双尾蝎新型移动端恶意软件分析报告

背景

双尾蝎（奇安信内部跟踪编号：APT-Q-63）是一个长期针对中东地区的高级持续威胁组织，其最早于2017年被披露。该组织至少自2016年5月起，持续针对巴勒斯坦教育机构、军事机构等重要领域进行网络间谍活动，以窃取敏感信息为主的网络攻击组织，开展了有组织，有计划，有针对性的攻击。其攻击行业包括基础设施，国防、教育、政府、媒体、交通等。攻击的国家包括但不限于美国，韩国，巴勒斯坦，日本，瑞典、以色列等。

概述

双尾蝎的Android端攻击非常活跃，恶意样本具有高隐匿和强远控的特点，一直备受我们的关注。其在Android端的攻击主要采用伪装成聊天软件的方式进行投递和诱导安装，而在受害者设备上则通过隐藏图标、变换为Google全家桶图标和安装官方聊天软件等手段进行隐匿和持久化。

近日，奇安信病毒响应中心移动安全团队捕获到该组织一款新型恶意样本，其在使用经典武器库的同时，集成了最新的开源Android RAT武器库，借助SMS和FCM服务，实现了复合型的更强的远程控制功能。

样本分析：隐匿与持久化

三种方式进行隐匿：

1、隐藏/变换图标

Android10以上采取变换图标方式隐藏，可变换为图标的应用有Youtube、Google Chorme、Google play store、App update。其可在获取权限后随机变换图标，也可通过远程命令动态变化，变换为Google Chorme后活动如下图：

2、关闭系统&设备厂商安全软件、安装和本身通知：

监控的应用包名包含字段包括google、android 、security、system 、securitylogagent、com.miui.securitycenter、app.lite.bot（应用自身）及com.google.android.packageinstaller。诱导申请权限如下图：

3、编辑社工信息提示：

如在申请危险权限时编辑误导信息，诱使用户授权操作，再如执行耗时任务将服务拉到前台时，设置通知为闹钟信息。

三种方式进行持久化：

1、申请设备管理器权限，防止用户卸载：

诱导申请权限如下图：

2、申请电池权限，防止被系统回收

宣称为Chat APP，诱导申请权限如下图：

3、应用采用自启动和SMS&FCM服务唤醒等手段进行服务的持久化。

武器拆解

XHunter

XHunter是一个新的开源Android RAT武器，包含Client和Server，Client项目创建于2020年8月份，并持续更新至今，Server项目创建于2022年7月。此恶意样本采用了最新版的Client-Server服务，此武器使用C&C地址为https://luauasar.herokuapp.com，其中luauasar为开发者的应用名称，herokuapp.com为heroku服务平台域名。其示例功能如下图：