AI 助理
备案控制台
开发者社区 安全 文章 正文

针对Android设备的开源手机银行木马BankBot / Mazain分析

2017-09-19 2744
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 本文讲的是针对Android设备的开源手机银行木马BankBot / Mazain分析，在最近几年，我们开始对那些针对土耳其银行以及其他各种类型的金融机构应用的恶意软件产生了兴趣。
本文讲的是 针对Android设备的开源手机银行木马BankBot / Mazain分析， 在最近几年，我们开始对那些针对土耳其银行以及其他各种类型的金融机构应用的恶意软件产生了兴趣。据我们观察，在过去两年这种针对银行业务的恶意软件行为愈演愈烈，特别是在手机银行方面，许多的新型恶意软件已经开始通过网络钓鱼以及打印等方式来进行传播了。

以下是一些例子：

hxxp://nora.biz/index.php?threads/Пишем-android-бота-с-нуля.1425/

针对Android设备的开源手机银行木马BankBot / Mazain分析

hxxps://forum.exploit.in/index.php?s=52f9e19ea5173f0ea43855edabafff41&showtopic=113555 

针对Android设备的开源手机银行木马BankBot / Mazain分析

hxxp://a0007517.xsph.ru/threads/pishem-svoj-android-botnet-s-nulja.6/ 

针对Android设备的开源手机银行木马BankBot / Mazain分析

在C＆C服务器中使用了这些软件含有一小部分的PHP代码，C＆C入口通过命令管理Android木马，而它正在窃取短信以获取OTP。

 针对Android设备的开源手机银行木马BankBot / Mazain分析

这种C＆C服务器基本上都被加入了木马程序，来使其能够从android手机中捕捉短信，而在未知的角落里有很多这样的C＆C服务器在活跃着。

 针对Android设备的开源手机银行木马BankBot / Mazain分析

我们可以看到，几乎所有的C＆C服务器都是由域名.gdn TLD https://en.wikipedia.org/wiki/.gdn提供服务的，其中一些服务器在域名上是由.pw TLD 提供服务的。 针对Android设备的开源手机银行木马BankBot / Mazain分析

观察后发现这些域名包括：

ifc3yb3rs3cur1tych0.pw

1nj3ct10n.gdn

r0n4ld4.gdn

t4l1sc4.gdn

trolitrader.pw

bigbustown.pw

ch4pr6.gdn

n0309.gdn

tr4f0.pw

t1lk1.gdn

b46.gdn

该列表今后还会继续更新。

很明显拥有这些域名的人以前曾使用了这些不同的域名来作为网络钓鱼站点以及C＆C服务器。

hxxp：//e-trafikcezasiodemesi.net

hxxp：//guvenliktrafikcezasiodemeyeri.com

hxxp：//jethgsyukle.com 针对Android设备的开源手机银行木马BankBot / Mazain分析

以前是这样子的： 针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

而当你使用移动设备访问以下土耳其网站时，这些网站就会帮助传播前文所提到的Android木马。 

hxxp：//ircforumlari.net
hxxp：//filmindirsene.net

 针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

而如果你使用移动设备或浏览器访问了上述网站，并且将用户代理字符串设置为Android浏览器之一，则网站会提供通过缩短链接来安装Android应用程序。

提供URL缩短服务的hxxp：//dogrulama.link网站正在托管虚拟Flash播放器应用程序。 针对Android设备的开源手机银行木马BankBot / Mazain分析

FlashPlayer.apk及其变体的SHA256散列如下：

62ca7b73563f946df01d65447694874c45d432583f265fad11b8645903b6b099

3bf02ae481375452b34a6bd1cdc9777cabe28a5e7979e3c0bdaab5026dd8231d

6b93f837286da072f1ec7d5f5e049491d76d4d6ecc1784e1fadc1b29f4853a13

d8b28dbcc9b0856c1b7aa79efae7ad292071c4f459c591de38d695e5788264d1

bd194432a12c35ae6ae8a82fa18f9ecac3eb6e90c5ff8330d20d19e85a782958

e0da58da1884d22cc4f6dfdc2e1da6c6bfe2b90194b86f57f9fc01b411abe8de

我们还发现有些类的名字似乎是用土耳其语写的。

 针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

还有一些俄罗斯语写的（俄罗斯论坛上已经找到原文）。

针对Android设备的开源手机银行木马BankBot / Mazain分析

 安装flashplayer.apk到手机上后，该恶意软件就请求用户首次提供设备管理员权限：

针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

该恶意软件要使用的其他权限还有：

 针对Android设备的开源手机银行木马BankBot / Mazain分析

针对Android设备的开源手机银行木马BankBot / Mazain分析

除此之外，该恶意软件还会有一些服务要运行。

木马可以从C＆C接收以下命令： 针对Android设备的开源手机银行木马BankBot / Mazain分析

非结构化补充服务数据请求 

针对Android设备的开源手机银行木马BankBot / Mazain分析 

请求管理员/root权限

 针对Android设备的开源手机银行木马BankBot / Mazain分析

发短信 

针对Android设备的开源手机银行木马BankBot / Mazain分析

恶意软件会扫描statham类中定义的所有运行进程。

 针对Android设备的开源手机银行木马BankBot / Mazain分析

在收到所有正在运行的进程列表后，我们和自己的手机银行应用程序进程列表对比了一下：

针对Android设备的开源手机银行木马BankBot / Mazain分析 

据我们了解，几乎所有的土耳其手机银行和金融应用程序都受到了BankBot恶意软件的影响：

com.ziraat.ziraatmobil

com.ziraat.ziraattablet

com.tmobtech.halkbank

com.vakifbank.mobile

com.pozitron.vakifbank

com.akbank.android.apps.akbank_direkt

com.akbank.softotp

com.akbank.android.apps.akbank_direkt_tablet

tr.com.sekerbilisim.mbank

com.teb

com.pozitron.iscep

com.softtech.isbankasi

com.ykb.android

com.ykb.androidtablet

com.tmob.denizbank

com.tmob.tabletdeniz

com.garanti.cepsubesi

biz.mobinex.android.apps.cep_sifrematik

com.htsu.hsbcpersonalbanking

com.ingbanktr.ingmobil

com.magiclick.odeabank

com.finansbank.mobile.cepsube

finansbank.enpara

com.pozitron.albarakaturk

com.kuveytturk.mobil

而且源代码中的电话号码也会被Bankbot阻止:

Toast.makeText((Context)context, (CharSequence)"Giden Aramalar Engellendi.", (int)0).show();

这些电话号码都是用于访问相关银行的电话银行系统的。

this.b = arrayList.getStringExtra("incoming_number");
arrayList = new ArrayList（）;

arrayList.add（ “+ 9008502200000”）;

arrayList.add（ “+ 908502200000”）;

arrayList.add（ “+ 904440000”）;

arrayList.add（ “+ 9008502220400”）;

arrayList.add（ “+ 908502220400”）;

arrayList.add（ “+ 904440400”）;

arrayList.add（ “+ 9008502220724”）;

arrayList.add（ “+ 908502220724”）;

arrayList.add（ “+ 904440724”）;

arrayList.add（ “+ 9008502222525”）;

arrayList.add（ “+ 908502222525”）;

arrayList.add（ “+ 904442525”）;

arrayList.add（ “+ 9008502227878”）;

arrayList.add（ “+ 908502227878”）;

arrayList.add（ “+ 904447878”）;

arrayList.add（ “+ 9008502000666”）;

arrayList.add（ “+ 908502000666”）;

arrayList.add（ “+ 904440832”）;

arrayList.add（ “+ 9002166353535”）;

arrayList.add（ “+ 902166353535”）;

arrayList.add（ “+ 9008507240724”）;

arrayList.add（ “+ 908507240724”）;

arrayList.add（ “+ 904440202”）;

arrayList.add（ “+ 9008502220444”）;

arrayList.add（ “+ 908502220444”）;

arrayList.add（ “+ 904440444”）;

arrayList.add（ “+ 9008502220800”）;

arrayList.add（ “+ 908502220800”）;

arrayList.add（ “+ 904440800”）;

arrayList.add（ “+ 9008502220333”）;

arrayList.add（ “+ 908502220333”）;

arrayList.add（ “+ 904440333”）;

arrayList.add（ “+ 9008502110111”）;

arrayList.add（ “+ 908502110111”）;

arrayList.add（ “+ 9008502220600”）;

arrayList.add（ “+ 908502220600”）;

arrayList.add（ “+ 904448444”）;

arrayList.add（ “+ 9002123048444”）;

arrayList.add（ “+ 902123048444”）;

arrayList.add（ “+ 9008502220900”）;

arrayList.add（ “+ 908502220900”）;

arrayList.add（ “+ 904440900”）;

arrayList.add（ “+ 9008502223663”）;

arrayList.add（ “+ 908502223663”）;

arrayList.add（ “+ 9008502225666”）;

arrayList.add（ “+ 908502225666”）;

arrayList.add（ “+ 904445666”）;

arrayList.add（ “+ 9002166660101”）;

arrayList.add（ “+ 902166660101”）;

arrayList.add（ “+ 9008502510123”）;

arrayList.add（ “+ 908502510123”）;

arrayList.add（ “+ 9002123541111”）;

arrayList.add（ “+ 902123541111”）;

arrayList.add（ “08502200000”）;

arrayList.add（ “8502200000”）;

arrayList.add（ “4440000”）;

arrayList.add（ “08502220400”）;

arrayList.add（ “8502220400”）;

arrayList.add（ “4440400”）;

arrayList.add（ “08502220724”）;

arrayList.add（ “8502220724”）;

arrayList.add（ “4440724”）;

arrayList.add（ “08502222525”）;

arrayList.add（ “8502222525”）;

arrayList.add（ “4442525”）;

arrayList.add（ “08502227878”）;

arrayList.add（ “8502227878”）;

arrayList.add（ “4447878”）;

arrayList.add（ “08502000666”）;

arrayList.add（ “8502000666”）;

arrayList.add（ “4440832”）;

arrayList.add（ “02166353535”）;

arrayList.add（ “2166353535”）;

arrayList.add（ “08507240724”）;

arrayList.add（ “8507240724”）;

arrayList.add（ “4440202”）;

arrayList.add（ “08502220444”）;

arrayList.add（ “8502220444”）;

arrayList.add（ “4440444”）;

arrayList.add（ “08502220800”）;

arrayList.add（ “8502220800”）;

arrayList.add（ “4440800”）;

arrayList.add（ “08502220333”）;

arrayList.add（ “8502220333”）;

arrayList.add（ “4440333”）;

arrayList.add（ “08502110111”）;

arrayList.add（ “8502110111”）;

arrayList.add（ “08502220600”）;

arrayList.add（ “8502220600”）;

arrayList.add（ “4448444”）;

arrayList.add（ “02123048444”）;

arrayList.add（ “2123048444”）;

arrayList.add（ “08502220900”）;

arrayList.add（ “8502220900”）;

arrayList.add（ “4440900”）;

arrayList.add（ “08502223663”）;

arrayList.add（ “8502223663”）;

arrayList.add（ “08502225666”）;

arrayList.add（ “8502225666”）;

arrayList.add（ “4445666”）;

arrayList.add（ “02166660101”）;

arrayList.add（ “2166660101”）;

arrayList.add（ “08502510123”）;

arrayList.add（ “8502510123”）;

arrayList.add（ “02123541111”）;

arrayList.add（ “2123541111”）;

不过我们也发现开发恶意软件的人可能会有点懒惰或在编程方面没有什么经验，显示用于拦截/阻止传出呼叫的字符串和网上搜到的一模一样。

 针对Android设备的开源手机银行木马BankBot / Mazain分析

C＆C服务器还有用于从用户获取凭据的特殊登录页面：

 针对Android设备的开源手机银行木马BankBot / Mazain分析

显示钓鱼窗口WebView，并从命令中指定的链接下载内容。 

 针对Android设备的开源手机银行木马BankBot / Mazain分析

以上就是我们对他们的分析，我们有理由相信随着手机银行业务的普及，今年可能会面临更多类似的情况。




原文发布时间为：2017年5月17日
本文作者：Change
本文来自云栖社区合作伙伴嘶吼，了解相关信息可以关注嘶吼网站。
文章标签：
域名
Android开发
安全
关键词：
Android设备
手机设备
手机开源
设备手机
Android分析
玄学酱
目录
相关文章
luanpanfei
|
4天前
|
存储 Android开发
如何查看Flutter应用在Android设备上已被撤销的权限？
如何查看Flutter应用在Android设备上已被撤销的权限？
luanpanfei
116 64
luanpanfei
|
4天前
|
存储 Android开发 数据安全/隐私保护
如何在Android设备上撤销Flutter应用程序的所有权限？
如何在Android设备上撤销Flutter应用程序的所有权限？
luanpanfei
105 64
luanpanfei
|
4天前
|
缓存 Android开发 开发者
Flutter环境配置完成后，如何在Android设备上运行Flutter应用程序？
Flutter环境配置完成后，如何在Android设备上运行Flutter应用程序？
luanpanfei
111 62
luanpanfei
|
4天前
|
开发工具 Android开发 开发者
在Android设备上运行Flutter应用程序时，如果遇到设备未授权的问题该如何解决？
在Android设备上运行Flutter应用程序时，如果遇到设备未授权的问题该如何解决？
luanpanfei
114 61
楠竹11
|
4月前
|
数据采集 自然语言处理 安全
控制电脑手机的智能体人人都能造，微软开源OmniParser
微软研究团队推出OmniParser，旨在提升GPT-4V等多模态模型在用户界面操作方面的性能。通过解析用户界面截图为结构化元素，OmniParser显著增强了模型的交互能力，使其在多种基准测试中表现出色。该技术开源，促进了社区合作与技术创新，但同时也面临数据质量、计算资源及安全隐私等挑战。
楠竹11
277 14
蚝油菜花
|
1月前
|
存储 机器学习/深度学习 人工智能
TaoAvatar：手机拍出电影级虚拟人！阿里3D高斯黑科技让动捕设备下岗
阿里巴巴最新推出的TaoAvatar技术，通过3D高斯溅射实现照片级虚拟人实时渲染，支持多信号驱动与90FPS流畅运行，将彻底改变电商直播与远程会议体验。
蚝油菜花
185 8
蚝油菜花
|
1月前
|
数据采集 人工智能 数据可视化
SpatialLM：手机视频秒建3D场景！开源空间认知模型颠覆机器人训练
SpatialLM 是群核科技开源的空间理解多模态模型，能够通过普通手机拍摄的视频重建 3D 场景布局，赋予机器人类似人类的空间认知能力，适用于具身智能训练、自动导航、AR/VR 等领域。
蚝油菜花
128 5
SpatialLM：手机视频秒建3D场景！开源空间认知模型颠覆机器人训练
蚝油菜花
|
3月前
|
人工智能 算法 前端开发
OmAgent：轻松构建在终端设备上运行的 AI 应用，赋能手机、穿戴设备、摄像头等多种设备
OmAgent 是 Om AI 与浙江大学联合开源的多模态语言代理框架，支持多设备连接、高效模型集成，助力开发者快速构建复杂的多模态代理应用。
蚝油菜花
415 72
OmAgent：轻松构建在终端设备上运行的 AI 应用，赋能手机、穿戴设备、摄像头等多种设备
翻滚的樱桃肉
|
1月前
|
监控 Shell Linux
Android调试终极指南：ADB安装+多设备连接+ANR日志抓取全流程解析，覆盖环境变量配置/多设备调试/ANR日志分析全流程，附Win/Mac/Linux三平台解决方案
ADB（Android Debug Bridge）是安卓开发中的重要工具，用于连接电脑与安卓设备，实现文件传输、应用管理、日志抓取等功能。本文介绍了 ADB 的基本概念、安装配置及常用命令。包括：1) 基本命令如 `adb version` 和 `adb devices`；2) 权限操作如 `adb root` 和 `adb shell`；3) APK 操作如安装、卸载应用；4) 文件传输如 `adb push` 和 `adb pull`；5) 日志记录如 `adb logcat`；6) 系统信息获取如屏幕截图和录屏。通过这些功能，用户可高效调试和管理安卓设备。
翻滚的樱桃肉
387 2
蚝油菜花
|
2月前
|
机器学习/深度学习 存储 人工智能
MNN-LLM App：在手机上离线运行大模型，阿里巴巴开源基于 MNN-LLM 框架开发的手机 AI 助手应用
MNN-LLM App 是阿里巴巴基于 MNN-LLM 框架开发的 Android 应用，支持多模态交互、多种主流模型选择、离线运行及性能优化。
蚝油菜花
2357 20
MNN-LLM App：在手机上离线运行大模型，阿里巴巴开源基于 MNN-LLM 框架开发的手机 AI 助手应用

热门文章

最新文章

  • 1
    TaoAvatar：手机拍出电影级虚拟人！阿里3D高斯黑科技让动捕设备下岗
  • 2
    什么是阿里云无影云手机？看完秒懂，云手机价格、创建及连接教程
  • 3
    阿里云无影云手机怎么用？非常简单，云手机创建、价格及连接使用图文教程
  • 4
    Android调试终极指南：ADB安装+多设备连接+ANR日志抓取全流程解析，覆盖环境变量配置/多设备调试/ANR日志分析全流程，附Win/Mac/Linux三平台解决方案
  • 5
    Android网络请求演变：从Retrofit到Flow的转变过程。
  • 6
    Android系统SELinux安全机制详解
  • 7
    布谷一对一直播源码android版环境配置流程及功能明细
  • 8
    移动端数据抓取：Android App的TLS流量解密方案
  • 9
    【02】整体试验思路，在这之前我们发现sec_uid,sec_uid是什么和uid的关系又是什么？相互如何转换？python开发之理论研究试验，如何通过抖音视频下方的用户的UID获得抖音用户的手机号-本系列文章仅供学习研究-禁止用于任何商业用途-仅供学习交流-优雅草卓伊凡
  • 10
    SpatialLM：手机视频秒建3D场景！开源空间认知模型颠覆机器人训练
  • 1
    Android 中如何设置activity的启动动画，让它像dialog一样从底部往上出来
    281
  • 2
    安卓与iOS开发环境对比：选择适合你的平台
    102
  • 3
    探索未来：安卓与iOS在智能穿戴设备领域的较量
    115
  • 4
    探索Android应用开发的新趋势
    113
  • 5
    安卓与iOS开发环境对比分析：选择适合自己的编程平台
    126
  • 6
    Android经典面试题之SurfaceView和TextureView有什么区别？
    246
  • 7
    Flutter Android 14 强制升级说明 2024
    179
  • 8
    安卓应用开发中的常见安全漏洞及预防措施
    266
  • 9
    Android经典面试题之View的post方法和Handler的post方法有什么区别？
    113
  • 10
    探索iOS与安卓应用开发的异同：技术、工具和市场趋势
    115

    • 相关课程

    更多
  • 开源Android容器化框架Atlas开发者指南

    • 相关电子书

    更多
  • 58同城Android客户端Walle框架演进与实践之路
  • Android组件化实现
  • 蚂蚁聚宝Android秒级编译——Freeline
    • 下一篇
    oss创建bucket