2019年移动安全总结.pdf

2019 年移动安全 总结 序言 随着 2019 年的 逝去 ， 二十一世纪第二个十年 也 已 随之结束。 回顾过去的十 年， 我们的生活随着科技的进步发生了翻天覆地的变化， 这 其中， 手机 就是 其中 一个 最直观的 表现 。 过去 的十年，我们的手机 在不断的更新 换代 。 从“品牌” 来看， 我们 的手机 从 摩托罗拉 、 诺基亚、西门子、黑莓 等 ， 变 成 了 华为、苹果、 小米、 OPPO、 vivo、 三星等。 从 手机“操作系统”来看，我们早已告别 了 塞班 、黑莓 ，如今 已经进入了 Android、 iOS 与 Windows Phone， 从 市场占比上看，如今俨然已是 Android 跟 iOS 的双足鼎立 。 然而 伴随着 手机的发展，手机病毒也由开始的“短信轰炸” 发展 到现在的 多种多样 ，甚至 已经变为了 诈骗 犯罪、窃取情报、政治攻击的武器。 诚然 ， 我们的 科学技术 是 在 不断进步的， 但 阳光照射下总会有阴暗的地方 。 每个时间段 我们 总 要 去面对 新的问题 ，每个时间段我们 总 要去面对新的移动安全 问题 。 回顾 2019 年 ， 移动安全 发生了太多的事 ， 数据泄露、 病毒 木马、 安全漏 洞、 APT 攻击 等 。 无论是 关系到 我们 大众的 个人隐私信息，还是关系到国家的安 全建设 ， 都让我们认识到了移动安全的重要性 。 本报告为 奇安信移动安全团队 ，基于 2019 年 国内外 发生的移动 安全事件 、 各个安全厂商 披露 的移动安全威胁活动以及我们内部产生的威胁情报数据 ， 对 2019 年移动安全事件的 总结 。 主要观点 暴利黑产 决定 病毒木马 移动端 黑产 ， 总是 伴随着 移动 端 技术而 发展 ， 目前移动端 黑产 种类繁多 且产 业链完善 。 暴利的驱使 ， 使得 黑产 从业人员 不断 的 开发 出新的 获利 方式 ，目 前 移动 黑产种类有 ： 暗扣 话费 、 广告流量变现、 手机应用分发、木马刷量、 勒索软件、控制肉鸡挖矿等。 这样我们 就 可以 找到 目前市面上 的移动病毒 产 生根源 ， 银行木马、色情软件、 拦截马、流氓软件 等 都是黑产团伙为了获利 而生产的工具 。 2019 年 黑产活动依然猖獗， 在即将踏入物联网的 时代，移动 安全会面临更加严峻的挑战。 政治目的 决定 APT 攻击 2019 年奇安信威胁情报中心 、 奇安信移动安全团队 捕获并 披露 多起 移动 APT 攻击， 其中在中东等有 武装冲突 ，政治矛盾比较复杂的地区 APT 攻击比较多。 我国也一直 被 一些 APT 组织 攻击， 且被攻击的目标 广泛，涵盖部门众多 。 2019 年 各国面临的 APT 攻击依然频繁， 在国际形势敏感的当下， 掌握先机 就代表着掌握了主动权，未来的 APT 战场上，移动 APT 值得我们重视。 移动 社区安全需要加强 相比于 iOS， Android 的社区 安全依然 不容乐观 。 Google Play 作为 全球最大 的 Android 软件平台 ， 根据我们 2019 年 的研究报告及公开资料， Google Play 已经成 为 了重灾区 。 国内 情况 也大同小异， 好在目前工信部已经 对各个平台、 众多软件 做出了整改的 要求 。 当然维护 Android 社区 的健康发展，还需要我 们 共同的努力。 个人安全意识 需要 提高 广大 用户 ， 应该提高自己的安全意识 。 移动端 APP 已经覆盖了我们的工作、 生活， 未来 我们会更加的依赖， 作为用户我们需要对 APP 有一定的 甄别 能力 。 2019 年依然有大量的 用户 因一些钓鱼木马、色情软件 等上当受骗， 希望在 未 来更加广泛的移动产品 里， 用户可以提高安全意识。 第一章 2019 年 各地 移动安全 事件总结 奇安信移动安全团队 基于内部数据 及 相关 公开资料 ， 对 2019 年全球 影响较 大的 移动安全 事件 进行了汇总 ， 以便 更好的展现 2019 年移动安全 对全球的 影响。 Google Play 为全球最大的 移动应用平台， 也是 国外 大多用户下载应用的首 选平台。 虽然 Google Play 一直致力于打击恶意 APP， 但 根据我们 对 2019 年的 数据总结 ， Google Play 也是 恶意 APP 传播的主要途径。 恶意软件团伙及个人， 在 利益 的驱使下，通过各种方法混进 Google Play 进行传播恶意软件 ，对用户造 成了巨大的经济损失。 下面我们通过图文的形式，展示 2019 年 影响较大的 国际 移动安全事件。 2019 年 移动恶意软件 影响范围： 我们将 2019 年 影响较大的移动安全事件 ，根据影响区域 分为了两类， “无差 别地区攻击 ”与“ 针对特定地区 攻击 ”。 无差别地区攻击 的恶意 事件 恶意软件想大规模的传播， Google Play 平台无疑是最好的选择，但能否绕过 Google Play 的安全检测， 并 成功在 Google Play 上架 并不容易。 所以 通过对 2019 年的 Google Play 主要安全事件统计， 我们发现 广告 流氓 软件 占据了很大的比例， 少量的间谍软件、银行木马也会出现 ，此外还有 挂着 正规 厂商的越界软件。 推送 广告 的流氓软件 互联网盛行的今天，广告的收益 非常大， 这也就促使了很多团伙 与个人 通过 各种手段 推送广告获利。 国际上 对于 流氓广告软件 ，其 打击力度非常大， 各大安 全厂商及 Google Play 对于 APP 的审核也相当严格，然而面对海量的 APP 软件， 总会有漏网之鱼。下面我们列举 2019 年 Google Play 上发现的影响较大的 推送 广告的流氓软件 事件 。 Goole Play 上发现 的 推送广告 的 恶意软件， 其 都是通过仿冒当下 热度较高的 APP，以及用户用的较多的 相机软件、游戏软件等 进行诱骗 用户 下载 ；其运行方 式 也基本相同，隐藏自身图标后全屏推送广告 。 推送广告的流氓软件， 对于用户 来说是令人讨厌的， 但 对于广告公司来说是巨大的利润损失。 移动端的广告欺诈问题同样严重， 广告欺诈主要针对广告厂商 ，通过 广告堆 叠、 模拟点击、设备 ID 重置欺诈、捆绑 ID 欺诈、 SDK 欺诈 等。 目前 已经形成了 完整的 黑 色 产业链 ， 而每年 通过欺诈的方式， 黑产团伙 可以获得 将近 1 亿美元 的 收入 。 预计到 2020 年移动广告将占全球广告支出的 30.5%，总额将达到 1870 亿美 元，是桌面广告支出 880 亿美元的两倍多 ，仅落后电视广告 1920 亿美元 50 亿 美元， 以目前移动互联网的发展速度，超过电视广告也将很快到来 。 黑产团伙及 个人在巨额利益的诱惑下， 未来 对 移动 互联网 产业的冲击 是巨大的。 面对越来越 复杂的技术， 对于 安全厂商 来说，如何应对这一问题 将至关重要 。 银行木马 软件 相比于 广告软件， 银行木马 危害程度要高很多 。 这类 木马 其针对性强 ， 在网 络犯罪中非常流行， 近年来 各类 恶意 木马层出不穷 ， 其从根本上危害到了用户的 个人信息、财产安全 。 2019 年 奇安信移动安全团队 也时刻关注着这类软件 ，且 对于流行银行木马进行了持续跟踪与分析。 2019 年活跃的 主要 银行木马 ： 银行木马名称 影响简介 备注 Gustuff Gustuff 木马 可以仿冒 100 多种银行应用程序和 32 种加密货 尚未在 Google Play 出现。 币， 其目标包括 美国银行、苏格兰银行、摩根大通、富国银行 等 。该木马还可以仿冒 PayPal， Western Union， eBay， Walmart， Skype， WhatsApp， Gett Taxi， Revolut 等 。 尚未在国内出现。 Anubis Anubis 木马功能强大，自身结合了钓鱼、远控、勒索木马的 功能。 已经影响全球 100 多个国家， 300 多家金融机构。 已出现在 Google Play。 尚未在国内出现，国内国际 版应用被仿冒。 Cerberus 地狱犬 为 2019 年新发现的 Android 银行木马， 其目前正在地 下论坛出租。 目前为止仅适用七个法国银行、七个美国银行、 一个日本银行、 15 个非银行应用程序。 尚未在 Google Play 出现。 尚未在国内出现。 Red Alert Red Alert 最早出现在 2017 年，但 2019 年依然活跃。其针对 120 家 银行和社交网络应用。 针对国家多为欧美， 日本、印度 也有发现。 尚未在 Google Play 出现。 尚未在国内出现。 Exobot Exobot 主要针对移动支付应用， 且对用户较多的应用下手， 目前其主要针对 PayPal 及特定地区的银行、金融应用。 尚未在 Google Play 出现。 尚未在国内出现。 其源码已泄露。 2019 年活跃的主要银行木马，除了仿冒银行 图标 外，仿冒最多的图标： Android 银行木马 尤其以 Anubis 最臭名昭著， Anubis 功能异常强大， 自身结 合了钓鱼、远控、勒索木马 等 功能 ，其完全可以作为间谍软件。 而且 Anubis 影 响范围很大，可以仿冒全球 378 个银行及金融机构 ，目前主要活跃在欧美国家， 国内暂时没有发现， 奇安信移动安全团队 自 Anubis 爆发以来，一直对其进行追 踪， 我们 通过数据平台监测到 Anubis 仿冒国际版 “抖音”与国际版“ PUBG”， 并予 以 披 露 。 Anubis 仿冒图标： 2019 年 Anubis 活动 主要 时间线： 值得注意的是， 2019 年 Anubis 的作者， maza-in 被捕 ， 其竟然是前军事人 员， maza-in 可能将会面临 5 年的牢狱之灾。 但由于 Anubis 的源码早已公开， 所以 Anubis 的变种以及仿冒 Anubis 的恶意软件 在未来还会给用户 财产 带来威 胁。 2019 年 Cerberusd 的 出现 并 通过其强大的功能，迅速被列入了顶级 Android 木马威胁的行列。 更为 有趣的是， Cerberus 的作者专门开通了推特账号，在其推 特下发布该恶意软件的促销广告， 并尝试与其他感兴趣的人沟通，同时发布 安全 厂商 披 露 Cerberusd 的文章，以此进行打趣。 间谍窃密软件 窃密软件 以获取用户个人信息为目的， 用户个人信息的贩卖同样也是黑产的 一部分。 相比于银行木马，窃密软件获取的信息更多， 在一定程度上给用户造成 损失的不止 钱财 。当攻击者掌握了足够多的用户信息， 衍生的犯罪行为也会更多， 用户潜在的威胁会更 大 。 但是在数据 爆炸 的 当下， 有些数据泄露无法避免 ，我们 只有将危害降低到最 低 。 下面我们盘点 下 2019 年 重大的 移动 间谍窃密事件。 窃密 方式 事件简介 备注 通过剪贴板窃密 Google Play 上 首次 发现了利用剪辑器 窃取加密货币的恶意软件， 该恶意软件冒充为 MetaMask 合法服务，恶意软件的主要目的是窃 取受害者的凭据和私钥，以控制受害者的以太坊资金。 已出现在 Google Play。 SMS 网络钓鱼 该攻击依赖于 无线（ OTA）设置的过程 ， 运营商通常使用该过程将 特定于网络的设置部署到加入其网络的新电话上。但是 调查后发 现， 任何人都可以发送 OTA 设置消息。 影响 包括三星、华 为、 LG、索尼等手 机。目前已修复。 仿冒 正常 APP Google Play 上发现一款窃密软件 命名为 Joker， 已发现有问题应用 24 款，影响国家达到 37 个，其中包括中国。 已出现在 Google Play。 国内受影响 。 仿冒正常 APP Google Play 上再次发现基于 Triout Android 间谍软件框架 的 APP， 其下载量 达到了 5000 万 ，评论达到了 100 万 。 韩国、德国影响较 为严重。 已出现在 Google Play。 嵌入 SDK 据 Check Point 报道 ，国内 某公司在应用中嵌入 SWAnalytics SDK， 用于收集用户数据， 受影响应用多 达 12 个。 国内受影响。 监控软件 Google Play 上检测到 8 个应用， 可用于监控个人的软件， 该软件 主要用于监控员工、家庭成员。已累计下载 14 万次。 已出现在 Google Play。 仿冒正常 APP 间谍软件 Google Plasy 上 发现基于 AhMyth，针对音乐发烧友的间谍软件 。 该 恶意软件用于窃取用户个人信息， 应用启动后多以英语、波斯语 显示。 已出现在 Google Play，其它应用商城 也已出现。 仿冒为聊天软件 窃密 名为 CallerSpy 的聊天应用，本身并无聊天功能，目前应该处于测 试阶段。 启动时， CallerSpy 启动与通过 C C 服务器的连接 Socket.IO 监测即将到来的命令。然后，它利用 Evernote Android- Job 开始调度作业以窃取信息。 目前无受害用户 StrandHogg 漏 洞 StrandHog 漏洞可使恶意软件伪装成流行的应用程序，并要求各种 权限，使黑客可以监听用户、拍摄照片、发送短信等。该漏洞影响 包括 Android 10 的设备，直接导致了前 500 名最受欢迎的的应用 面临被仿冒风险。 Android 用户可能 面临风险。 目前窃密类恶意软件多为通过仿冒正规应用程序诱骗用户安装下载，而且其 方法技术也在不断的更新， 剪贴板窃密、 SMS 网络钓鱼 、结合开源框架等恶意软 件， 未来 随着技术的发展， 恶意软件窃密 的 方法 可能会更多 。 通过对 2019 年窃密软件的总结， 我们发现 通过 Google Play 进行传播仍然是 恶意作者的首选传播方式。 然而事实也 确实证实了， Google Play 的检测确实存 在 着盲区。 这类软件一旦在 Google Play 上架，影响范围是巨大的， 包括中国用 户也受到了波及。 互联网 的 开放利弊很明显， 当 Google Play 无法 完全 过滤恶意 软件的时候，当国内用户 使用高科技上网的时候，那 时候一部分人 将 直面 这类窃 密软件 ， 带来的危害可能不止是个人的信息泄露。 包括影响国内用户的 Joker 窃密软件影响范围： iOS 漏洞 相比于 Android，人们 一直 觉得 iOS 很安全 。 诚然 iOS 拥有比 Android 更 安 全 的生态圈， 有安全性更可靠的保障 ，但 也是相对而 言 的， 当前 iOS 并 没有我们 想象 中的那么安全。 iOS 的安全 是建立在 苹果公司闭源的 操作系统上的， 其拥有独立的 生态。 但 近年来 一直有黑客团伙 利用丰富的漏洞进行攻击， 包括 APT 攻击。 研究团队 事件简介 影响 谷歌 Project Zero 安全研究团队 一 些 网站集结了五个漏洞利用链 将安全漏洞链接起来的工 具，供黑客层层突破 iOS 数字防护。这些少见且错综复杂的代 码链利用了总共 14 个安全漏洞，目标范围涵盖从浏览器 “沙 箱 ” 隔离机制到操作系统内核的方方面面，最终目的是获取手 机完全控制权。 一旦安装上，该间谍软件可以监视实时位置数 据，或者抓取照片、联系人，乃至从 iOS Keychain 中抽取密码 和其他敏感信息。 iOS10 到 iOS 12 AdaptiveMobile Security SIM 卡超级漏洞， iPhone， Android 都会收到影响。 该漏洞已经 存在了两年之久， 黑客可以使用该漏洞无声无息的入侵用户手 机 。 iPhone 、 Android 荷兰黑客通过“查找我得 Iphone”应用中的漏洞， 入侵数百个 icloud 账户，窃取 用户隐私。 iPhone 苹果公司 修复了“ AirDos”漏洞， 该漏洞 可以利用 AirDrop 共享弹 出通知无限地向附近的所有 iPhone 和 iPad 发送垃圾邮件。 iPhone iPad iPhone 的 BootROM 漏洞被称为 “ checkm8” ，这是一个无法修 复的漏洞，影响了数亿部 iPhone， 攻击者可以通过不可阻挡的 越狱黑客在系统级别访问手机。 很快出现了一种 名为 checkra1n 的漏洞，该漏洞使用户可以绕过 DRM 限制来运行未经授权和 自定义的软件 。 iPhone 苹果的漏洞，仿佛在 2019 年都一下子冒了出来， 包括 历时数年的一次水坑 攻击中，总共出现的 14 个 iphone 漏洞。 这些 导致 iOS 的安全问题在今年被无限 放大，为此 苹果在 12 月正式向公众开放了其私人漏洞赏金计划，同时将最高报 酬提到了 100 万美元。 对特定地区 攻击 的 恶意 事件 全球共有 233 个国家和地区， 每个国家跟地区使用的语言、生活习惯 等都不 相同 ， 包括国家与地区之间可能由于种种原因，互有矛盾等。 这也就造成了移动 端恶意软件 的 攻击具有 地域性 。 下面我们盘点 2019 年针对各个地区，比较具有 代表性的恶意事件。 本次列举 2019 年 重大恶意事件影响地区 ： 针对 韩国 的恶意软件 首先 从我们的近邻 韩国 开始说起， 根据我们 内部的数据， 2019 年韩国 遭遇的 恶意攻击事件众多， 最 多 的为，因 黑产而引起的 银行木马 ，这类软件在 韩国异常 猖獗 ，且已经持续了多年 。 2019 年我 们发现了 针对韩国的 几类银行木马， 对其 中的一些 也 进行过 分析 披露 ， 我们发现 该类 木马 多 为国人编写， 后台服务器众多， 仿冒的软件涵盖了韩国 大部分金融软件。 KBuster：通过仿冒韩国多款银行 APP 的木马软件，在我们 披露 时已发现 55 种， 118 个在野样本，使用了多达 300 个服务器用于存放用户信息。 主要伪造的图标： 样本执行流程图： Google Play 上发现韩国公交车应用 Bus App 系列软件，被黑客利用下发虚假插 件，攻击特定目标。 应用信息： 感染流程图： 针对 巴基斯坦 的恶意软件 由于 地区 政治的原因 ，印巴之间一直有冲突， 然而在 APT 攻击之外， 2019 年 我们发现，有监控软件对巴基斯坦地区实施长时间的监控活动。 我们将此次活动 命名为： 克什米尔冲突之针对 巴基斯坦的 Chenab（奇纳布河）监控活动 。 远控指令列表： 针对日本的恶意软件 FunkyBot：针对日本的新型 Android 恶意软件家族 ， 该类 恶意软件 会模拟为 一家物流公司 诱骗用户使用， 并窃取用户手机信息 上传至恶意服务器。 FunkyBot 特殊的地方在于，类似 Anubis 曾经使用虚假的 Telegram 和 Twitter 帐户一样 ， FunkyBot 也会使用社交媒体账号获取其 C2， 它下载了没有照片的 Instagram 帐户的网页。然后，提取该帐户的传记字段，并使用 Base64 对其进行 解码。 而且根据溯源发现，该软件目前还处于开发测试阶段。 针对波兰、捷克 的恶意软件 2019 年初，启明星辰 ADLab 发现了一款全新的 Android 银行钓鱼木马， 命 名为 BankThief。 该 类木马主要针对波兰、捷克等数十家银行客户端。 目标银行 logo： 攻击流程图： 针对意大利的恶意软件 2019 年 3 月 29 日， Security Without Borders 发现了一个新的 Android 间谍 软件，他们将之命名为“ Exodus”。 Security Without Borders 在 Google Play 中收 集了 2016 年到 2019 年初的大量样本，他们发现 Exodus 是由意大利一家名为 eSurv 从事视频监控的公司开发的，其在 Google Play 中伪装为移动运行商的应 用程序，页面与诱饵都是意大利语，通过 Google Play 公开的数据显示，最多的 一个下载量达到了 350 个，目前这些软件都已从 Google Play 中删除。 Google Play 中下载页面： 针对西班牙的恶意软件 西班牙 一直比较受银行木马所青睐， 在 2019 年我们捕获了多起针对西班牙 的银行木马事件。 其中最多得为 Anubis 与 Gnip。 而 Gnip 为经过 Anubis 变种而 来的。 2019 年我们检测到， Anubis 通过 仿冒为西班牙邮政运营商 Correos 的恶意 软件。 Anubis 攻击西班牙载体： 打开推特获取备份 C2： 仿冒银行登录页面： 2019 年银行木马 Ginp 针对西班牙与英国的攻击活动， 其模仿 Adobe Flash Player， 滥用辅助功能服务，将其自身设置为默认 SMS 应用程序，从 C C 服务 器获取网络钓鱼注入。 Ginp 为 Anubis 变种， Ginp 与 Anubis 代码对比： 针对澳大利亚的恶意软件 2019 年银行木马在国外盛行，澳大利亚也遭到了 Gustuff 的袭击。 Gustuff 多 次将目标瞄准澳大利亚， 它可以仿冒澳大利亚市场上 100 多种金融程序及 32 种 加密货币程序 ，除了可以窃取金融 凭证外，还可以自动执行交易。 Gustuff 一直在不断更新， 2019 年早些时候被 披露 以后， 其不断的在更新功 能 、 C2 与传播方式 。 Gustuff 在开始的时候通过仿冒银行木马 Marcher，在一次 次更新后， 其代码结构 、方法上 已完全脱离了 Marcher。 Group-IB 统计的 六月份与十月份域名点击情况： 针对奥地利的恶意软件 2019 年我们发现了一款仿冒奥地利“ Willhaben”软件的钓鱼木马， 其 会获取 用户信息，并 通过短信的方式向用户发送退款链接，从而 诱骗用户钱财。 预付款钓鱼页面： 针对埃及的恶意软件 “尼罗河之眼” ， 2019 年 3 月 Check Point 发现了针对埃及记者与人权活动者 的攻击。 其攻击方式新颖，通过 “ OAuth 网络钓鱼 ”的技术。 通过滥用于 Gmail 或 Outlook 等流行邮件服务的第三方应用程序，攻击者操纵了受害者，使他们可以 完全访问他们的电子邮件。 入侵流程： 攻击的 APK： 针对德国的恶意软件 德国联邦信息安全办公室（ BSI） 在 2019 年 6 月 6 日发布了安全警告， 该国 至少有四款只能手机型号的固件种嵌入了后门恶意软件。 受影响的 型号有 Doogee BL7000， M-Horse Pure 1， Keecoo P11 和 VKworld Mix Plus。 嵌入的恶 意软件为 Andr / Xgen2-CY 。 该恶意软件收集的信息如下： 针对巴西的恶意软件 2019 年我们在巴西发现 了仿冒 WannaCry 勒索软件 ， 该恶意软件在 UI 上借 鉴了 WannaCry， 功能上除了可以获取用户信息以外，还可以 执行 DDOS 攻击， 网络钓鱼等。 与国内早期发现的仿冒 WannaCry 勒索软件 的 “王者荣耀辅助 ”已 完全不同。 含有西班牙语的勒索界面： 同样在巴西，发现了“ BRATA”远控恶意家族， 其专门针对巴西，从一月开始 已经通过 Google Play 在巴西广泛传播， 目前已在 Google Play 上发现了 多种不同的变体。 远控指令及含义： 针对伊朗的恶意软件 伊朗 由于各种原因， 依然 是 2019 年 世界的焦点 。 2019 我们发现 有相关间谍 软件 ， 仿冒为 “ !”(居鲁士大帝 ！ )针对伊朗的攻击 。 此类样本极具有 诱惑性， 通过普及伊朗一些历史事件 ，诱骗用户安装使用 ，目的为窃取伊朗用户 个人信息。 指令列表： 其它安全事件 2019 年 ， 除了 以上 具有代表性的针对地区攻击外， 还有更多的地区 受到其它 移动 安全事件的影响 ，其中以“ TikTok”、 “WhatsApp”、“ ToTok”最受关注。 TikTok：海外版抖音。 美国民主党议员 Schumer 提出 抖音海外版 TikTok 对用户数据处理，会影响 美国国家安全 ， 之后 美国 陆军、海军 相继 对短视频 TikTok 展开安全评估 ， 并 在 军队中禁止使用 TikTok。 而在年初的时候 ， 该议员 还呼吁 联邦调查局（ FBI）和联 邦贸易委员（ FTC）开展对俄罗斯人脸编辑照片应用程序 FaceApp 进行国家安全 和隐私调查。 其实 无论 TikTok 是否真的收集了 敏感数据， 从美国的做法中我们 可以看出， 在面对国家安全的时候 谨慎的态度让我们看到了， 其对移动安全的重 视，对数据 安全 的重视。 WhatsApp：堪称海外版微信 。 WhatsApp 指责 以色列 公司 NSO 攻击 其软件，从而对 中东等地的 持有不同政 见的个人、记者、维权人士进行监控，获取 重要数据信息。 WhatsApp 表示，其 经过了半年的调查，发现黑客 利用其向约 1400 部手机发动攻击， 窃取宝贵的信 息。 ToTok： 阿联酋用户最多的通讯应用 。 阿联酋，是一个禁用诸如 WhatsApp 和 Skype 之类的聊天 APP 的国家，因此 ToTok 的出现引领了一股下载风潮。但据熟悉机密情报评估和对该应用程序及其 开发者进行调查的美国官员说， ToTok 实际上是一种间谍工具。阿拉伯联合酋长 国政府使用它来尝试跟踪将其安装在手机上的人们的每一次对话，动向，关系， 约会，声音和图像。 智能手机已经 发展了十多年， 移动威胁产生的时间与其差不多， 智能 手机目 前已经 嵌入 到 了我们的生活， 从最初的供给面到现在的多平台 攻击，包括平板电 脑、手机、电视、医疗设备等，未来 还有物联网 ，威胁与日俱增 。同样 的智能手 机的发展，为一些黑客组织、个人提供了完美的平台。在未来针对地区的攻击会 越多 ，我们面对的威胁也会更多。 第二章 2019 年各地移动 APT 事件 总结 2019 年世界依旧 不太平， 在表面平静的背后是暗流涌动。 大规模军事冲突 不会发生的当下， 因利益，政治，宗教等 问题依然会有局部 战争 。 其中尤其以中 东问题最为突出 ， 更多关于 APT 组织的相关信息，请关注奇安信威胁情报中心， 红雨滴团队 GitHub 的 APT_Digital_Weapon 资料库： 下面 我们盘点 2019 年 移动端 APT 攻击事件。 KONNI APT 组织 KONNI 团队可能来源 东亚地区 最早活动时间 2014 最早披露时间 2017 最早披露厂商 Talos APT 组织介绍 KONNI 是由 Talos 命名的恶意软件，其相关活 动最早可以追溯到 2014 年。相关的受害者是联 合国，联合国儿童基金会和与朝鲜有联系的大 使馆等官方组织的成员。 事件概括 ： 2019 年 8 月，韩国安全厂商 ESTsecurity 披露 了 KONNI APT 组织使用 Android 端木马的新攻击活动，并称其与 APT 组织 Kimsuky 存在关联。 11 月 奇安信威胁 情报中心红雨滴团队在日常的高级威胁监测过程中，发现多 起疑似针对韩国地区 Android 用户的恶意代码攻击活动。攻击者通过将恶意安卓 应用伪装成韩国常用移动应用，从而诱导受害者安装使用。经关联分析，我们发 现此次攻击活动无论从攻击手法还是木马框架都与 ESTsecurity 披露 的 KONNI Android 木马一致。 该软件主要通过短信投递的方式， 主要功能为： 窃取上传用户手机的一些机 密信息，包括通信录、 短信 记录、 APP 安装记录、 sd 卡目录以及在用户手机上采 集到的录音信息等。 相关样本信息： 指令列表： 攻击流程： Group 123（ APT37） APT 组织 Group 123（ APT37） 团队可能来源 东亚地区 最早活动时间 2012 最早披露时间 2016 最早披露厂商 Kaspersky APT 组织介绍 APT37 是 东亚地区 网络间谍组织，至少从 2012 年开始运营。其目标主要位于韩国， 2017 年 APT37 的目标范围扩大到了朝鲜半岛以外的地 区 ，包括 日本，越南，俄罗斯，中国，印度和中 东的一些国家。 受影响的行业范围更广，包括 化学，电子，制造业，航空航天，汽车和医疗保 健实体 。 事件概括 ： 2019 年 奇安信威胁情报中心 捕获到一批 Kevdroid 样本，该批新变种通过仿 冒主流 APP 应用，对目标进行攻击。其中有通过仿冒“微信国际版”的攻击样本。 Kevdroid 被 EST 团队在 2019 年 3 月首次在韩国捕获并 披露 ，随后 Talos 和 PAN 也进行了跟进分析， 2018 年 11 月 360-CERT 与盘古实验室 披露 过一款 伪装 成网易邮箱大师的恶意 APK。此次我们捕获的 Kevdroid 样本，通过其仿冒的 APP 及配置文件所适配的语言，我们发现 Kevdroid 针对的地区众多，除了英语使用 国家外，明显的为中国（包括中国台湾与港澳地区）、韩国、日本、俄罗斯、印 度、阿拉伯语使用国家等。 样本信息： 远控指令及功能： 同源 样本信息： Lazarus Group APT 组织 Lazarus Group 团队可能来源 东亚地区 最早活动时间 2009 最早披露时间 2013 最早披露厂商 Symantec APT 组织介绍 Lazarus Group 被认为是 东亚地区 （ Bureau 121）背景下的 APT 组织，其最早的攻击活动 可以追溯到 2009 年，包括针对韩国的 DarkSeoul， 2014 年攻击 SONY 事件， 2017 年 的 WannaCry 事件。美国 DoJ 于 2018 年发布 了对朝鲜黑客 Park Jin Hyok 的公开指控书并 认为其所属组织和上述事件有关。近几年来，该 组织的活动主要针对全球金融、银行及加密货 币交易相关的目标。 事件概括 ： 2019 年 12 月 11 日据国外安全研究员 披露 ， Lazarus APT 与 犯罪软件巨头 Trickbot 存在合作关系， 其针对全球的银行与网络犯罪目标。 其通过 Trickbot 开 发的 Anchor 攻击框架进行合作。 这一举动无疑是第一个 APT 组织与犯罪团伙进行合作， 通过 Lazarus Group 的以往活动，我们不难发现其与 Trickbot 的共同目标 。 这无疑在将来会给我们带 来巨大的威胁。 双尾蝎（ APT-C-23） APT 组织 双尾蝎 （ APT-C-23） 团队可能来源 西亚地区 最早活动时间 2016 最早披露时间 2017 最早披露厂商 奇安信 APT 组织介绍 双尾蝎（ APT-C-23） 组织对巴勒斯坦教育机构、 军事机构实施 APT 攻击。其攻击工具包括 Windows 和 Android 平台，攻击范围主要为中 东地区。并通过鱼叉或水坑等攻击方式配合社 会工程学手段进行渗透，向特定目标人群进行 攻击。后续国外安全厂商也将 Big Bang 攻击行 动与双尾蝎联系到一起。 事件概括 ： 2019 年 奇安信威胁情报中心 捕获了 APT-C-23 带有政治主题的诱饵 PDF 文 件， 其使用了全新的 C2， 此次发现变种在 原有的基础上功能进行了增加，代码 结构、控制指令等都进行了巨大的改变 。 含有政治主题的诱饵文件： 其通过 SMS、 FCM 两种方式下发指令。 通过 SMS 下发指令： 通过 FCM 下发指令： 拍拍熊（ APT-C-37） APT 组织 拍拍熊（ APT-C-37） 团队可能来源 西亚地区 最早活动时间 2015 最早披露时间 2019 最早披露厂商 360 APT 组织介绍 拍拍熊（ APT-C-37） 被认为同样是 西亚地区 电 子军背景的 APT 组织，其同时拥有针对 Windows 和 Android 的攻击平台，并且在过去 主要针对极端组织 “伊斯兰国 ”实施攻击活动。 该组织对巴勒斯坦教育机构、军事机构实施 APT 攻击。并通过鱼叉或水坑等攻击方式配合 社会工程学手段进行渗透，向特定目标人群进 行攻击。后续国外安全厂商也将 Big Bang 攻击 行动与双尾蝎联系到一起。 事件概括 ： 2019 年 3 月 25,360 烽火 实验室 发现 从 2015 年 10 月起至今，拍拍熊组织 （ APT-C-37）针对某武装组织展开了有组织、有计划、针对性的长期不间断攻 击。其攻击平台为 Windows 和 Android。 某武装组织由于其自身的政治、宗教等问题，使其成为了众多黑客及国家的 攻击目标。 2017 年 3 月，某武装组织 Amaq 媒体频道发布了一条警告消息，该 消息提醒访问者该网站已被渗透，任何访问该网站的人都会被要求下载伪装成 Flash 安装程序的病毒文件。从消息中我们确定了某武装组织是该行动的 攻击目 标，其载荷投递方式至少包括水坑式攻击。 拍拍熊攻击相关的关键时间事件点 ： Donot（ APT-C-35） APT 组织 Donot（ APT-C-35） 团队可能来源 南 亚地区 最早活动时间 2016 最早披露时间 2017 最早披露厂商 奇安信 APT 组织介绍 Donot“肚脑虫” （ APT-C-35） 是疑似具有南亚 背景的 APT 组织，主要以巴基斯坦为目标的威 胁组织，其主要使用 yty 和 EHDevel 两套恶意 软件框架。分析研究也发现其与 Hangover 和 Patchwork 存在联系。由奇安信 威胁 情报中心 红雨滴团队（ RedDrip7）持续跟踪发现并命 名，其主要针对巴基斯坦等南亚地区国家进行 网络间谍活动。 事件概括 ： 2019 年 Donot 异常活跃，奇安信威胁情报中心 在 2019 年 持续跟踪 Donot， 移动端进行过多次 披露 。 随着印巴局势的紧张， Donot 也随之活动频繁。 该 APT 组织主要针对政府机构等领域进行攻击，以窃取敏感信息为主要目 的。该 APT 组织除了以携带 Office 漏洞或者恶意宏的鱼叉邮件进行恶意代码的 传播之外，还格外擅长利用安卓 APK 进行恶意代码传播。 2019 年 Donot 移动端的攻击活动比较活跃， 2019 年前上半年根据我们的跟 踪发现，在印巴双方因克什米尔地区（ Kashmir）局势紧张的时候， Donot 诱饵 无论是从图标、样本信息伪装主要针对巴基斯坦用户，尤其以“ KashmirVoice”(克 什米尔之声 )表现最为突出。然而 2019 年下半年的时候，我们持续发现其对伪装 为腾讯系 APP 较为执着，从开始的仅仅是包名伪装，到现在的伪装日渐趋于成 熟来看， Donot 的攻击目标也在向国内偏移，国内一些流量较大的 APP 将会是 首选仿冒目标。 Donot 2019 年诱饵信息列表： 仿冒应用名 仿冒包名 仿冒图标 Device System Services com.sysdeviceservice.iapps KNS Lite com.newlite.sapp Update Service com.update.android.v2.test3 Google Update Service com.update.gooqle Google Play Service Instant Apps com.sense.android.gservicelite System Service com.tencent.mobileqq Android Database Library c