网易首页 > 网易数码 > 正文

新型iOS木马TinyV出现:攻击越狱设备

0
分享至

(原标题:新型iOS木马TinyV出现:攻击越狱设备)

iOS 设备的安全一直为业界所重视,日前企业安全领域领导者 Palo Alto Networks 撰文分析了最近几个月所发现的新木马“TinyV”。在今年的 10 月份,Palo Alto 发现了一个恶意的负载文件瞄准了 iOS 的越狱设备,经过调查后发现,Palo Alto 认为该文件属于一个名为“TinyV”的新型 iOS 木马家族。在 12 月,有中国用户指出他们的设备受到了这个恶意软件的影响。

经过进一步的深入研究后,Palo Alto 发现该恶意文件已经被重新打包并植入到一些 iOS 应用中,而这些 iOS 应用往往可以通过多个渠道进行下载(非 App Store 渠道)。在接下来的篇幅里,我们将会讨论“TinyV”是如何工作以及如何传播的。

重新打包和传播

“TinyV”被重新打包进一些为越狱设备而“准备”的应用中,受影响的 iOS 应用不少。经过重新打包后,这些应用被上传到网络并提供用户下载。

用户有可能通过 xx 助手下载到这些受感染的应用,在一些应用的官网上供下载的应用,也不见得是十分安全。我们往往在 iOS 设备上访问这些网站的下载链接的时候会被跳转到描述文件页面并让用户安装,这些被标榜为企业级应用的应用往往需要用户手动开启验证,才可以在设备上使用该应用。

需要指出的是,“TinyV”重新打包的方式和之前的 iOS 或者 OSX 恶意应用不太一样(和之前著名的 WireLurker 也不一样)。例如在某个受感染的播放器应用的 iOS 安装文件“com.某某.ipa”中,往往存在着两个执行文件。一个是主要的执行文件 Mach-O ,而另一个则是名为“xg.png”的 Mach-O 动态库文件。在主要执行文件的导入表中,最后的导入入口是“@executable_path/xg.png”。这意味着在应用被执行后,“xg.png”的文件将会被加载。

而在其它受感染的应用中,除了主要的 Mach-O 执行文件外,也会出现一些额外的 Mach-O 动态库文件:“dj.png”, “macro_off@2x.png和zippo_on@2x.png” 。“TinyV”的作者修改了原来的应用文件,并增加这些动态库文件到导入表中。

被加载的“xg.png”文件将会通过调用方法来连接到 C2 服务器并取得配置信息。被 C2 提供的配置将会指向一个 ZIP 文件的 URL,并被指定为一个带有“zipinstall”值的 “shName”。

在这个被感染的应用中, “macro_off@2x.png” 将会访问同一个 C2 服务器的另一个页面来获取其配置。这次“debUrl”值使用 XOR 算法加密。尽管代码混淆,但使用关键的 “0xaf”加密,却依然可以显示相同的 URL。

恶意行为

从 C2 服务器获得配置后,“TinyV”将会从授予的“debUrl” 值中下载 ZIP 文件。这里调查的 ZI P文件被托管在另一个 C2 服务器apt[.]appstt.com 上,目前该 URL 地址出现 404 错误。不过据说在 10 月底开始调查的时候,这个 URL 是可以访问的,并且“deb.zip”文件也可以下载。

在这个“deb.zip”文件中,包含了 4 个文件

safemode.deb(saurik 官方提供的 MobileSafety 插件)

freeDeamo/usr/bin/locka(实施恶意行为的 Mach-O 执行文件)

freeDeamo/Library/LaunchDaemons/com.locka.plist(一个 PLIST 文件,用于在 iOS 作为一个守护进程配置“locka”)

freeDeamo/zipinstall(命令进程文件)

下载和解压这个ZIP文件后,xg.png 将会执行 zipinstall 脚本来安装 locka 和 com.locka.plist。

locka 文件主要执行的“TinyV”恶意行为包括:

连接 C2 服务器来获得远程指令

在后台安装指定的 IPA 文件或 DEB 文件

在后台卸载指定的 IPA 应用或 DEB 包

改变 /etc/hosts 文件

值得一提的是,研究人员还发现了一个名为“ClassStaticFunctionHook”的函数,目前该函数只被用于钩住广告的 SDK 代码。然而它有可能在被感染的应用中产生更危险的后果。

影响

在 12 月 12 日,“TinyV”开始通过一个名为“XZ Helper”的插件来进行传播,许多用户都发现了 XY Helper 插件出现在他们的 iOS 设备中。由于“TinyV”的代码执行和大量的 C2 服务器指令,即使删除了该插件还是会被重新安装。不少用户在威锋论坛里指出了这个问题,目前受该恶意程序影响的设备似乎只出现在中国。

最后,Palo Alto 建议用户如果没有必要的话切勿轻易越狱,又或者是不要安装任何来自未知来源的企业级应用。

相关推荐
热点推荐
哈里王子独自回来,看望患癌的凯特王妃,梅根王妃却袖手旁观

哈里王子独自回来,看望患癌的凯特王妃,梅根王妃却袖手旁观

红袖说事
2024-03-26 18:32:37
霍勒迪:我好歹是夺冠功臣 交易我起码要提前一天通知吧

霍勒迪:我好歹是夺冠功臣 交易我起码要提前一天通知吧

直播吧
2024-03-27 22:20:27
36岁杨幂穿蕾丝内衣,34D身材引热议:这胸真实存在吗?

36岁杨幂穿蕾丝内衣,34D身材引热议:这胸真实存在吗?

增肌减脂
2023-12-08 17:55:12
摊牌了!快船队记公开质疑球队,鲍尔默点名哈登,泰伦卢现神操作

摊牌了!快船队记公开质疑球队,鲍尔默点名哈登,泰伦卢现神操作

体育大朋说
2024-03-28 16:46:23
取代徐杰+不输胡明轩!广东“新后卫”被杜锋重用,不是张文逸!

取代徐杰+不输胡明轩!广东“新后卫”被杜锋重用,不是张文逸!

绯雨儿
2024-03-28 12:09:41
辽宁52岁离异大叔跑去非洲捞金,连娶三位00后妻子,成为人生赢家

辽宁52岁离异大叔跑去非洲捞金,连娶三位00后妻子,成为人生赢家

梦里大唐
2024-03-27 11:27:14
南通禁止制造销售冥币纸钱纸扎,当地12345:接到大量市民电话,政策暂未调整

南通禁止制造销售冥币纸钱纸扎,当地12345:接到大量市民电话,政策暂未调整

红星新闻
2024-03-27 13:08:43
别再做卑微的烂好人了,搞懂这条人性逻辑,很多困难都会迎刃而解

别再做卑微的烂好人了,搞懂这条人性逻辑,很多困难都会迎刃而解

阿胖读书
2024-03-07 15:03:03
宁愿花2400亿购买空客,也不买国产大飞机C919,这究竟是为什么?

宁愿花2400亿购买空客,也不买国产大飞机C919,这究竟是为什么?

千秋秋娱乐
2024-03-28 10:14:37
哈佛研究:一年中这两个月出生的娃更聪明,占先天优势,你家是吗

哈佛研究:一年中这两个月出生的娃更聪明,占先天优势,你家是吗

文文爸育儿
2024-03-26 12:20:15
突发!安徽网红乐乐不幸离世:人很美只有26岁,病因最后被曝光

突发!安徽网红乐乐不幸离世:人很美只有26岁,病因最后被曝光

影像温度
2024-03-28 10:35:25
Shams:黄蜂球员拉梅洛-鲍尔赛季报销,将继续恢复脚踝伤势

Shams:黄蜂球员拉梅洛-鲍尔赛季报销,将继续恢复脚踝伤势

懂球帝
2024-03-28 22:06:36
决定以色列命运的时刻到了!百万联军子弹上膛,美军默默闭上双眼

决定以色列命运的时刻到了!百万联军子弹上膛,美军默默闭上双眼

懂体育的小吖头
2024-03-28 08:53:53
大学生借书时发现67年前书签!“谜底”解开了

大学生借书时发现67年前书签!“谜底”解开了

新民晚报
2024-03-26 21:12:11
谢霆锋开始走平民路线,锋味烤肠5.8元/根,连续两年销量全国第一

谢霆锋开始走平民路线,锋味烤肠5.8元/根,连续两年销量全国第一

娱圈小愚
2024-03-27 10:16:55
入室偷窃,反被47岁少妇强奸,中途求饶:阿姨如猛虎啊,放过我吧

入室偷窃,反被47岁少妇强奸,中途求饶:阿姨如猛虎啊,放过我吧

王小花说情感
2024-03-11 17:53:41
原来他也是癌症已去世!一生未婚无人送终,死后遗产全赠予古天乐

原来他也是癌症已去世!一生未婚无人送终,死后遗产全赠予古天乐

简读视觉
2024-03-03 16:55:03
突发重大传闻!放水要来了?

突发重大传闻!放水要来了?

财学堂
2024-03-28 18:11:57
末代皇帝的英文老师住在油漆作胡同

末代皇帝的英文老师住在油漆作胡同

经济观察报
2024-03-27 19:37:13
网友去华为实体店买mate60,被告知“接受溢价才有货”,大骂华为却被人嘲讽了

网友去华为实体店买mate60,被告知“接受溢价才有货”,大骂华为却被人嘲讽了

可达鸭面面观
2024-03-26 21:05:23
2024-03-28 22:22:44

头条要闻

小米SU7正式发布售价公布 蔚小理董事长亮相发布会

头条要闻

小米SU7正式发布售价公布 蔚小理董事长亮相发布会

体育要闻

疯狂的格林,冲刺的火箭

娱乐要闻

莱昂纳多与25岁新女友互相投喂超恩爱

财经要闻

中国版QE要来?国内外机构观点罕见一致

科技要闻

小米SU7起价21.59万元,顶配版29.99万元

汽车要闻

混动增程双模式 长安UNI-Z售11.79万起

态度原创

家居
手机
游戏
公开课
军事航空

家居要闻

邂逅浪漫,注入柔性的法式基因

手机要闻

小米SU7 MAX版本售价29.99万元

《漫威争锋》PC配置公开 推荐RTX 2060 Super

公开课

30岁之前,你要学会的13件事情

军事要闻

乌方声称击落两枚俄"锆石"高超音速导弹 俄方未予回应

无障碍浏览 进入关怀版
×