個案分析 - 校園 Android 手機感染 Congur 病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 11 月

Size: px

Start display at page:

Download "個案分析 - 校園 Android 手機感染 Congur 病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 11 月"

瑛冉
5 years ago
Views:

1 個案分析 - 校園 Android 手機感染 Congur 病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 11 月

2 I. 事件簡介 1. 隨著網路的普及與手機的使用率升高, 使得手機的資安問題越來越重要, 而在學術網路中, 有許多學校提供學校師生無線上網的服務, 因此, 手機中毒之資安事件比例逐漸升高 2. 本中心在 106 年 5 月至今, 陸續開出 Andriod 系統感染 Congur 病毒的資安事件單, 而從各校回覆的內容中發現, 往往無法找到中毒裝置的使用者或找到該中毒裝置的惡意連線行為之來源 3. 從資安事件單的佐證資料顯示, 該惡意行為的觸發皆會連到一個中國 IP: : 今年 6 月初在一間學校發現該資安事件單的中毒裝置使用者為一名學生, 當該學生透過學校 Wifi 上網玩來自韓國的手機遊戲時會連線至中國 IP 1

3 5. 今年 10 月在另一間學校發現此類型事件單之中毒裝置為桌上型電腦, 該校有多名學生安裝 Android 模擬器於個人電腦並且上網玩遊戲, 由此可知該類型資安事件單的中毒裝置並非只有手機, 有安裝 Android 模擬器的電腦也有可能中毒 6. 統計此類型資安事件在 106 年 5-10 月的觸發次數, 發現此類資安事件共有 496 件, 而且有越來越多的趨勢, 需要加強防範此類事件的發生 7. 分析此類型資安事件在 106 年 5-10 月所觸發的單位, 發現大專院校佔大多數, 其次是高中職與國民中小學, 可能因有提供 Wifi 服務的學校以大專院校居多導致 8. 為了釐清是否因來自韓國的手機遊戲觸發 Congur 的資安事件單, 本中心進行模擬檢測 2

II. 事件檢測 1. 首先, 將 IP:123.56.205.151:6280 送至 VirusTotal 檢測, 發現此 IP 被防毒軟體公司檢測出為惡意的比例不高, 僅 2/64, 但該 IP 被 Fortinet 公司列為 Malware site 下圖的網址列表是 VirusTotal 提供與中國 IP(123.56.205.151:6280) 有關係而被偵測到的惡意網址, 事實上, 從我們所側錄到的封包內容也可以看出該款遊戲有連到這些網址的行為 2.

4 II. 事件檢測 1. 首先, 將 IP: :6280 送至 VirusTotal 檢測, 發現此 IP 被防毒軟體公司檢測出為惡意的比例不高, 僅 2/64, 但該 IP 被 Fortinet 公司列為 Malware site 下圖的網址列表是 VirusTotal 提供與中國 IP( :6280) 有關係而被偵測到的惡意網址, 事實上, 從我們所側錄到的封包內容也可以看出該款遊戲有連到這些網址的行為 2. 經查 IP: 目前被 Fortinet 公司和 AlienVault 公司列入 IP 黑名單中, 判斷可能曾經被用來作為 Android Congur Botnet C2 Server 3

5 從下圖我們可以看出與中國 IP 有關聯的網址有哪一些, 而這些網址在稍後我們所側錄到的封包內容中也有看到另外, 從下圖我們可以知道 Google 的安全瀏覽是不存在的 3. 透過使用 Win7(x64) 系統的 VM 主機進行隔離測試, 並且安裝 Android 系統模擬器 BlueStacks 軟體於 VM 主機內 4. 在 Google play 商店內搜尋韓國的手機遊戲 ( 簡稱 : 遊戲 A), 發現該遊戲已有 4

使用 MOBSF(Mobile-Security-Framework) 工具檢測遊戲 A, 發現在 Android 權限方面有多個權限項目存在風險, 詳列如下 : NO 權限狀態

6 500 萬下載次數, 可見此款遊戲使用者眾多 5. 查看遊戲 A 的存取權限, 發現所開啟的權限隱藏洩漏個人隱私的安全疑慮, 例如 : 可讀取修改或刪除 USB 儲存裝置的內容尋找裝置上的帳戶手機概略位置等等 6. 使用 MOBSF(Mobile-Security-Framework) 工具檢測遊戲 A, 發現在 Android 權限方面有多個權限項目存在風險, 詳列如下 : NO 權限狀態資訊 1 android.permission.read_external_storage 危險讀取 SD 卡內容 2 Android.permission.INTERNET 危險完全存取網際網路 3 Com.google.android.c2dm.permission.RECEIVE 危險來自 android 參考的未知權限 5

NO 權限狀態資訊 4 Android.permission.ACCESS_COARSE_LOCATION 危險存取手機大概位置 5 Android.permission.WAKE_LOCK 危險防止手機進入睡眠檢索執行中的應用 6 Android.permission.GET_TASKS 危險程式來發現隱私資訊 7 Android.permission.READ_PHONE_STATE 危險 8 Android.

7 NO 權限狀態資訊 4 Android.permission.ACCESS_COARSE_LOCATION 危險存取手機大概位置 5 Android.permission.WAKE_LOCK 危險防止手機進入睡眠檢索執行中的應用 6 Android.permission.GET_TASKS 危險程式來發現隱私資訊 7 Android.permission.READ_PHONE_STATE 危險 8 Android.permission.WRITE_EXTERNAL_STRAGE 危險 9 Com.android.vending.BILLING 危險讀取手機的狀態與識別碼讀取 / 修改 / 刪除 SD 卡內容來自 android 參考的未知權限 7. 使用 MOBSF 工具檢測遊戲 A, 發現在惡意程度分析方面存在四個問題, 分別敘述如下 : 6

NO 問題嚴重性說明該 Flag 應該設置為 false 默認情況下, 它 1 應用程式資料可以備份,Flag 遺失中被設置為 true, 並允許任何人通過 adb 備份您的應用程式資料它允許使用 USB 偵錯來複製應用程式資料的使用者關閉裝置 2 內容提供者不受保護高發現內容提供者被設備上的其他應用程式共享, 因此設備上的任何其他應用程式都可以存取內容提供者 3

8 NO 問題嚴重性說明該 Flag 應該設置為 false 默認情況下, 它 1 應用程式資料可以備份,Flag 遺失中被設置為 true, 並允許任何人通過 adb 備份您的應用程式資料它允許使用 USB 偵錯來複製應用程式資料的使用者關閉裝置 2 內容提供者不受保護高發現內容提供者被設備上的其他應用程式共享, 因此設備上的任何其他應用程式都可以存取內容提供者 3 廣播接收器不受保護高發現廣播接收器被設備上的其他應用程式共享, 因此設備上的任何其他應用程式都可以存取廣播接收器 4 廣播接收器不受保護存在一個有意圖的過濾器高發現廣播接收器被設備上的其他應用程式共享, 因此設備上的任何其他應用程式都可以存取它有意圖過濾器的存在表明廣播接收器被明確地導出 8. 使用 MOBSF(Mobile-Security-Framework) 工具檢測遊戲 A, 在 Android Library Binary 分析方面, 發現 elf 建立沒有堆疊保護, 會大大增加利用堆疊緩衝區溢出的難度, 因為它迫使攻擊者通過一些非傳統手段 ( 例如破壞堆疊上的其他重要變數 ) 來獲得對指令指針的控制, 屬於高嚴重等級 7

9. 在 Android 系統模擬器 BlueStacks 內安裝遊戲 A, 發現當開啟遊戲 A 時, 會有連線中國 IP:123.56.205.

此連線行為如同執行一個後門程式來定期連至某一個 IP 另外, 也發現在遊戲 A 開始執行時, 會有短暫一兩次連至中國 IP:123.56.206.

9 9. 在 Android 系統模擬器 BlueStacks 內安裝遊戲 A, 發現當開啟遊戲 A 時, 會有連線中國 IP: :6280 的連線行為產生, 而且當此遊戲 A 執行期間其連線次數頻繁, 當遊戲 A 被關閉後, 則會每隔一段時間連線至中國 IP, 此連線行為如同執行一個後門程式來定期連至某一個 IP 另外, 也發現在遊戲 A 開始執行時, 會有短暫一兩次連至中國 IP: :7878 之連線行為 10. 透過 VirusTotal 網站檢測 IP: , 發現該 IP 被 Fortinet 公司視為 Malware site 8

11. 檢視側錄的封包內容, 發現 Android 系統模擬器會連到中國 IP:123.

59:7878 去取得資料, 所取得資料內容為伺服器位置 :http://123.56.

10 11. 檢視側錄的封包內容, 發現 Android 系統模擬器會連到中國 IP: :7878 去取得資料, 所取得資料內容為伺服器位置 : 與下載位置 : 接著它便會連線到 IP: :6280 去上傳資料, 9

11 IP: :6280 (Server: Goliath) 會回應請求成功, 並且傳送資料給 Android 系統模擬器之後,Android 系統模擬器會陸陸續續每隔一段時間連到 IP: :6280 去上傳資料 10

12 12. 從 Avgthreat Lab 所出的 Android App 報告內容, 得知遊戲 A 為活動中的惡意程式, 而且被偵測到內含兩個惡意子程式這些惡意子程式會中斷手機的運作與竊取使用者的個人資訊, 也會注入代碼來檢測與利用使用者手機上安裝的應用程式漏洞, 以安裝惡意與不需要的軟體, 危及受影響手機上所有資料的安全性, 可見該遊戲 A 存在惡意行為 11

13 III. 網路架構圖 1. 使用者下載與安裝韓國遊戲 APP 2. 連至一個中國 IP: :7878 取得 Server 位置 : :6280 的資訊 3. 上傳資料給 IP: :6280 的伺服器 4. 從 IP: :6280 的伺服器下載資料 5. 每隔一段時間再次連線 IP: :6280 IV. 建議與總結因在學術網路中陸續發生許多 Android. Congur 資安事件 ( 偵測規則 : Android.Congur.Botnet 或 MALWARE-CNC Andr.Trojan.Congur variant outbound connection detected), 經本中心檢測觸發原因來自一款韓國的手機遊戲, 當使用者於 Android 系統玩此遊戲時, 會出現連至中國 IP: :6280 之連線行為, 此 IP 目前被 Fortinet 公司和 AlienVault 公司視為惡意 IP, 並列入黑名單, 建議各學校遇到此類資安事件時, 優先封鎖此惡意 IP, 封鎖該 IP 不影響該遊戲之使用 12

2016 勒索軟體白皮書

2016 勒索軟體白皮書 Botnet Botnet 1 1 2 2 5 5 6 9 10 11 11 11 12 12 12 12 12 12 13 14 2016 1989 AIDS AIDS C 189 2005 2006 TROJ_CRYPZIP.A 2011 TROJ_RANSOM.QOWA 12 2012 REVETON 2013 Cryptolocker Cryptolocker AES RSA Cryptolocker

個案分析 - 校園 Android 手機感染 Congur 病毒事件分析報告 臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 11 月

個案分析 - 校園 Android 手機感染 Congur 病毒事件分析報告臺灣學術網路危機處理中心團隊 (TACERT) 製 106 年 11 月