FOFA资产拓线实战系列：APT-C-23 Android端

▌概述

本篇内容专注于对APT-C-23（双尾蝎）在安卓端的恶意活动进行深度剖析。

APT-C-23，又称Arid  Viper、Micropsia、Frozen  Cell、Desert  Falcon，其主要攻击范围涵盖中东地区相关国家的教育机构、军事机构等重要领域。网络攻击行动以窃取敏感信息为主，具备针对Windows、Android、iOS多平台的攻击能力。攻击者通常利用自定义移动端恶意软件从目标处收集敏感信息，并在受感染的设备上部署其他恶意软件。

通过分析已公开的3条IOC，本研究使用FOFA对其进行资产拓线。鉴于获取的7条结果都没有被威胁情报平台覆盖，因此同时针对拓线所得的恶意APP进行逆向分析，以确认拓线结果的真实性。

以及经研究分析，该组织会利用约会软件来进行窃密的主要方法及其应用软件恶意代码相较于IOC来源更加隐蔽，攻击者通过持续优化Android代码使得用户更难发现这种恶意行为。

▌APT-C-23 Android IOC获取

IOC来源于360威胁情报中心烽火实验室的文章《APT-C-23（双尾蝎）组织最新攻击活动分析》和《针对巴以地区围绕卡塔尔世界杯的攻击活动》。

https://blaxaplayer.com/          https://www.bbalignit.com/          https://kora442.com/            

▌FOFA规则提取

因此，我们将关注点到他们的网站正文上，通过查看网站正文，对比三个钓鱼网站，发现其网页开头均包含keywords、description和canonical的相同特征。

这几个特征比较常见，虽然能进行标定，但是结果一定非常大，所以我们需要继续尝试从网站原文中获取其他的相似特征。

查看这三个IOC从它的原文中下载相关的部分，发现有两个特征存在。一个是getAppVersionOne()，另一个是getApp()。

这是目前找到的突出特征，我们将所有特征进行一个组合，生成FOFA的查询语法，这里需要特殊注意的是，包含特殊字符需要加上转义符哦。

status_code="200" && body="name="keywords"" && body="name="description"" && body="rel="canonical""  && (body="onclick="getApp()"" || body="onclick="getAppVersionOne()"")

status_code="200" && body="name="keywords"" && body="name="description"" && body="rel="canonical"" && (body="onclick="getApp()"" || body="onclick="getAppVersionOne()"") && (body="src="js/myScript.js"" || body="src="assets/js/myScript.js"" || body="src="js/script.js"")

最终定位到49条资产，11条独立IP。在排除IOC已公开的3个钓鱼网站及关于世界杯相关的钓鱼网站后，对剩余资产进行去重处理，共获得7个域名，均为社交类应用程序。

然而，在进一步验证结果正确性过程中，我们发现了一个问题，所以我们需要对拓线的结果进行逐一验证。

▌结果验证

逐一对拓线结果进行分析，所有网站都使用完全相同的模板来展示其内容，只有内容、标题和图片略有不同，页面特征和我们已知的几个钓鱼网站极为相似。

同时，根据我们参考的360烽火实验室的文章中的分析可知，钓鱼网站均存在myscript.js特征。

拓线结果分析1  

https://www.reblychat.com          https://clemochat.com          https://mail.wislisapp.com          https://mail.lapizachat.com

但是在思科威胁情报研究团队于23年10月的报告《Arid Viper disguising mobile spyware as updates for non-malicious Android applications》中或许可以窥探一丝联系。

该文章称APT-C-23部署的一些恶意软件使用 Google 的 Firebase 平台作为恶意应用程序的 C2 基础设施。

Firebase 平台主要充当 C2 通道来发出命令以及下载和上传文件，该平台还能够向恶意软件提供新的 C2 服务器地址，以便它可以从 Firebase 平台切换到另一个攻击者控制的 C2 主机。

Arid Viper 在此次活动中使用的 Firebase 项目之一可以追溯到 2021 年，并且有一些与之相关的非恶意移动 APK，这表明运营商多年来一直在尝试创建、测试和推广其他 APK 软件。

该组织通过运营大量约会软件进行窃密，通过文章中所展示的恶意代码片段进行搜索仍没有找到相同的代码片段，怀疑攻击者对代码再次进行了升级使得攻击行为更加隐蔽。

同时，有意思的是这些app中有四个app只要存在一个其他便无法安装，因此可以判断这四个app实际上是换皮的同一套app。

我们使用模拟器对应用进行安装，在拥有Google框架的前提下仍被提示需要更新Google Play服务。

当我们执行更新时，恶意更新包updatte.apk是存储在这些app的files的文件夹中，当受害者点击update后，会自动为受害者安装恶意程序。

发送的数据包如下，上述的四个域名均存在该接口apps/indx.php

对update.apk这个恶意程序进行分析，它的代码存在混淆，且再安装时会索取所有的权限。

对部分字符内容进行拼接，可以发现一些信息。   

OooO00o方法负责构建 HTTP POST 请求，发送 GZIP 压缩的 JSON 数据，并处理响应。

拓线结果分析2  

对剩余的两个app进行分析，其中vovanil安装失败，两个app网站js与上述可疑的js一致。

https://wobomov.com/          https://voevanil.com/

向上查找它的引用，onResume的方法检查相机权限，并当且未安装指定包名字为GConfig.PT_PACKAGE_NAME的应用时，调用上述showCustomDialog2 的方法显示自定义对话框提示版本更新。

拓线结果分析3  

除了上述软件之外，数据中存在一条APT-C-23针对世界杯的另一个钓鱼网站。

wcup22qat.com

通过分析上述应用攻击模式和代码特征，均符合APT-C-23的特征，因此可以判断上述app以及世界杯相关钓鱼网站均为APT-C-23相关资产。

▌总结

攻击者通过持续优化Android代码，使用户在正常使用过程中很难发现恶意行为，从而导致个人信息泄露。网络安全风险无处不在，像这种披着约会软件的恶意程序，在全世界范围内都是窃密的重灾区。

▌参考文章

1.Arid Viper disguising mobile spyware as updates for non-malicious Android applications

https://blog.talosintelligence.com/arid-viper-mobile-spyware

2.针对巴以地区围绕卡塔尔世界杯的攻击活动

3.APT-C-23（双尾蝎）组织最新攻击活动分析

▌附录

拓线的IOC结果：

blaxaplayer.com           bbalignit.com          kora442.com          wcup22qat.com          reblychat.com          wobomov.com          voevanil.com          clemochat.com          wislisapp.com          lapizachat.com

▌End

欢迎各位白帽师傅们加入我们的社区大家庭，一起交流技术、生活趣事、奇闻八卦，结交无数白帽好友。

也欢迎投稿到 FOFA，审核通过后可获得F点奖励，快来加入微信群体验吧~~~

微信群：扫描下方二维码，加入 FOFA 社群！获取更多一手信息！