强大的安卓监控软件Skygofree横空出世-华盟网

强大的安卓监控软件Skygofree横空出世

华盟学院山东省第二期线下学习计划

 

卡巴斯基实验室的安全研究员发现了一款强大的安卓监控软件,并认为它出自活跃在监控软件市场上的一家意大利IT公司。研究人员将这款新型监控软件命名为 “Skygofree”,名称源于基础设施中使用的一些域名名称。研究人员发现 Skygofree 的活动始于2014年,不过最活跃的时段集中在2016年。

Skygofree 仅用于意大利

研究人员发现的所有传播活动仅针对意大利用户,且从卡巴斯基实验室提供的数据统计来看,似乎只有意大利用户受感染。研究人员还表示,Skygofree 的代码包含多个用意大利语写的字符串和注释,说明专门为针对意大利用户开发。

卡巴斯基实验室表示已经在 Skygofree 攻击活动中遇到很多 “negg” 字符串和构件。Negg International 是一家意大利IT软件公司,提供多种服务其中就包括网络安全服务和移动及web 应用开发。虽然卡巴斯基实验室官方并未将 Negg 认定为 Skygofree 的作者,但所有证据指向了这个结论。有可能卡巴斯基发现的这款网络工具是Negg 为执法部门开发供抓捕官方调查的嫌疑人使用。在信息安全圈子,这类工具被称为“合法拦截”或“合法监控”解决方案。Skygofree 感染范围小且仅用于意大利边境内。

 

Skygofree 是一款非常强大的监控工具

卡巴斯基实验室的研究人员在一份详细的技术报告中指出,Skygofree 安卓植入是他们在安卓平台上见过的最强大的监控软件工具之一。由于开发时间长,它具有多种非凡的能力:通过多个利用获取 root 权限、具有复杂的 payload 结构、从未见过的监控功能如记录某些未知附近的音频等。

根据技术报告归纳的 Skygofree 能力如下:

记录音频并将文件上传到远程服务器

当用户位于某个地理位置时记录周遭音频

通过运动检测追踪位置

GSM追踪 (CID、LAC、PSC)

窃取手机剪贴板数据

键盘记录功能

搜索文件并将被盗文件上传到远程服务器

Skygofree 可经由 HTTP、XMPP、二进制 SMS 和 FirebaseCloudMessaging 协议控制。

创建一个新的 WiFi 连接并强迫用户手机连接。该功能通过强迫手机和网络连接,让位于同一网络的人员执行中间人流量嗅探攻击。

能将自己添加到华为设备的“受保护 Apps”列表上。这个列表中的 app 能允许在手机屏幕关闭的情况下继续运行。

向受感染设备发送命令的反向 shell

包含 root利用 (CVE-2013-2094、CVE-2013-2595、CVE-2013-6282、CVE-2014-3153和CVE-2015-3636)。

能从即时消息 app 如 Line、Viber、WhatsApp、Facebook和 Facebook Messenger 中提取数据。

包含一个唯一利用,能使用 Android Accessiblity 服务读取展示在WhatsApp 用户屏幕上的会话。

研究人员还发现了和 Skygofree 相关的文件,文件显示 Skygofree 监控软件可能拥有感染 Linux (Busybox) 和 Windows 系统的 payload 和变体,尽管尚未发现此类感染案例。

www.idc126.com

尽管Skygofree 是最为高阶的安卓恶意软件之一,但它的源代码是通过多个开源项目组合而成的,其中一些开源项目托管在 GitHub 上如 PRISM(反向 shell)、android-rooting-tools(安卓root工具)、El3ct71k Keylogger(键盘记录器)和 Xenotix Python Keylogger(Windows 键盘记录器)。

本文由 华盟网 作者:AlexFrankly 发表,其版权均为 华盟网 所有,文章内容系作者个人观点,不代表 华盟网 对观点赞同或支持。如需转载,请注明文章来源。
0

发表评论