现 Fruitfly 变种的时候,Malwarebytes 表示这款恶意程序主要针对生物医疗研究中心 ,研究人员猜测可能因为其目标非常明确,所以能潜伏这么多年时间,但其实没有明确证据表明它以某个特定组织为目标,而这次的新版目标是不明的。

【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

在明天的 Black Hat USA 2017 大会上,Fruitfly 还会今次作更为明确的阐述,在现场且对恶意程序分析感兴趣的同学不要错过。预计 Wardle会从分析这款恶意程序的 dropper 开始,也就是上面提到的 Perl 脚本,随后还会探讨一些 Debug 技术,并对脚本作完全拆解。当然重点还是要谈构建自己的 C&C 服务器来挟持恶意程序,揭露其完整的能力。

此外 Wardle 还会讨论 macOS 工具实现各种事件的监控,比如“mouse sniffer”可本地观察和解码从恶意程序发往系统控制鼠标的命令。虽然这个议题是围绕 Fruitfly 展开的,不过实际上对于其它恶意程序也具有适用性。

* 参考来源:BlackHat, Malwarebytes, TheHackerNews, Forbes, SecurityAffairs,欧阳洋葱编译整理

未经允许不得转载:安全路透社 » 【BlackHat 2017】议题分享:一款潜伏了多年的Mac恶意程序,为何迄今仍“逍遥法外”?

赞 (0)
分享到:更多 ()

评论 0

评论前必须登录!

登陆 注册