iOS/Malware（四）HackingTeam

8/31/2015 gandalf

一、HT里面iOS相关内容

1.1 ipa

文件名	md5	bundle id	签名	文件路径	可执行文件：md5
test-resign.ipa	642B5C4A6AB80E87942C5B8DEFE1992D	com.apple.test	iPhone Distribution: HT srl	./rcs-dev\share/HOME/ALoR/test-resign.ipa	test：2c26afac4adc65d74bbffa493879217e
test-unsigned.ipa	6ADC07DD29F26E60FFA3653922DDF1FA	com.apple.test	无	./rcs-dev\share/HOME/ALoR/test-unsigned.ipa	test：807109380b49fd73a34671b59ad3b69c
newsstand-app.ipa	71C4A3F6DBA62826AA65353EA7C42371	com.pub.newsstand-app.keyboard	iPhone Distribution: HT srl	./rcs-dev\share/HOME/Luca/newsstand-app.ipa	newsstand-app：d7cf1ed3a8ab9aeea51de311e0618a13

1.2 source

1.2.1 \core-ios-master.zip

” core”文件夹中保存了RCS的主要代码。主要是利用dylib注入对用户输入，GPS，屏幕等信息进行监控。

”ios-newsstand-app”文件夹应该是另一个ios应用的源码。看代码大概是替换ios系统的输入法，然后进行键盘记录，大概是用来攻击没有越狱的机器吧。

”Keybreak”文件夹是用来破解手机锁屏密码的，里面有lockdownd remote exploit的源码。

”ios-install-win32”和” ios-install-osx”文件夹里是windows和mac os下来给iPhone或者iPad装应用的工具。

1.2.2 \vector-ipa-master.zip

另一个ios木马的源码，这个木马并不是应用，貌似是一个底层网络代理，可以用来监控或者控制系统的网络流量。

1.3 企业证书

./rcs-dev\share/HOME/ALoR/iosDistribuition_ent.p12
./rcs-dev\share/HOME/ALoR/iosDistrubution.p12

（无导出/导入密码）

该证书可加黑名单：

enpublic app: “UID=DE9J4B8GTF, CN=iPhone Distribution: HT srl, OU=DE9J4B8GTF, O=HT srl, C=IT”

1.4 Hacking Team军火库中大量运用iOS假面攻击

参考：https://www.fireeye.com/blog/threat-research/2015/08/ios_masque_attackwe.html

http://www.freebuf.com/articles/terminal/74414.html

fireeye的blog中说有11个iOS app使用masque attack，但我们获取到的近400G资料中只有3个ipa、0个deb文件；

并且根据blog中关键词：WhatsApp, Twitter, Facebook, Facebook Messenger, WeChat, Google Chrome, Viber, Blackberry Messenger, Skype, Telegram, and VK.等搜索，并无相关iOS内容。

二、newsstand-app分析

样本：newsstand-app.ipa

该ipa即是源码：\core-ios-master\ios-newsstand-app\

其目录结构如下：

猎豹有一篇该源码的分析文章：

Hacking Team无需越狱即可监控iOS用户

http://drops.wooyun.org/tips/7195

2.1 样本信息

app名	路径	文件名	文件类型	md5
newsstand-app.ipa	/	newsstand-app	bin	d7cf1ed3a8ab9aeea51de311e0618a13
	/Frameworks	libswiftCore.dylib	dylib	b2d82a57370d1e86736a5063f8728baf
		libswiftCoreGraphics.dylib		f5bf06c83e919fc3a54f6e06d02312b6
		libswiftCoreImage.dylib		f235dfc523ead08fd46104da8ac0e3a9
		libswiftDarwin.dylib		ce91b2156c83b46f6308b954665a64d5
		libswiftDispatch.dylib		6327289dc1a757a16239fb8b95d7e356
		libswiftFoundation.dylib		5a6aa84f72c5f42d1b32190442be9197
		libswiftObjectiveC.dylib		ac9eba121c7e7e76c3bbb613ec029018
		libswiftSecurity.dylib		90fb52a5ae6d88b9d611026d611bafaa
		libswiftUIKit.dylib		0e76a97e8db131b06067eba478ffd145
	/PlugIns/keyboard.appex	keyboard	bin	624a87835aa2339c6a6a1f55b28e2a6c

2.2 动态分析

一、安装空白报刊杂志应用：

安装过程实际是在设备上安装一个报刊杂志应用，该应用安装后显示为一个空白应用，也没有图标：

（newsstand中的每个杂志和报纸都是独立的 app）

但可以在设置中找到该app：

二、启动申请信任和权限

点击该杂志应用后，其所有的监控服务就会启动起来，越狱用户没有任何提示，而非越狱用户需要添加信任，开发者即是HT的企业证书：

非越狱环境下，服务启动会开始请求所有想获取的数据权限（实测ip6 ios8.1.3打开闪退）

1、地理位置：

2、日历安排

3、通讯录

三、新增键盘窃取输入信息

该app会增加一个新的键盘，键盘界面和内置键盘相同，可以将用户所有的输入信息发送到远程服务器上（只能获取非密码等输入，iOS在涉及密码输入会强制使用系统or应用内置键盘）。

但该键盘需要手动设置启用。

2.3 静态分析

样本模块比较多：

一、Info.plist

”Server"为服务器ip：172.16.42.1，现已失活；

“Application presents content in Newsstand”值为YES，说明这个是newsstand杂志应用；

”MinimumOSVersion“限制了最低系统版本为8.0（已越狱测试机ip4为7.0，故无法安装跑动态）；

二、main

直接调用AppDelegate类模块启动应用

平台	代码	说明
源码		ipa程序的main函数都会调用UIApplicationMain
ida		ida对iOS入口解析比较乏力，main函数解析为sub_170c4；确定main函数方式：可以在Improts中搜索_UIApplicationMain，再通过x跳转到调用地址
hopper		hopper对iOS各类函数、类解析比ida好，如解析main函数为EntryPoint；但显示参数没有ida直观