背景介绍

2020年无疑是多灾多难的一年,虽然时间目前只过去了四分之一。但借着“新冠肺炎”各种衍生的自然灾难、人为灾难接踵而至。

近期奇安信病毒响应中心在日常监测中,发现了一种新的移动银行木马Eventbot,其最早可以追溯到2020年3月1日。Eventbot使用了全新的代码结构,与目前已知的银行木马完全不同。经过分析我们发现Eventbot目前可能只是处于测试阶段,其繁琐的功能以及影响的金融应用众多。目前其主要针对欧洲一些国家的银行应用、一些加密货币钱包应用等共234个(见附录)

Eventbot样本信息:目前发现的样本,其都使用相同的包名com.example.eventbot,代码功能也不够完善,并且代码并没有经过混淆加密处理,因此我们推断其正处于测试阶段。根据我们对样本的溯源,发现其最早出现在2020年3月1日。

样本分析

Eventbot其功能繁多,相比于近期比较活跃的Cerberus、Anubis、Joker等毫不逊色。

样本信息

应用名

Flash Update

包名

com.example.eventbot

MD5

F73F66B15791A42DAC86D0CED46D660F

图标

运行截图:

样本功能

Eventbot木马通过仿冒正常应用图标诱骗用户安装使用,其运行以后会通过仿冒升级更新,隐藏自身图标达到保护自身。Eventbot木马通过Accessibility Service功能实施对用户手机的监控,恶意功能多达50多种。其运行后会通过服务端下发指令,实施对用户手机的操控,例如:获取并上传用户手机短信,获取并上传用户手机配置信息,获取并上传用户手机已安装应用,对用户手机浏览器进行注入,启动用户手机指定APP,删除指定应用,更新恶意插件等恶意行为。

代码分析

获取C2:

通过服务端下发指令:

获取并上传用户手机短信:

操控用户手机:

上传用户信息:

数据包:

影响分析

Eventbot主要以金融行业为目标,通过分析我们发现目前其影响了英国、德国、意大利、西班牙等国的十来家银行APP,总共影响234个金融APP,尤其以虚拟货币交易平台为主。

Eventbot仿冒的主要图标:

Eventbot影响的金融行业APP图标举例:

从中我们可以看到,Eventbot主要以虚拟货币交易平台为主要目标,虽然国内早已经关闭了虚拟货币的交易,但依然有很多人通过“科学上网”,通过一些虚拟货币交易平台在进行买卖,其中很大一部分平台APP在Eventbot的目标之中,这些无疑增加了国内用户手机中招的概率。

总结

进入2020年以后,Android银行木马随着“新冠肺炎”的爆发变得异常活跃,继Cerberus、Anubis木马之后,又出现了全新的木马Eventbot。虽然目前Eventbot木马只是处于测试阶段,实质性的危害还没有扩大,但其潜在的影响广泛,对国内一些进行虚拟货币交易的用户具有潜在的威胁。奇安信病毒响应中心会随时关注相关木马的实时动态,同时奇安信病毒响应中心提醒用户不要安装未知来源的APP,同时提高个人的安全意识。

目前奇安信威胁情报中心文件深度分析平台:(https://sandbox.ti.qianxin.com/sandbox/page)已支持Android样本分析。同时基于奇安信威胁情报中心的威胁情报数据的全线产品,包括奇安信威胁情报平台(TIP)、天擎、天眼高级威胁检测系统、奇安信NGSOC等,都已经支持对此类攻击的精确检测。

IOC

文件MD5:

7107AC3BCCD8DB274B21F0E494E3ECCC

8A563B6AF3CF74C8CBB88B99E104D949

F73F66B15791A42DAC86D0CED46D660F

7F5D728119951839B46895808107B281

B3F4746A6C21D030D2B73FF2AC3CEC2F

66AE6BB78ED76B252C2EA6EC8072B0E8

664118A72533D9A0D60E9CABA439FE28

E1229D332CA43AC2B640084A0DAE9BBE

8793359481AB88914B5E60625F57277C

36988753860CD9F919B9D2A94C0AF0FC

C2:

http://themoil.site/gate_cb8a5aea1ab302f0_c

http://ora.carlaarrabitoarchitetto.com/gate_cb8a5aea1ab302f0_c

http://ora.studiolegalebasili.com/gate_cb8a5aea1ab302f0_c

附录

受影响的234家金融机构应用包名:

包名

com.ownrwallet.wallet

com.aurigaspa.bancadalba

es.lacaixa.mobile.android.newwapicon

com.tabtrader.android

it.creval.bancaperta

com.plutus.wallet

com.grppl.android.shell.BOS

com.cryptotab.android

com.mansoon.cryptopop

com.jhapps.easyfaucetclaimer

cedacri.mobile.bank.crbolzano

it.bnl.apps.enterprise.hellobank

ch.postfinance.android

co.mona.android

com.chlegou.bitbot

com.paytomat

it.csebo.fec3mobileProd05156

it.cedacri.hb3.crcento

it.archie.ccbcarteprepagate

com.paxful.wallet

de.postbank.finanzassistent

com.caisseepargne.android.mobilebanking

com.fullsix.android.labanquepostale.accountaccess

uk.co.metrobankonline.mobile.android.production

com.arkea.android.application.cmb

io.eidoo.wallet.prodnet

it.popso.SCRIGNOapp

com.todo1.mobile.deleteTHIS3

co.uk.getmondo

com.bbva.netcash

com.crypto.currency

it.hype.app

de.schildbach.wallet

com.ecoPayz.appID

com.tmobtech.halkbank

com.tforp.cryptogdx

com.db.pbc.miabanca

com.spot.spot

com.dowallet

com.bitcoin.mwallet

it.icbpi.mobile

uk.co.hsbc.hsbcukmobilebanking

com.swftcoin.client.android

com.monitise.client.android.yorkshire

im.token.app

fr.banquepopulaire.cyberplus

com.vipera.chebanca

co.bitx.android.wallet

com.interactive_crypto.app

net.inverline.bancosabadell.officelocator.android

uk.co.tsb.newmobilebank

hashengineering.darkcoin.wallet

com.thanksmister.bitcoin.localtrader

com.bitpie

it.ingdirect.app

ch.raiffeisen.android

com.ocito.cdn.activity.banquenuger

com.supercrypto.cryptocyrrency

es.ibercaja.ibercajaapp

com.grppl.android.shell.CMBlloydsTSB73

com.bancsabadell.wallet

org.toshi

it.copergmps.rt.pf.android.sp.bmps

com.ie.capitalone.uk

com.myetherwallet.mewconnect

com.romerock.apps.utilities.cryptocurrencyconverter

com.blockfolio.blockfolio

it.gruppocariparma.nowbanking

it.cartasi.mobilepos

com.quppy

cobo.wallet

com.barclaycard.germany

com.latuabancaperandroid.pg

com.changelly.app

posteitaliane.posteapp.appbpol

crypto.aliens.bch

com.CredemMobile

com.coingecko.coingeckoapp

mobi.societegenerale.mobile.lappli

it.csebo.fec3mobileProd05772

com.intesasanpaolo.inbiz

com.sella.BancaSella

com.opentecheng.android.webank

com.kutxabank.android

com.latuabancaperandroid.ispb

com.cryptoviewer

io.cex.app.prod

it.csebo.fec3mobileProd06150

btg.org.freewallet.app

com.payeer

com.conio.wallet

it.bnl.apps.banking

com.pundix.xwallet

com.coinninja.coinkeeper

com.beeweeb.findomestic

it.bper.mobile.mymoney

com.cryptonator.android

cedacri.mobile.bank.bppb

it.bnl.apps.banking.privatebnl

io.bluewallet.bluewallet

uk.co.cumberland.banking.pay2mobile

com.grppl.android.shell.halifax

com.tideplatform.banking

io.kriptomat.app

com.crypterium

lt.lemonlabs.android.paysera

it.csebo.fec3mobileProd05652

com.citibank.mobile.au

it.chiantibanca.inbank

com.lloydsbank.businessmobile

it.cedacri.hb2.bpbari

com.libertex.mobile

com.moneybookers.skrillpayments

com.mal.saul.coinmarketcap

io.getdelta.android

com.starlingbank.android

com.liberty.jaxx

com.developerdesing.bitcoin

ltcc.org.freewallet.app

it.bnl.mybiz

com.aci.ocean.mobile

com.coinstats.crypto.portfolio

quarecy.crypto

com.tarjetanaranja.emisor.serviciosClientes.appTitulares

com.touchin.perfectmoney

com.garanti.cepsubesi

com.monitise.client.android.clydesdale

com.cointiply.earn

com.polehin.android

uk.co.santander.santanderUK

eth.org.freewallet.app

com.kbc.mobilebanking

pl.bzwbk.bzwbk24

com.coinomi.wallet

it.nogood.container

com.jdevelops.claimmultifaucet

com.bitrue.currency.exchange

com.monitise.coop

com.Plus500

btc.org.freewallet.app

piuk.blockchain.android

es.ceca.cajalnet

com.advantage.RaiffeisenBank

it.bancagenerali.mobile

au.com.heritage.app

com.niyo.global

com.twogetherbank.app

com.bitpay.wallet

co.uk.mycashplus.maapp

io.totalcoin.wallet

com.payoneer.android

it.phoenixspa.inbank

com.mirlimited.muchbetter

com.monese.monese.live

com.cmcm.blockchain.bitcoin.ethereum.safewallet

it.iwbank.banking

doge.org.freewallet.app

it.relaxbanking

com.revolut.revolut

ftb.ibank.android

com.wirex

it.cedacri.hb3.crasti

com.fideuram.phone

com.coinmarketcap.android

com.latuabancaperandroid

com.avuscapital.trading212

clientapp.swiftcom.org

it.gruppobper.ams.android.bper

app.pay98

cash.usdx.wallet

net.bitbay.bitcoin

com.mediolanum.android.fullbanca

com.mercuryo.app

com.mycelium.wallet

uk.co.tsb.businessmobilebank

com.bitpanda.bitpanda

mw.org.freewallet.app

com.lloyds.ccdm

com.wavesplatform.wallet

com.illimity.mobile.rtl

com.eofinance

com.enjin.mobile.wallet

com.bitnovo.app

com.starfinanz.smob.android.sfinanzstatus

com.unicredit

com.ie.vanquis.interact.shell

com.swissborg.android.community

com.binance.dev

com.bankofqueensland.boq

at.volksbank.volksbankmobile

com.lynxspa.bancopopolare

com.plunien.poloniex

com.wallet.crypto.trustapp

com.db.coo.secureauthenticator

com.barclays.android.barclaysmobilebanking

fcabank.myfcabank

co.edgesecure.app

com.coinbase.android

com.mosync.app_Banco_Galicia

at.paysafecard.android

com.magnum.wallet

it.cabel.mito.mimo.android

cloud.money.server.mining

com.ptpwallet

io.atomicwallet

com.electroneum.mobile

net.bitstamp.app

com.syndicomsolutions.ecoinia

com.altcoinfantasy.altcoinfantasy

uk.co.bankofscotland.businessbank

com.tescobank.mobile

de.number26.android

com.cajaingenieros.android.bancamovil

com.moneybookers.skrillpayments.neteller

lt.spectrofinance.spectrocoin.android.wallet

exodusmovement.exodus

app.wizink.es

com.csg.cs.dnmb

com.xapo

com.commbank.netbank

com.mediaengine.allianzbank

com.barclays.bca

com.tronwallet2

com.remitano.remitano

com.bbva.bbvacontigo

com.bankinter.launcher

aib.ibank.android

network.celsius.wallet

com.crypter.cryptocyrrency

it.volksbank.android

de.commerzbanking.mobil

cedacri.mobile.bank.hb2.bari

com.wrx.wazirx

com.nexowallet

声明:本文来自奇安信病毒响应中心,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。