Donot团伙 (APT-C-35) 移动端新攻击框架工具分析

背景介绍

肚脑虫(APT-C-35)，由奇安信高级威胁研究团队持续跟踪发现并命名，其主要针对巴基斯坦等南亚地区国家进行网络间谍活动的组织。该组织主要针对政府机构等领域进行攻击，其中以窃取敏感信息为主。

自第一次发现该组织的攻击活动以来，奇安信威胁情报中心对该组织一直保持着持续跟踪，近期发现了其包名为com.tencent.mm(微信包名)最新的移动样本，相比于之前发现的Donot(肚脑虫)移动端程序，此次发现的程序对其代码结构进行了调整，但其C&C和功能方面依然保持了之前Donot(肚脑虫)的风格。

同时在此期间也发现了在早期版本框架基础上修改的新样本，主要是对获取C&C的方式做了改变，其舍弃硬编码C&C方式，利用Google Docs(谷歌在线文档编辑系统)的方式来灵活改变C&C信息。

诱饵分析

此次发现的名为” SafeShareV67”的移动app使用了腾讯微信包名（com.tencent.mm），其通过使用正规app的包名来伪装自己，其真实意图还未可知。同时对其代码框架分析，发现此次结构调整非常大，也对部分功能代码进行了混淆。可以大致判定此样本是经过精心准备的。

并且发现该样本上传地印度:

样本分析

我们所分析的样本基本信息如下：

文件名称	SafeShareV67.apk
软件名称	Android Database Library
软件包名	com.tencent.mm
MD5	7BB0B6EB3383BE5CEC4B2EABF273C7F9
安装图标

样本行为描述

该恶意样本名称为“Android Database Library”（其包名为微信包名），通过伪装为Android数据库组件来诱骗用户安装使用，从而可以进一步实施恶意行为；样本运行后会弹出是否开启辅助功能设置框，并会隐藏自身图标，使用户放松警惕，从而达到保护自身的目的；恶意样本在用户手机运行后，会定时从固定服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

样本基本信息

样本安装图标：

运行界面：

样本申请权限列表

详细分析过程

诱骗用户运行并误导用户此程序为正常程序

通过伪装为Android数据库组件来诱导用户点击”OK”，同时跳转到系统的辅助功能界面，然后在后台运行程序。这样操作能误导用户认为此程序是一个android组件程序。

隐藏图标保护自身

样本运行以后则会隐藏删除自身图标，使用户放松警惕，从而达到保护自身的目的。

根据服务端下发的控制指令，进行相关的恶意操作

恶意样本在手机中运行后，会定时从服务端获取远程控制指令，从而实现不同的恶意功能，其相关的远控操作有：获取用户手机通话记录信息、获取用户手机通讯录信息、获取用户手机短信息、获取App输入的内容信息、获取外置存储卡文件列表信息、获取用户手机已安装软件列表等；恶意软件会将获取的用户信息保存在本地文件夹下，并上传至服务器。

1）定时从服务器中获取远控指令信息：

2）对指令信息进行解析并下发对应的指令操作：

3）相关的指令操作：

指令	指令功能
Call	获取用户手机通话记录信息
CT	获取用户手机通讯录信息
SMS	获取用户手机短信息
Key	获取App输入的内容信息
Tree	获取外置存储卡文件列表信息
AC	获取Account信息
Net	获取WiFi、设备厂商等信息
CR	设置用户手机电话通话录音
LR	设定特定时间段录音
FS	文件上传开关
GP	获取地理位置信息
PK	获取用户手机已安装软件列表
CE	获取日历事件信息
Wapp	获取whatsapp聊天信息