![ccecb1480707cf385cebaa74990af602.png](https://i-blog.csdnimg.cn/blog_migrate/3ce5cce6427e9c99dda50aae579058da.jpeg)
近日,趋势科技宣称他们在一个钓鱼网站上发现了一个伪装成聊天APP的新型间谍软件家族,并认为这些恶意APP很有可能是在为一场大规模活动而做的准备。
根据趋势科技的说法,他们发现第一款恶意APP的时间是在今年5月份。恶意APP名为“Chatrious”,可通过点击网站上的下载按钮来下载安装包。
但在之后的几个月里,钓鱼网站一直处于关闭状态。直到今年10月份,钓鱼网站再次上线,但可下载的APP已经更换为了“Apex”。
分析表明,Apex和Chatrious同属一个间谍软件家族,都能够窃取用户的个人信息。目前,趋势科技已将该间谍软件家族标识为“AndroidOS_CallerSpy.HRX”。
![0451ccb694f9502e2f885084988d776b.png](https://i-blog.csdnimg.cn/blog_migrate/779dd2b05ec2d18b3c17721482cd1467.jpeg)
图1. Chatrious(左)和Apex(右)
行为分析
如上所述,CallerSpy被描述为聊天APP,但分析表明它根本不具备聊天功能。
一旦执行,它就会通过Socket.IO启动与C&C服务器的连接,以监听来自C&C服务器的命令。
然后,它会利用Evernote Android-Job开始调度计划任务以窃取信息。
![09f9d9b231f3d4cb4b187a025dab93fb.png](https://i-blog.csdnimg.cn/blog_migrate/d6a02a608fac8087acb2ec97d1385181.jpeg)
图2. CallerSpy启动C&C连接(左),然后开始调度计划任务(右)
CallerSpy会设置多个计划任务,以收集受感染设备上的通话记录、短信、联系人列表和文件。此外,它还能够进行屏幕截图,并将截图上传到C&C服务器。
![5238954a38500110334415e732bd9337.png](https://i-blog.csdnimg.cn/blog_migrate/27cd167f09b979723b40ccc08419ae16.jpeg)
图3.预设的计划任务
所有的被盗信息都将被存储在本地数据库中,然后定期上传到C&C服务器。
CallerSpy的目标文件类型如下:
- jpg
- jpeg
- png
- docx
- xls
- xlsx
- ppt
- pptx
- doc
- txt
- csv
- aac
- amr
- m4a
- opus
- wav
- amr
![62e18bb9afdd78c16d57269128b85ce9.png](https://i-blog.csdnimg.cn/blog_migrate/4ffe5a110280db2a18ed12399e7eb3ea.jpeg)
图4.本地数据库
当CallerSpy接收到来自C&C服务器的命令后,它便会进行屏幕截图。随后,它将对截图进行Base64编码,并通过预先配置的Socket.IO连接上传到C&C服务器。
![ed7c109f615b667e17103dc9bbfb1457.png](https://i-blog.csdnimg.cn/blog_migrate/5669b19c2d7f4e356ed7d26b1ea0c303.jpeg)
图5.监听来自C&C服务器的命令(左),屏幕截图并上传截图(右)
基础设施分析
为了诱骗用户下载APP,攻击者使用了类似Google的山寨域名——Gooogle。
![c4cbf23934cab4d21a0d02e7a377af7e.png](https://i-blog.csdnimg.cn/blog_migrate/68c1db58232abe5e1e045f1abc9f467b.jpeg)
图6.伪造的版权信息
Whois查询显示,这个域名是于2019年2月11日在Namecheap注册的,但是有关注册人的信息全都无法追溯。
![9333dbf891e90c392d22022e427ba1da.png](https://i-blog.csdnimg.cn/blog_migrate/4f3ac838b8805ce26d801113792cee51.jpeg)
图7. gooogle[.]press的注册信息
虽然趋势科技设法捕获到了四个C&C服务器IP地址,但却发现他们都托管在合法服务上,唯一能确定的只有C&C服务在端口3000上使用Node.js。
暴风雨的前夕
趋势科技,他们到目前为止还没有发现实际的CallerSpy感染者,但同时也提出了一个可能,即CallerSpy目前仍处于测试阶段,攻击者很可能是在为一场大规模活动而做准备。
首先,CallerSpy目前还没有用户界面(UI),也没有其所描述的聊天功能。
其次,它目前使用的仍是默认的应用程序图标,甚至被标记为“rat”,而且还存留了一些调试代码。
![c2db68ae2fd55a81a03da5bd7669dac5.png](https://i-blog.csdnimg.cn/blog_migrate/22c74f27553730627846c6e64e9b35db.jpeg)
图8. CallerSpy的图标和名称(左),调试代码(右)
再次,样本认证信息也表明,它目前仅用于测试。
![fc283cd02034e1ca752c2c59002613af.png](https://i-blog.csdnimg.cn/blog_migrate/c59fb2e68012248dc2770e26b257e4c3.jpeg)
图9.认证信息
最后,钓鱼网站页面上有三个按钮,分别是“APPLE STORE”、“GOOGLE PLAY”和“WINDOWS STORE”,说明CallerSpy至少适用于Apple、Android和Windows这三个平台。
![9d6aec6eedb1e10edf1fb35c57e2aeda.png](https://i-blog.csdnimg.cn/blog_migrate/78d1fb4a0260cb5b9c44081dd0463f9a.jpeg)
图10.CallerSpy被宣传为支持三大平台
但实际情况是,它目前仅支持Android。