摘 要
奇安信病毒响应中心移动安全团队监测到一批伪装成伊朗股权交易平台的复合型恶意软件，其在使用钓鱼页面进行金融诈骗的同时，会远程控制受害者设备并窃取隐私信息。木马家族起于2022年7月，于2023年5月份呈现爆发式增长趋势，收录样本量达148个。欺骗受害者若要领取账户股利，需先缴纳50000里亚尔的查询税。木马具有35项主要远程控制功能。
关键词：伊朗、正义股份、金融诈骗、隐私窃取
序
近日，奇安信病毒响应中心移动安全团队监测到一批伪装成伊朗股份交易平台“正义股份”应用的金融诈骗木马，区别于一般银行木马软件，其采用前端钓鱼和后台远控的复合型攻击形式，此方式或能大大提高其诈骗成功率。
经过数据挖掘和分析发现，此恶意软件家族始于2022年7月，于2023年5月份呈现爆发式增长趋势，截至报告发布日，收录样本量达148个，样本主要通过钓鱼网站和第三方应用市场进行传播。
一、攻击分析
- 应用伪装
恶意软件伪装成“正义股份”应用，并使用相似图标，来诱导用户使用和骗取信任。软件使用Anywhere Software的B4A免费工具开发，能大大减少开发成本和难度，也更加便于复制分发。正版软件与恶意软件图标对比如下：
- 金融诈骗
木马使用社会工程手段伪造钓鱼页面，循循善诱受害者缴纳“查询税”，获取受害者金融账户信息后，再结合后台远程控制功能实施进一步的攻击。
01 钓鱼链接获取
应用启动后会加载钓鱼链接，而获取URL的方式在不同版本中有所不同，分为硬编码和动态网页获取。
硬编码URL如“https://vcxtew.com/e/pay.php”，其访问限定在伊朗地区，渲染页面如下：
动态网页获取则是从主控服务器“url.txt”文件中读取，如从 “https://teuoi.com/missn/url.txt”中获取钓鱼链接“https://ed.apksahm.rest/𝐜/app.php”，获取钓鱼链接页面如下：
02 进入“司法系统”
钓鱼页面会首先要求受害者输入账户绑定的手机号，进入司法系统。
03 缴纳查询税
在受害者输入正确的手机号后，弹窗提示：若要领取账户股利，需先缴纳50000里亚尔（伊朗及其周边部分国家流通货币）的查询税。并要求受害者进行付款后继续使用。
04 账户信息录入
进入付款页面，诱导受害者输入账户卡号、第二识别码和动态密码等重要信息。
05 账户信息上传
受害者输入自己的账户信息后，信息被上传到服务器，且并无任何响应数据返回，而钓鱼页面达到目的后，则在页面显示“内部系统错误”信息。
1.账户信息上传如下：
2.页面显示如下：
二、远程控制
恶意软件在前端渲染钓鱼页面的同时，还会通过诱导受害者授予设备管理器、辅助功能和短信组等权限，在后台进行远程控制设备和窃取隐私信息的行为。下面我们通过窃取受害者短信行为详细示例和远控上传功能表总结来展示。
01获取用户短信
从奇安信QADE引擎的分析结果中，我们清晰的看到，在仿真的测试环境里，恶意软件具有违规收集行为，多次上传了受害者短信信息，检测结果如下：
窃取并上传用户短信关键源码如下：
上传短信包含监听收件箱单条上传和获取短信库文件上传，上传数据包示例如下：
02远控上传功能表
木马的远程控制功能可以理解为两大类，一是控制受害者设备，可以实现如发送短信、修改电量显示、静音等操作；二是控制窃取隐私信息，上传用户联系人、短信和采集文件等。
此木马具有35项主要的控制功能，除识别功能的指令和状态码外，一些控制窃取隐私信息的上传接口中也会使用action来标记操作，如上面分析的获取用户短信的“action=sms”。主要远控上传功能如下表。
三、情报分析
01C&C研判识别
恶意软件远控服务器C&C地址采用密文的形式硬编码在样本中，解密后为“http://teuoi.com”，而且项目路径在assets目录下getewayport.txt文件中。解密方法如下：
为躲避安全检测，除在上面分析中提到的通过服务器“url.txt”文件动态获取金融诈骗钓鱼链接外，远程控制C&C的项目路径也会进行不定期的迭代。根据公开情报显示，其取得了一定的效果，C&C相关URL及安全检测结果如下：
02组织追踪思路
此次监测到的攻击事件为近期发生和活跃攻击，上面分析中也指出其具有一定的安全检测逃逸能力，所以在目前的公开情报中，没有关联到可疑的归属组织。通过以下两个方面的组织追踪思路，我们怀疑其开发者位于中东某地区，且不排除在伊朗，尚没有更充分的证据锁定攻击者。
1.波斯语背景
此木马家族的攻击目标为伊朗地区，使用的语言也为伊朗官方语言波斯语。而且通过追踪发现攻击者在与C2服务器交互数据时，依然采用波斯语。因此我们推测攻击方具有波斯语背景，使用波斯语的国家和地区有伊朗、阿富汗、伊拉克、塔吉克斯坦等，示例信息如下：
2.诈骗货币币种
在钓鱼页面进行金融诈骗时，要求受害者使用“里亚尔”进行付款。虽然“里亚尔”是伊朗的流通货币，但是在2020年5月4日伊朗将官方货币改为了“土曼”。不仅如此，相比于“里亚尔”，伊朗人习惯以“土曼”来标识价钱，也更为常用。当前使用“里亚尔”为流通货币的地区有伊朗、阿富汗、伊拉克、沙特阿拉伯和叙利亚。
四、IOCs
C&C
teuoi.com
MD5
78f9498c331c01a79acd93e3ce0870ae
c86299441576db6608b2d33485b3f439
2d16ba68d44786650702cc3055d4f273
f6e08b6ff529fc5cd1ef5946fb75dc43
2827b1211af0446f60ca7ab7db434bea
c8385e1acd30af691a04d88e5cec50c6
22103d389980ec257b606ffec6d61f7e
437606f12563d3f1f1e74e69f0ef6735
1a3fa4fe173338307dbd957a80aa0842
0e28f68cabf287c87f2ac44cf178597b
0559aacec61335cfd04058042d64e000
dea63a4b5b87309d788973838b786b0a
4c07f4f3f2c278005f0c6178e1d1bed5
f2af7623e464bdf23070d14ebe830e49
eebdaffc171d1d9adb018b62e1206d56
0ab5fa899bf936fd5b0a619b3ef56082
5aa8ab31d88f15b367e7557c6086954b
f818b08b9eced7aa1d343f04df3f1e84
e61ce328f78af2a595e46080081d7226
eeb63bb3fb181d69be7d9750a67199b6
d644d8d798e60511ce102c0f3fb98949
f7166c86fd2bc2b8c6323fa3366c1735
fdfa239d3a98b8c500ea982010ab9a02
233dca4580066d2308895133a292a2e9
00e9a5f28f65e33b1dc78427f52503ac
0534bf25efcd3f68cb04e66153fb6ea1
05f12c81e397a42a41376620aebc797e
067b08f72790d38cc73fac498fb4320b
0b8f6fca3e73bca9daa979d2b270b923
0c6db3165d44ba0bfd417b004c00e02f
100800a1320693150f1519a61469a8ef
11d429a0c181e02910bd5e80f04c349e
12121e0ef9452430358a6b2d14580752
13cd663587a61bb2f8aac52d67bf5cce
14ce25ede2b754dfc3675c7217a6ccb9
16253fa5cb45a86898e67308ccd07eab
18892927d58b024c700f1bb0d4bed953
1a3879d3127ecdf32d9fdb9c90dea76a
1ce74acf3420819d6fd3ee3047377a4a
1d29bbe3263ba52fa576b050c1e99d84
1d591e989c19870a1ca7644138edc8f0
23d8c207c5e07aff2ee6053d94e8eb41
2423360a2ace5ac6f7aa5faf5e095578
24eb8c41a6a165540f6a817d1aa1bea4
25f9feb295057d9f7c9aa89b86dc2636
264f16bd0ec73880f3651d1a6e132e67
2888f81db1fd81c5482d81d8ffe2540e
2d10c3a55621faca170de9670b7146f3
2f2218c22b73fbf7666105c6f43574ac
2f3756ed9429debdfc1c698825a976fa
3072874fcba206b324cdc3a15cdc22ff
328a9e0670b711c52a2b10d09c0c47ba
3708cf43462f332f70ccb37bf89496dc
38eb4cee8da1cbc3c854c6fc6be7cced
398e5340f1e24d3eb4b5fe465ba8d480
39ed2e920f51350f9948ca38b422f31f
3d1265619356867f46102f53a32b9e1e
3dded49418234cf7507b98730748961a
3e4d3da90dcab0c0043d66baf187611d
42447bab0f496720f112622b289c98d5
496bffd9b2c2af4a49d97bd1fb14a8c4
4d7a039516495c0efa1bb92cd5cbf513
4dc67475e04d20a9b214c9349abd33f3
5075752c3bb8e13a307be38cd6f3d9b4
50c3f3146812ca89eaa2d54ec32543de
51b030a56d754aaada1bce066a512bbb
53cb6fb8ec6251b8ffaf1eb397948f15
53e3942bfbaa8da7db5ad4cc404a6475
54cede0d7a3d4abee64fb8c4c84081cf
57ff984e640410e87b95973f66b32d17
5818c2b5d3113122041399e64380d815
58cf8271a89d92256f18670d0cb22501
59585c9a6ab98b1e4147e81ac8b25d4e
5a7197565d14ee869bffd66942d84dcd
5c14674f8a20cc4914845d2db8ea9400
5c3557ad6bf693298a50e3442b4e413f
5cb53999024b8cc386437f13a81f49db
5deb349e4784dd897a4c3297197d1276
6386d790828d30b01684368ec58870c9
64065e24b77b12ff5f9d7598131b60f1
668b609b031763c0fb0ea574a7051255
6720c0d97b20b9ccd146b6f15541bc3e
6c9805037c435b7de8c74719d283f9a6
6cdc7d7b2a8df9a175c8499404ae5256
6d8103c2d3bd41868f40ee2c09e05acf
722bb4bfc65f2ebc44ddda8d562e0c47
75641b29d5ea3ff00f4b81fccc6d2418
77b5873fac55c7261b33a4558266ed69
7ace4296d03cc7995aab14826920eec8
7ee14c2d7a45024b854ded5c844c8497
7f32ffc815c3554046a20722ef1e7fbf
8020ab038fbbc8766e9bd123816a9175
81cc4d5d6acebd1b5342f8efca8f7a1f
83ff38109b9844c5351391aeebf49d75
84ea969b92723c44a21df3f31d4f3674
8791311a2097172d8a31e29376e72369
8a93cd40c0b0440c0e3820794bab6c15
8a9aa93eaf4757a24a52601feb045cc3
8c7f5ef7eb44283016b9a8ca9429e18d
8d18b987b4303e35065f5008f67c9680
8da464281ec913e1a6d3ab592df94aaf
8f819ac730a9a57d65d2715bae7ea2aa
9747b3960d9027a730b6d9e5f68c38a3
9c765cf4677bd240255aa150f79fa1af
a39905344ab530e7f44b5312bfb52734
a5e6de8c16b69f0471d30a5f29193199
a6be5c478eeda9f951c7043e1aefc672
a8e2af74823d661017c40787dc610bd6
a97cff561077806ef3cf65b25f4e69a1
ab094ed2697c48a489e347a7542a574f
ad22223cecbd77eed396cf33a8b1f42c
aeefa3a97480f2e864aad8b51b2af491
b4521b311e57c9253bf1091220ada882
b7ac5ea17cb74b7fd1f051c76e214a88
b7af0fc7e2bcd7ac23774f077dac4bec
b7dedb222317c0a0e27c868d02ca4f8d
b83149eec5073632408a0fddf49d63fe
b939479c74f6051a80f71c8435a81576
b955d1f1b90ab2c80062d18a016ad1e4
ba82f8a7dd374948c02bfe6734abe95c
bb058701644421e6fa4f4686e3995f74
bc22950e91ae53a9890e99737110e24c
c0b56acfb29d4a647819e3d721080ffc
c32f34b0752483d3a5d4c3567392e3d7
c7244cce6ae86b971095b7a6156ce0a4
ca9e6464c4abf251e39836ee07d1f1cf
cb5d7cba11c2e4830f5b50be7d94e57e
ccddd9b2cd3bf0b503af40eb3b8896bf
cedaa9d12ceaec59952a074e9c9a9e88
d066c5301ab43714d06147b7cb5c16fe
d2b912541d210833299b03f43ecae376
d889198b1fc1fdd6d71434b7f6babb66
d8be7dc181e965cd9f99e392cfbac791
de49ffd44fd145409731ab2f44990c1f
e0ad89be8d41dd11c8fe7fc9604866a2
e3d4d42b10a417b46fe1beaa9b62fed9
e3f2f6c3e626cb83adeafd193253ef50
e53b04ab75c2722b843d3840c62b599a
ed414a2c849401d13a3e6ac1299fec90
ed63c00a6976df340233c5496bb931e1
edd051e03fd58999670a2fa6c9d30105
f1c5ad5a001a4b08dfbdf0cf31ad0720
f693fd8f7e7f044d67bdca19924c9698
f80d15b49d582d81083033644a1a6a74
fb018a509711a4a37928395547234d53
fd210c0a61bbe9f0760e0db40bc5f111
fd46501d2c61bd4e6d0668c9a39b6ca3
fe425cab8a6d58bac792bcebdcecc774转载来源：https://www.secrss.com/articles/57685
图片来源网络侵权可联系删除
