BusyGasper – недружелюбный шпион

В начале 2018 года наша технология обнаружения мобильных вторжений выявила подозрительный Android-образец, который, как выяснилось, принадлежал к неизвестному семейству шпионского ПО. Дальнейшее расследование показало, что зловред, которому мы дали название BusyGasper, имеет некоторые особенности, необычные для этого вида угроз. С технической точки зрения, образец является уникальным шпионским имплантом с такими нестандартными функциями, как слежка за датчиками устройства (включая датчики движения), возможность обхода системы энергосбережения «Doze» и невероятно широкий протокол – около ста команд. Как и любое современное шпионское ПО под Android, он также может извлекать данные из приложений обмена сообщениями (WhatsApp, Viber, Facebook). Более того, у BusyGasper есть функциональность кейлоггера – зловред обрабатывает каждое касание пользователя к экрану, анализирует координаты касаний, сопоставляет их с заданными величинами и таким образом вычисляет, какой символ ввел пользователь.

Зловред имеет многокомпонентную структуру и может скачивать дополнительный вредоносные инструменты и обновления с C&C, который, как оказалось, является FTP-сервером, предоставляемым российским хостинговым сервисом Ucoz. Стоит отметить, что BusyGasper поддерживает протокол IRC – это редкость для Android-зловредов. И наконец, зловред может использовать электронный почтовый ящик злоумышленников в качестве командного центра: после авторизации он анализирует письма в специальной папке на наличие команд, а также может сохранять вредоносную нагрузку на устройство из вложений электронной почты.

Текущая операция BusyGasper активна примерно с мая 2016 года до настоящего времени.

Вектор заражения и жертвы

При поиске вектора заражения мы не обнаружили следов фишинга или каких-либо других распространенных путей проникновения. Но некоторые признаки, такие как наличие скрытого меню для управления оператором, указывают на ручное заражение – злоумышленники устанавливают зловред, используя физический доступ к устройству жертвы. Это объясняет такое мало число жертв – их менее десяти, и все они расположены в России.

Заинтересовавшись, мы продолжили поиск и нашли еще несколько зацепок, которые раскрывают некоторую информацию о владельцах зараженных устройств. Несколько TXT-файлов с командами, находящиеся на FTP-сервере злоумышленников, содержат в именах идентификаторы жертв, которые, вероятно, были добавлены злоумышленниками:

Некоторые из них похожи на русские имена: Jana, SlavaAl, Nikusha.

Анализ дампа FTP-сервера выявил наличие в нем компонента прошивки ASUS – это указывает на интерес злоумышленника к устройствам этого производителя, а также объясняет, почему строка ‘ASUS’ содержится в идентификаторе жертвы CMDS10134-Ju_ASUS.txt.

В информации, полученной из почтовой учетной записи злоумышленников, содержится множество личных данных жертв, в т.ч. сообщения из мессенджеров.

Также в числе собираемых данных были сообщения SMS-банкинга, которые указали на наличие у одной из жертв счета с суммой более 10 тысяч долларов. При этом, насколько мы знаем, стоящие за данной кампанией злоумышленники не заинтересованы в краже денег.

Мы не обнаружили никакого сходства с коммерческими шпионскими программами и с другими известными вариантами шпионского ПО, из чего можно предположить, что BusyGasper разработан и используется одной группой злоумышленников. В то же время такие факты, как отсутствие шифрования, использование публичного FTP-сервера и низкий уровень конфиденциальности операции могут указывать на то, что за зловредом стоят злоумышленники невысокой квалификации.

Техническая информация

Ниже приведена метаинформация по найденным образцам:

Интересно, что значение поля Issuer «Sun» из сертификата соответствует идентификаторам зараженных устройств «Sun1» и «Sun2» с FTP-сервера; возможно, это тестовые устройства.

Анализируемый имплант имеет сложную структуру. На данный момент мы наблюдаем два модуля.

Первый (стартовый) модуль

Первый модуль, который устанавливался на целевом устройстве, мог контролироваться по протоколу IRC и позволял устанавливать другие компоненты путем загрузки вредоносного функционала с FTP-сервера:

Как видно на скриншоте, приведенном выше, новый компонент копировался в системную директорию, хотя операция такого типа невозможна без root-привилегий. На момент написания у нас не было свидетельств того, что для получения root-привилегий использовался какой-либо эксплойт, хотя, возможно, что для этого злоумышленники использовали какой-либо неизвестный компонент.

Вот полный список команд, которые могут выполняться первым модулем:

Имплант использует сложный механизм коммуникации между компонентами, основанный на Intent:

Второй (главный) модуль

Этот модуль записывает лог исполнения команд в файл с названием «lock», который впоследствии отправляется злоумышленникам. Вот фрагмент такого файла:

Лог-файлы могут загружаться на FTP-сервер и отсылаться на электронную почту злоумышленника, также есть возможность пересылать лог через SMS-сообщения на номер злоумышленника.

Как видно на скриншоте выше, в зловреде представлен собственный синтаксис команд, которые состоят из комбинаций символов, а символ «#» используется как разделитель. Полный список всех возможных команд с описаниями доступен в Приложении II.

Зловред обладает всеми функциями современного шпионского ПО для Android. Ниже приведено описание самых примечательных из них:

• • Имплант способен шпионить за всеми доступными датчиками устройства и вести журнал регистрируемых событий. Более того, есть специальный обработчик данных акселерометра, который может вычислять и логировать скорость передвижения устройства:

    

    Эта функция используется, в частности, командой «tk0», которая выключает звук на устройстве, отключает автоматическую блокировку клавиатуры, отключает подсветку экрана, использует wakelock и прослушивает датчики устройства. Это позволяет зловреду незаметно выполнять любые бэкдор-действия, не давая пользователю знать, что устройство находится в активном режиме. Как только владелец берет устройство в руку, имплант распознает событие движения и выполняет команды «tk1» и «input keyevent 3».

    Первая отключает все результаты действия команды «tk0», а вторая – это shell-команда, которая симулирует нажатие кнопки ‘home’, в результате сворачиваются все активные окна, чтобы пользователь ничего не заподозрил.

  • Скрытое от пользователя включение служб геолокации в настройках безопасности для отслеживания местонахождения устройства:

• Управление имплантом через электронную почту. Зловред может авторизоваться в электронном почтовом ящике злоумышленников, анализировать письма в специальной папке «Cmd» на наличие команд, а также сохранять полезные нагрузки на устройство из вложений электронной почты.

  Более того, имплант может отсылать по электронной почте определенный файл или все собранные данные с устройства жертвы.

• Экстренные SMS-команды. Если входящее SMS-сообщение содержит одну или более из следующих магических строк – » 2736428734″ или » 7238742800″ – то зловред выполняет определенную последовательность команд:

Реализация кейлоггера

Кейлоггер реализован оригинальным способом.

Сразу после активации зловред создает в новом окне элемент TextView со следующими параметрами:

Все эти элементы обеспечивают сокрытие элемента от пользователя.

Затем зловред добавляет onTouchListener в элемент TextView и может обрабатывать каждое касание пользователя.

Интересно, что есть особый список activity, касания в которых игнорируются:

Обработчик получает только координаты касаний, а затем, сопоставляя их с заданным величинами, вычисляет, какие символы нажимает пользователь.

Кроме того, если это было предварительно задано командой, то клавиатурный перехватчик может сделать скриншот области экрана, где было касание:

Ручной доступ и меню оператора

Существует скрытое меню для управления имплантом, скорее всего, оно создано для ручного контроля зараженного устройства оператором. Для активации этого меню нужно вызвать с зараженного устройства номер 9909:

Сразу после этого на дисплее устройства появится скрытое меню:

С помощью этого интерфейса оператор может набрать любую команду для выполнения. Интерфейс также отображает текущий лог зловреда.

Инфраструктура

FTP-сервер

Злоумышленники используют ftp://213.174.157[.]151/ в качестве командного сервера. Этот IP-адрес принадлежит бесплатному российскому хостинг-сервису Ucoz.

Фрагмент файла supersu.cfg – конфигурационного файла SuperSU для компонентов импланта и утилиты busybox:

Эти конфигурации позволяют импланту незаметно использовать все root-права.

Содержимое файла bdata.xml:

Файл может быть добавлен в директорию /system/etc/sysconfig/, чтобы внести в список разрешенных указанные компоненты импланта и оградить их от действия системы энергосбережения батареи.

Учетная запись электронной почты

Злоумышленники используют учетную запись Gmail, ее адрес и пароль указаны прямо в коде импланта:

Учетная запись содержит извлеченные данные жертв и директорию «cmd» с командами для зараженных устройств.

Приложение I: Индикаторы заражения

MD5

9E005144EA1A583531F86663A5F14607
18ABE28730C53DE6D9E4786C7765C3D8
2560942BB50EE6E6F55AFC495D238A12
6C246BBB40B7C6E75C60A55C0DA9E2F2
7C8A12E56E3E03938788B26B84B80BD6
9FFC350EF94EF840728564846F2802B0
BDE7847487125084F9E03F2B6B05ADC3

Командный сервер

ftp://213.174.157[.]151/

Приложение II: Список всех возможных команд

Указанные значения действительны для последней наблюдаемой версии (v3.18s).

</td style=»width: 20%;»></td style=»width: 20%;»>